CVE-2023-27532

🔍 Contexte Publié le 9 septembre 2026 par GreyNoise, cet article de threat intelligence documente une campagne d’exploitation opportuniste à grande échelle contre PaperCut NG/MF, un logiciel de gestion d’impression Java auto-hébergé tournant par défaut avec des privilèges SYSTEM sur Windows. La campagne a été observée via le Global Observation Grid (GOG) de GreyNoise. 🎯 Acteur et outillage IA Un acteur malveillant russophone a utilisé l’adresse IP 45.142.193.132 (suivie depuis début juillet 2026) pour orchestrer la campagne. L’acteur a exploité des agents IA basés sur OpenAI Codex (comme harnais) et un modèle DeepSeek pour développer, tester et déployer des exploits contre deux nouvelles vulnérabilités : CVE-2026-81578 et CVE-2026-82078. La construction des listes de cibles a été réalisée via le service de scan internet Netlas.io avec une clé API identifiée. ...

🔍 Contexte Cette analyse technique est publiée par le Halcyon Ransomware Research Center le 2 avril 2026. Elle documente les tactiques, techniques et procédures (TTPs) du groupe Akira, actif depuis mars 2023 en tant qu’opération Ransomware-as-a-Service (RaaS) à motivation financière. 🎯 Profil du groupe Akira Actif depuis mars 2023, avec des liens de code et de transactions crypto vers le syndicat Conti défunt A accumulé environ 244 millions USD de rançons jusqu’en septembre 2025 Cibles : entreprises et infrastructures critiques en Amérique du Nord, Europe et Australie Modèle de double extorsion : exfiltration de données avant chiffrement, publication sur un site dark web en cas de non-paiement ⚡ Rapidité d’exécution Akira est capable de mener l’intégralité du cycle d’attaque — de l’accès initial au chiffrement — en moins d’une heure, et dans la majorité des cas en moins de quatre heures. Cette vitesse a permis de compromettre des centaines de victimes sur les 12 derniers mois. ...

🔍 Contexte Publié le 22 mars 2026 par Group-IB, ce rapport analyse en profondeur les tactiques, techniques et procédures (TTPs) du groupe The Gentlemen, une opération Ransomware-as-a-Service (RaaS) émergente composée d’environ 20 membres, anciennement connue sous le nom ArmCorp en tant qu’affilié de Qilin. 🧑‍💻 Origine et historique du groupe L’opération est administrée par un russophone utilisant le pseudonyme hastalamuerte. Le groupe s’est séparé de Qilin suite à un litige financier de 48 000 USD de commission non versée, rendu public le 22 juillet 2025 sur le forum RAMP. Un premier échantillon Windows du ransomware avait déjà été uploadé sur VirusTotal le 17 juillet 2025 (SHA256 : 51b9f246d6da85631131fcd1fabf0a67937d4bdde33625a44f7ee6a3a7baebd2), confirmant que le développement était en cours avant la rupture publique avec Qilin. Le DLS est devenu public début septembre 2025. ...