GRPC

📅 Source et contexte : Publication de Zscaler ThreatLabz le 27 juillet 2026, documentant une campagne active depuis janvier 2026 attribuée à un acteur probablement courtier en accès initial (IAB) pour des groupes ransomware. 🎯 Vecteur d’accès initial : L’acteur commence par un spam bombing de la boîte mail de la victime, puis contacte celle-ci via Microsoft Teams en se faisant passer pour du personnel IT/helpdesk. L’objectif est de convaincre la victime d’ouvrir une session Quick Assist (outil de support à distance Microsoft), permettant à l’attaquant de prendre le contrôle du poste. ...

Selon Bitdefender (blog Business Insights), une enquête démarrée début 2024 sur un environnement d’une entreprise militaire philippine a mis au jour un nouveau framework de malware fileless nommé EggStreme, dont les TTPs s’alignent sur ceux de groupes APT chinois. L’objectif: obtenir un accès persistant et discret pour de l’espionnage à long terme. • Chaîne d’infection et persistance. L’attaque débute via DLL sideloading: un script netlogon/logon.bat déploie WinMail.exe (légitime) et mscorsvc.dll (malveillant, EggStremeFuel). EggStremeFuel établit un reverse shell et réalise du fingerprinting. Les attaquants abusent de services Windows désactivés (ex. MSiSCSI, AppMgmt, SWPRV), modifient ServiceDLL et octroient SeDebugPrivilege pour persister. Un service EggStremeLoader lit un conteneur chiffré (ielowutil.exe.mui) pour extraire un reflective loader injecté dans winlogon, qui lance l’implant final EggStremeAgent. ...