Cursor

🔍 Contexte Publié le 19 juin 2026 par SpyCloud Labs, cet article présente une analyse technique approfondie de l’infrastructure opérationnelle du groupe à l’origine du dataset « FortiBleed », initialement découvert par le chercheur Volodymyr « Bob » Diachenko. SpyCloud a obtenu une copie des données et les a analysées contre son schéma de brèches. 🎯 Nature de la campagne La campagne, active depuis le 19 mai 2026, est opérée par un courtier d’accès initial (IAB) russophone utilisant des techniques de mass-scanning et brute-force (spray-and-pray) contre des équipements exposés sur Internet : ...

🗓️ Contexte Article publié le 21 juin 2026 par Hudson Rock via la plateforme Infostealers. Il s’agit d’une analyse technique approfondie de la campagne FortiBleed, initialement divulguée par Hudson Rock, portant sur la compromission de 75 000 firewalls Fortinet FortiGate exposés sur internet, couvrant 21 632 domaines. ⚙️ Mécanisme d’attaque Les attaquants ont adopté un pipeline entièrement automatisé et assisté par IA : Collecte : exfiltration de fichiers de configuration chiffrés depuis des appareils Fortinet exposés Infrastructure de craquage : location de 36 GPU enterprise (3 instances × 4 GPU + 3 instances × 8 GPU) sur la plateforme Vast.ai, pour un coût d’environ 14,40 $/heure (~350 $/jour) Orchestration : gestion du cluster via un bot Telegram et le framework open source Hashtopolis Développement : scripts et bots écrits avec l’éditeur de code assisté par IA Cursor Post-exploitation : utilisation de frameworks de pentest agentiques open source pour l’énumération Active Directory 🔢 Performances cryptographiques Hachages SHA-256 salés (legacy Fortinet) : jusqu’à 720 milliards de hachages/seconde → mots de passe complexes épuisés en quelques minutes PBKDF2 (FortiOS récent) : entre 180 et 360 millions de hachages/seconde → attaques par dictionnaire et règles ciblées en quelques secondes Résultat : craquage de ~143 000 hachages Kerberos et ~33 000 hachages NetNTLM ciblant des contrôleurs de domaine internes 🌐 Impact supply chain Les firewalls compromis servent de beachheads pour pivoter latéralement vers des fournisseurs tiers, MSPs et partenaires de confiance, transformant une compromission périmétrique en crise de chaîne d’approvisionnement en cascade. ...

🔍 Contexte Publié le 2 juin 2026 par la Sophos Counter Threat Unit (CTU), cet article décrit la découverte d’un acteur malveillant utilisant des technologies d’intelligence artificielle pour accélérer le développement de malwares et tester des techniques d’évasion EDR. L’activité a été détectée via l’enregistrement d’un endpoint anormal dans un tenant client, déclenchant des alertes sur des payloads issus du répertoire C:\Users\User\Documents\test. 🧩 Infrastructure et outils découverts Plusieurs fichiers malveillants ont été identifiés dans ce répertoire, révélant un framework d’attaque complet : ...

🔍 Contexte Le 16 avril 2025, l’équipe de recherche de Cybernews a découvert un serveur exposé appartenant à un acteur malveillant opérant le marketplace de cartes bancaires volées Jerry’s Store. L’article, publié le 1er mai 2026, détaille les mécanismes de cette fuite et les opérations du groupe. 💥 Incident Les opérateurs de Jerry’s Store ont utilisé Cursor, un environnement de développement assisté par IA développé par la société américaine Anysphere, pour configurer leur serveur et leurs tableaux de bord administrateurs. L’IA a généré un code défaillant créant un répertoire web ouvert sans authentification, exposant ainsi l’ensemble des données. ...

Selon un article de presse spécialisé BleepingComputer, une faiblesse de l’éditeur de code Cursor expose les développeurs à un risque d’exécution automatique de tâches lorsqu’un dépôt malveillant est ouvert. Le problème décrit touche le comportement de Cursor face à certains dépôts: à l’ouverture d’un dépôt malveillant, des tâches peuvent se lancer automatiquement, sans intervention de l’utilisateur, créant un risque immédiat pour l’environnement de développement. Points clés: Produit concerné: éditeur de code Cursor Nature du problème: faiblesse entraînant l’exécution automatique de tâches Scénario de menace: ouverture d’un dépôt malveillant qui déclenche ces tâches Impact potentiel: exposition des développeurs à des actions non sollicitées dès l’ouverture du dépôt IOCs: non indiqués dans l’extrait. ...