Impacket

🔍 Contexte Publié sur GitHub (icedracon/adhammer), ADhammer est présenté comme un toolkit de sécurité Active Directory développé en Rust dans le cadre d’une recherche académique (ITMO). Il se positionne comme un outil combinant audit passif (classe PingCastle) et validation offensive (classe impacket/Rubeus), distribué sous forme de binaire statique unique fonctionnant sous Kali/Linux et Windows. 🛠️ Fonctionnalités principales ADhammer repose sur une pile protocolaire entièrement réécrite en Rust (DCE/RPC, NTLM, SMB2, Kerberos) sans dépendance à impacket. Il implémente : ...

📋 Contexte : Publié en octobre 2026 par Microsoft, le Microsoft Digital Defense Report (MDDR) couvre la période juillet 2025 – juin 2026. Il s’appuie sur plus de 165 trillions de signaux de sécurité quotidiens, 15 000+ partenaires et 35 000 ingénieurs sécurité. Ce rapport constitue une rétrospective annuelle majeure de l’état de la cybersécurité mondiale. 🤖 L’IA transforme la physique de la cybersécurité L’IA compresse les délais d’attaque, réduit le coût des capacités offensives et permet aux attaquants d’opérer à grande échelle et de manière autonome. Parmi les évolutions majeures : ...

📅 Source : Microsoft Threat Intelligence Blog, publié le 28 septembre 2026. Cette publication présente une analyse technique approfondie de NeedyMantis, une famille de malware post-compromis modulaire découverte lors d’investigations liées à la compromission de la chaîne d’approvisionnement DAEMON Tools, précédemment rapportée par Kaspersky. 🎯 Contexte et attribution L’activité NeedyMantis remonte à au moins octobre 2025. Microsoft associe son utilisation à Storm-3069, un cluster d’activité lié à la compromission DAEMON Tools. L’activité est alignée avec des acteurs opérant depuis la Chine, sans attribution formelle à un acteur étatique chinois. Plusieurs opérateurs pourraient utiliser ce malware. ...

🛠️ Contexte Publié le 17/09/2026 sur GitHub (https://github.com/crypt0p3g/adnullenum), adnullenum est un outil open-source de reconnaissance Active Directory conçu pour fonctionner en session nulle (null session), c’est-à-dire sans aucune accréditation. Il s’appuie sur les named pipes \samr et \lsarpc accessibles via SMB sur le port 445. 🔍 Fonctionnalités principales L’outil effectue en une seule passe les opérations suivantes : Énumération des utilisateurs, ordinateurs et groupes du domaine (avec séparation des comptes machine $) Détail complet par utilisateur : description, groupes, timestamps de mot de passe et de connexion, flags de compte, restrictions de connexion Politique de domaine et de mots de passe/verrouillage Informations LSA/DNS : nom DNS, forêt, GUID de domaine, SID, relations d’approbation (trusts) RID cycling via SAMR ou LSA (fallback optionnel avec --lsa-fallback) pour contourner les restrictions d’énumération directe Flagging automatique des comptes intéressants : AS-REP roastable, mot de passe non requis, délégation non contrainte, mot de passe dans la description, etc. 📁 Sorties structurées Chaque exécution génère un dossier horodaté contenant : ...

🔍 Contexte Publié le 18 septembre 2026 sur GitHub par l’auteur BoydHacks, ntlmscout est un outil offensif open source en Python 3.7+ (fichier unique, sans dépendances externes) destiné à la reconnaissance des endpoints NTLM exposés sur Internet. ⚙️ Fonctionnement technique L’outil exploite le fait qu’une négociation NTLM non authentifiée (message Type-1 NEGOTIATE) provoque en réponse un message Type-2 CHALLENGE qui divulgue de nombreuses informations internes Active Directory avant toute transmission de credential : ...

🔍 Contexte Cisco Talos publie le 9 septembre 2026 une analyse de menace active portant sur l’exploitation de deux vulnérabilités dans Cisco Secure Firewall Management Center (FMC) Software. L’article documente trois clusters d’activité post-compromission distincts associés à des acteurs étatiques et cybercriminels. 🚨 Vulnérabilités exploitées CVE-2026-20079 (CVSS 10.0) : Bypass d’authentification critique permettant à un attaquant non authentifié d’exécuter des scripts et d’obtenir un accès root sur le système sous-jacent. CVE-2026-20316 (CVSS 5.3) : Permet à un attaquant distant de se connecter avec un compte à faibles privilèges ; utilisable en chaîne avec d’autres vulnérabilités pour élever les privilèges. 👥 Cluster #1 : UAT-12197 Exploitation de CVE-2026-20079 suivie du dépôt d’un web shell JSP (home.jsp) dans le répertoire webroot Tomcat de CSM. Un fichier JAR malveillant (cmd.jar) est ensuite déposé pour interroger les bases de données internes et exfiltrer les credentials utilisateurs via OmniQuery.pl. ...

🔍 Contexte Publié le 1er septembre 2026 par Google Threat Intelligence Group (GTIG) et Mandiant, cet article présente une analyse approfondie de BREEZE COMET (anciennement UNC5669), un acteur cybercriminel financièrement motivé actif depuis 2024. L’activité chevauche des opérations publiquement rapportées sous les noms Plump Spider et SHADOW-AETHER-064. 🎯 Ciblage et objectifs BREEZE COMET cible principalement les organisations brésiliennes disposant d’accès aux systèmes de paiement et bancaires : Banques, processeurs de paiement, retailers, exchanges, fintechs Systèmes visés : Pix, STR (Système de Transfert de Réserves Brésilien), Boleto Accès au Réseau National du Secteur Financier (RSFN) et aux credentials mTLS L’infrastructure opérationnelle suggère une expansion vers l’Amérique Latine et l’Afrique 🚪 Accès initial Password spraying et vishing (appels vocaux se faisant passer pour le support IT) pour convaincre les victimes d’installer des outils RMM (AnyDesk) Tentatives de recrutement d’initiés dans les organisations ciblées Utilisation de sites gouvernementaux brésiliens compromis pour héberger des infostealers déguisés en documents fiscaux (ex: ComprovantePDF.exe) et des backdoors (XWORM) Connexion de dispositifs matériels non autorisés directement dans les réseaux de magasins de détail Exploitation de vulnérabilités dans des serveurs JBoss AS Réplication du comportement sur des domaines municipaux au Nigeria, Paraguay, Ghana et Venezuela ⬆️ Escalade de privilèges et reconnaissance Outils publics : Impacket, ADRecon, ADVipscan, exécutés en mémoire via PowerShell Outil custom de brute-force LDAP : REALBREEZE Ciblage des environnements CI/CD pour voler des credentials de pipeline, clés API et tokens cloud Scripts personnalisés pour identifier les credentials mTLS et certificats administratifs (termes recherchés : boleto, cnab, remessa, webhook.*pix, instant.*payment) 🔄 Mouvement latéral Abus de RDP et SMB via des comptes de service détournés Déploiement de COBALTSPIN : tunneleur réseau en Rust, proxy SOCKS5 inverse sur WebSocket pour contourner les firewalls internes 🏠 Persistance et C2 BREEZE COMET a développé un arsenal de backdoors redondants : ...

📋 Source et contexte L’Office fédéral de la cybersécurité (OFCS) suisse a publié le 24 août 2026 son rapport semestriel couvrant la période janvier–juin 2026. Ce rapport s’appuie sur 27 128 signalements volontaires et 200 annonces obligatoires (en vigueur depuis le 1er avril 2025 pour les exploitants d’infrastructures critiques). 🎯 Panorama des cybermenaces en Suisse Les secteurs les plus touchés par les signalements obligatoires sont le secteur public (19,4 %) et l’informatique/télécommunications (18,6 %). Les types d’incidents les plus fréquents : ...

🔍 Contexte Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d’une série de recherches intitulée Turning Enterprise Update Servers Into Backdoor Factories. Il documente pas à pas l’utilisation de NotWSUSpicious, un outil Python open source disponible sur GitHub. ⚙️ Mécanisme d’attaque L’attaque repose sur une chaîne de compromission en plusieurs étapes : Prérequis : le serveur WSUS doit être configuré avec une base MSSQL externe et l’Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL. Coercition d’authentification : l’outil PetitPotam est utilisé pour forcer le compte machine du serveur WSUS (WSUS1$) à s’authentifier vers la machine de l’attaquant via MS-EFSRPC. Relais NTLM : Ntlmrelayx (Impacket) relaie l’authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS. Accès à la base SUSDB : via un proxy SOCKS (proxychains) et un mssqlclient.py modifié, l’attaquant accède à la base SUSDB. Création de fausses mises à jour : NotWSUSpicious.py génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique. 🛠️ Fonctionnement de NotWSUSpicious Génère deux GUIDs pour les mises à jour parent et enfant Calcule la taille, le hash SHA1 et le hash SHA256 du payload Injecte les métadonnées dans les procédures stockées WSUS (spImportUpdate, spSaveXmlFragment) Paramètres clés : URL d’hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible 📦 Outils impliqués NotWSUSpicious (outil custom, Python 3.11) PetitPotam (coercition MS-EFSRPC) Ntlmrelayx / Impacket v0.13.0 (relais NTLM + proxy SOCKS) mssqlclient.py modifié (gestion des procédures stockées multi-résultats) proxychains (tunneling via SOCKS) 📌 Type d’article Il s’agit d’une publication de recherche offensive à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l’exploitation des serveurs WSUS en environnement Active Directory d’entreprise. ...

🌐 Contexte Source : cybersecuritynews.com, publié le 27 juillet 2026. L’article analyse quatre campagnes convergentes d’exploitation d’équipements VPN et firewall exposés sur Internet, utilisés comme vecteur d’accès initial privilégié par des opérateurs de ransomware en mid-2026. 🎯 Campagnes identifiées Campagne 1 — Fortibleed (Fortinet FortiGate) Première identification : mi-juin 2026 Extraction massive de fichiers de configuration et crackage de hashes de mots de passe sur des FortiGate exposés Environ 75 000 appareils compromis dans 194 pays et 21 000+ domaines Analysé par Kevin Beaumont, Hudson Rock et SOCRadar Pas d’attribution formelle à un groupe ransomware Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257, CVSS 7.8) ...