https://cyberveille.ch/tags/hideul_x64.exe/ Recent content in HideUL_x64.exe on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 01 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-01-intrusion-coordonnee-pdf-phishing-screenconnect-xloader-dans-le-secteur-financier/ Tue, 01 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-01-intrusion-coordonnee-pdf-phishing-screenconnect-xloader-dans-le-secteur-financier/ <h2 id="-contexte">🔍 Contexte</h2> <p>Rapport publié le 25 août 2026 par MalBeacon / Deception.Pro, basé sur une opération de déception conduite par Trinity Cyber. L&rsquo;intrusion a été capturée dans un environnement honeypot Active Directory simulant une organisation de gestion de patrimoine (1 500+ endpoints, 500+ utilisateurs), entre le 6 et le 8 août 2026, soit une fenêtre d&rsquo;environ <strong>54 heures</strong>.</p> <h2 id="-vecteur-initial-et-exécution">🎯 Vecteur initial et exécution</h2> <p>La chaîne d&rsquo;infection débute par un <strong>malspam PDF</strong> livrant un fichier batch (<code>Project_docs_file.bat</code>) exécuté depuis le dossier Downloads de Chrome. Ce script effectue une reconnaissance hôte (net session, énumération temp/dir), teste la connectivité C2 via <code>Test-NetConnection</code>, puis télécharge silencieusement un <strong>MSI ScreenConnect</strong> depuis une infrastructure attaquante via curl.</p>