https://cyberveille.ch/tags/injection-m%C3%A9moire/ Recent content in Injection Mémoire on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-analyse-technique-de-la-campagne-purelogs-stealer-2026-chaine-d-infection-multi-stages/ Mon, 07 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-07-analyse-technique-de-la-campagne-purelogs-stealer-2026-chaine-d-infection-multi-stages/ <h2 id="-contexte">🔍 Contexte</h2> <p>Source : ITrust (<a href="https://www.itrust.fr">https://www.itrust.fr</a>), publiée le 2 septembre 2026. L&rsquo;analyse fait suite à une alerte EDR déclenchée mi-juillet 2026 chez un client, bloquant une communication réseau issue d&rsquo;une exécution PowerShell. Le CERT ITrust a rétro-ingénié la chaîne complète malgré le blocage de l&rsquo;attaque.</p> <h2 id="-vecteur-initial--clickfix--powershell">🎯 Vecteur initial : ClickFix + PowerShell</h2> <p>La compromission débute par un <strong>mail de phishing</strong> exploitant la technique <strong>ClickFix</strong> (social engineering simulant un crash technique). Une commande PowerShell est exécutée entièrement <strong>en mémoire (fileless)</strong>, téléchargeant et exécutant du code arbitraire depuis une URL distante. Le paramètre <code>?sid=1785227193742-lf6op6dy</code> dans l&rsquo;URL constitue un <strong>mécanisme de tracking par victime</strong>. Une <strong>polymorphie anti-signature</strong> est assurée par des commentaires aléatoires rendant chaque instance unique.</p>