IOC

🕵️ Contexte Rapport publié le 21 octobre 2026 par Cryptika (source originale : CyberSecurityNews.com), basé sur une analyse de la Threat Hunter Team de Symantec. L’article documente une campagne d’espionnage cyber attribuée à APT28 (alias Fancy Bear, Forest Blizzard, Swallowtail selon Symantec) ciblant des organisations de défense dans deux pays membres de l’OTAN non nommés. 🎯 Cibles identifiées Un chantier naval militaire dans un premier pays OTAN Une agence de forces de l’ordre dans un second pays OTAN Un fabricant de moteurs d’avions militaires dans ce même second pays OTAN 🔓 Vecteur d’accès initial L’intrusion au sein du chantier naval a débuté le 24 juillet 2026 par l’ouverture d’un document Word malveillant depuis le cache de pièces jointes Outlook. Une macro cachée a écrit plusieurs fichiers dans le profil utilisateur et déclenché la chaîne d’infection. ...

🔍 Contexte Source : Socket Research Team, publiée le 21 octobre 2026. Il s’agit d’une analyse technique détaillée d’une attaque supply chain ciblant le package PyPI LiteLLM, un proxy LLM recevant environ 23 millions de téléchargements hebdomadaires. 🎯 Nature de l’attaque La version LiteLLM 1.107.0 a été publiée avec des fichiers Python malveillants intégrés dans les wheels PyPI et les images Docker. Le scanner IA de Socket a détecté les sept wheels distribués sept minutes après leur publication (11:46:30 UTC le 21 octobre 2026). ...

📰 Source : Malwarebytes Threat Intel, publié le 21 octobre 2026, par Stefan Dasic (Sr. Malware Research Engineer, ThreatLabs). 🎯 Contexte : Quelques semaines après l’annonce officielle du partenariat Amazon/YouTube Shopping Affiliate Program (27 août), une vague de sites frauduleux a été détectée, exploitant cet événement réel pour leurrer les créateurs YouTube avec une fausse offre publicitaire « invitation-only » d’Amazon Music. 🕵️ Mécanisme d’attaque : Le site principal amazonyt[.]com se présente comme le « Amazon Artists Music — Creator Portal » Il affiche les vraies statistiques de la chaîne YouTube de la victime en interrogeant l’API publique YouTube (20 clés API Google intégrées avec rotation automatique) Un calculateur de gains fonctionnel est proposé pour renforcer la crédibilité La victime est invitée à « vérifier » sa chaîne via un bouton « Continue with Google » factice Ce bouton charge un iframe transparent depuis un second domaine : youtubechannelverification[.]com L’adresse visible dans la barre du navigateur reste amazonyt[.]com, masquant le domaine de collecte Le formulaire de connexion collecte email, mot de passe et codes MFA, transmis au serveur des attaquants En cas de succès, la victime est redirigée vers une page « offre débloquée » pour retarder toute suspicion 🌍 Ciblage : Le site est disponible en 9 langues (anglais, espagnol, indonésien, portugais, russe, ourdou, arabe, hindi, thaï), indiquant un ciblage international de créateurs de contenu. ...

📰 Source : Risky Business (Tom Uren), publié le 22 octobre 2026. Cet article de newsletter hebdomadaire couvre plusieurs incidents et tendances majeures en cybersécurité. 🕵️ Incident d’espionnage chez OpenAI Un employé d’OpenAI de nationalité saoudienne, Abdulrahman Alfozan, a été arrêté et inculpé par le Département de Justice américain (DoJ) pour avoir installé un dispositif d’écoute clandestin dans une salle de conférence du bureau de San Francisco d’OpenAI. Le dispositif utilisé était une carte microcontrôleur SEEED (valeur : 13,90 USD), dotée d’une caméra, d’un microphone et d’une connectivité Wi-Fi, dissimulée dans du papier toilette et branchée sur le port USB d’un téléviseur. Le dispositif aurait été modifié pour chiffrer les données afin d’entraver l’analyse forensique. ...

🔐 Contexte Le 21 octobre 2026, GitLab a publié des versions correctives critiques pour GitLab Community Edition (CE) et Enterprise Edition (EE) : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions corrigent 12 vulnérabilités de sécurité dont une critique de score CVSS 10.0. 🚨 Vulnérabilité critique : CVE-2026-110264 (CVSS 10.0) Integer Overflow dans le compilateur de Regular Expression (Onigmo) permettant à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée. ...

🔍 Contexte Publié le 21 octobre 2026 par Priti More et Susmit Yenkar (ESG Broadcom / Symantec), cet article de threat intelligence documente la découverte d’un agent offensif autonome nommé Skynet, capturé via un honeypot IA de Symantec durant l’été 2026. 🤖 Nature de la menace Les attaquants ont conçu un agent LLM autonome capable de : Rechercher sur internet des endpoints LLM exposés (sans authentification ou avec des clés volées) S’y connecter et y injecter un jeu complet d’instructions offensives Opérer jusqu’à 100 000 étapes sans supervision humaine Cette activité constitue une forme de LLMjacking : le coût d’inférence est supporté par la victime propriétaire du modèle détourné. ...

🌐 Contexte Publié le 21 octobre 2026 par Microsoft Security Research et Microsoft Threat Intelligence, cet article détaille une campagne offensive à grande échelle menée par Storm-0940, un acteur aligné sur les intérêts de l’État chinois, actif depuis 2021 et spécialisé dans le vol de données. 🤖 Utilisation du framework ARTEX ARTEX est un framework open-source de tests d’intrusion multi-agents basé sur des LLM, écrit en Go avec un frontend Next.js. Il automatise l’ensemble du cycle d’attaque, de la reconnaissance à l’exfiltration de données, avec peu d’interaction humaine. Il supporte plusieurs modèles d’IA et peut opérer en anglais, coréen, mandarin, espagnol ou japonais. ...

📰 Source : Ars Technica — Article publié le 21 octobre 2026 par Dan Goodin, Senior Security Editor. Contexte Huit certificats TLS intermédiaires appartenant à l’autorité de certification indienne eMudhra Limited ont été découverts avec des clés privées d’une faiblesse catastrophique, rendant possible la génération de certificats de confiance frauduleux pour n’importe quel serveur Internet. La découverte a été divulguée via un advisory informel publié sur emudhra.we-have-a-problem.com, signé numériquement avec l’une des clés compromises comme preuve de contrôle. ...

🗓️ Contexte Cet article de CyberScoop, publié le 20 octobre 2026 et rédigé par Tim Starks, s’appuie sur un billet de blog de l’équipe Symantec Threat Hunter Team révélant une campagne d’espionnage attribuée au groupe APT28. 🎯 Cibles et nature de l’opération Le groupe APT28 (également connu sous les noms Swallowtail, Fancy Bear et Forest Blizzard), affilié au renseignement militaire russe (GRU), a compromis trois organisations situées dans des pays membres de l’OTAN : ...

🔍 Contexte Source : opensourcemalware.com, publié le 20 octobre 2026. L’article analyse une attaque de chaîne d’approvisionnement ciblant l’outil CLI officiel d’OVHcloud (ovh/ovhcloud-cli), attribuée au groupe GlassWorm, découverte le 19 octobre 2026. 🎯 Déroulement de l’attaque Entre 12h47 et 13h12 UTC le 19 octobre 2026, un attaquant a remplacé les binaires de release des versions v0.11.0 à v0.15.0 du CLI OVHcloud sur GitHub. L’opération a été réalisée via le compte GitHub HassenBF, un contributeur légitime d’OVH, en utilisant l’API GitHub Releases standard. Aucun workflow GitHub Actions n’a été déclenché. ...