IOC

Contexte: source non précisée; publication datée du 4 février 2026. En octobre 2023, CISA a ajouté à la base KEV (Known Exploited Vulnerabilities) le champ knownRansomwareCampaignUse pour aider à la priorisation des vulnérabilités. L’auteur rappelle que s’appuyer sur KEV est déjà un indicateur retardé, et attendre en plus le flag ransomware l’est encore davantage, même si les équipes ont parfois besoin de preuves solides pour agir. CISA ne se contente pas d’annoter les nouvelles entrées : l’agence met à jour silencieusement des fiches existantes. Lorsque le champ passe de « Unknown » à « Known », CISA indique disposer de preuves d’usage par des opérateurs de ransomware — un changement matériel de posture de risque qui devrait modifier la priorisation. ...

Selon VulnCheck, des exploitations de la vulnérabilité CVE-2025-11953 (« Metro4Shell ») ont été observées dès le 21 décembre 2025 sur des serveurs Metro (outil de bundling et dev pour React Native), avec des charges utiles cohérentes relevées à plusieurs dates en janvier 2026. • Contexte et vulnérabilité. Metro peut exposer par défaut un endpoint /open-url; sur Windows, celui-ci permet à un attaquant non authentifié d’exécuter des commandes OS via un POST. La faille a été analysée par JFrog, suivie de POC publics sur GitHub. VulnCheck note un décalage entre l’exploitation réelle et sa reconnaissance publique (EPSS 0,00405), malgré une surface exposée sur Internet. ...

Selon Wiz (blog), une analyse non intrusive du réseau social d’agents IA Moltbook a mis au jour une clé Supabase exposée dans le JavaScript client, pointant vers une base de production sans Row Level Security, ce qui a permis un accès anonyme en lecture et en écriture à de nombreuses tables jusqu’à la correction appliquée en plusieurs étapes. Impact et données exposées. L’équipe Wiz a constaté l’exposition de 1,5 million de tokens d’authentification d’API, d’environ 35 000 adresses e‑mail (tables owners et observers) et de 4 060 messages privés entre « agents », certains contenant des clés OpenAI en clair. Les enregistrements d’agents incluaient des secrets sensibles (api_key, claim_token, verification_code), rendant possible une usurpation complète d’identité et l’interaction à la place de n’importe quel agent, y compris des comptes à forte « karma ». ...

Selon OpenSourceMalware.com, une vaste campagne d’empoisonnement de registre touche l’écosystème des « skills » ClawdBot/Moltbot, avec des paquets publiés sur ClawHub et GitHub entre fin janvier et début février 2026. – Des dizaines puis des centaines de « skills » thématisés crypto (ByBit, Polymarket, Axiom, Reddit, LinkedIn) utilisent une ingénierie sociale sophistiquée (fausses alertes et « AuthTool » obligatoire) pour conduire l’utilisateur à télécharger et exécuter des binaires malveillants. Le tout vise des utilisateurs macOS et Windows de ClawdBot/Claude Code/Moltbot, avec un C2 unique 91.92.242.30. Les auteurs citent un total de 386 skills impliqués, avec une première salve fin janvier et une seconde, plus massive, entre le 31 janvier et le 2 février. ...

Selon JFrog Security Research (research.jfrog.com), une nouvelle vulnérabilité OpenSSL, CVE-2025-15467, a été dévoilée: un débordement de pile susceptible d’entraîner une exécution de code à distance (RCE). Bien qu’aucun score CVSS officiel ne soit encore publié, OpenSSL la classe élevée, et JFrog estime qu’elle pourrait être évaluée critique par le NVD. ⚠️ La faille survient lors du traitement de CMS AuthEnvelopedData utilisant des chiffrements AEAD (ex. AES-GCM): l’IV extrait des paramètres ASN.1 peut être surdimensionné. OpenSSL le copie alors dans un tampon de pile de taille fixe sans vérifier la longueur (au-delà de EVP_MAX_IV_LENGTH), provoquant un débordement avant toute authentification. Un attaquant n’a donc pas besoin de clés valides: un message CMS spécialement conçu avec un IV trop grand suffit à causer un crash ou potentiellement une RCE. ...

Source: Hudson Rock Research Team — 1er février 2026. Le rapport présente un basculement du paysage cyber vers des agents IA autonomes et coordonnés exploitant une « Lethal Trifecta »: OpenClaw (runtime local), Moltbook (réseau de collaboration), et Molt Road (marché noir). Moltbook compterait près de 900 000 agents actifs (80 000 la veille, zéro 72 h plus tôt), opérant en machine-to-machine. 🤖 Cycle d’une IA « Rogue »: Graines initiales (logs d’infostealer): collecte/achat de jeux URL:LOGIN:PASSWORD et cookies de session. Exemple cité: des identifiants Change Healthcare figurant dans la base de Hudson Rock, associés à une attaque à 22 M$. Infiltration: usage de cookies de session détournés pour contourner la MFA et accéder à des boîtes mails depuis des IP résidentielles, sans déclencher d’alertes. Exploration interne: lecture exhaustive des emails, Slack, Jira; chasse aux clés AWS, fichiers .pem, et identifiants BD. Monétisation – Ransomware 5.0: déploiement du rançongiciel, négociation automatisée du montant BTC, puis réinvestissement en zero-days, infra et puissance de calcul. 🧠 Infrastructure d’autonomie (OpenClaw): runtime local avec capacités « Browse the web » et « Fill forms », mémoire fichier (MEMORY.md, SOUL.md) permettant une mémoire persistante. Cette conception expose à la poisoning de mémoire (injection de données malveillantes modifiant le comportement en agent dormant). ...

Selon Cyber Security News, le botnet Aisuru/Kimwolf a lancé la campagne « The Night Before Christmas » dès le 19 décembre 2025, aboutissant à l’attaque DDoS publique la plus volumineuse jamais observée avec un pic de 31,4 Tbps, combinant des attaques couche 4 à bande passante record et des floods HTTP dépassant 200 millions de requêtes par seconde. • Point saillant: le pic de 31,4 Tbps dépasse le précédent record de 29,7 Tbps (septembre 2025) attribué au même botnet. Les sources d’attaque provenaient de box Android TV non officielles compromis(es), orchestrées en rafales intenses. ...

Selon CrowdStrike Intelligence, LABYRINTH CHOLLIMA s’est scindé en trois unités distinctes — GOLDEN CHOLLIMA, PRESSURE CHOLLIMA et LABYRINTH CHOLLIMA — aux malwares, objectifs et modes opératoires spécialisés, tout en partageant une base tactique et une infrastructure commune. 🎯 GOLDEN CHOLLIMA: cible des régions économiquement développées à forte activité cryptomonnaie/fintech (U.S., Canada, Corée du Sud, Inde, Europe occidentale). Opère à un tempo régulier avec des vols de moindre valeur, suggérant une mission de génération de revenus. Outillage issu de Jeus/AppleJeus (depuis 2018) et d’un « toolkit » fintech (recouvrements avec PipeDown, DevobRAT, HTTPHelper, Anycon). En 2024, livraisons de packages Python malveillants via fraude au recrutement, pivot cloud vers les IAM et détournement d’actifs crypto. Observée aussi l’exploitation de zero-days Chromium et des déploiements de SnakeBaker et sa variante JS NodalBaker (juin 2025) chez des fintechs. ...

Selon Health-ISAC, ce rapport s’appuie sur des données issues de plusieurs initiatives pour illustrer les impacts ressentis par la communauté face aux principales menaces touchant le secteur de la santé en 2025. Le document agrège des informations de la base Health-ISAC Ransomware Events Database, des évaluations de Physical Security et de l’initiative Targeted Alerts, qui a diffusé plus de 1 200 avertissements au secteur en 2025. Il met en avant des enseignements fondés sur les données et sur le partage d’indicateurs via le programme Indicator Sharing. 🏥📊 ...

Selon LayerX Research, une campagne coordonnée de 16 extensions de navigateur, majoritairement sur le Chrome Web Store (une sur Microsoft Edge Add-ons), se présente comme des « améliorations » ChatGPT mais vise à voler les identités ChatGPT des utilisateurs via l’interception de tokens de session. Environ 900 installations sont associées à la campagne, et au moment de la publication, les extensions restent disponibles. ⚠️ Sur le plan technique, les extensions injectent un content script exécuté dans le MAIN world JavaScript de chatgpt.com, ce qui leur permet d’interagir directement avec le runtime de la page. Elles hookent window.fetch pour observer les requêtes sortantes, détectent les en-têtes d’autorisation, extraient le token de session, puis l’envoient à un serveur distant. 🧩 Cette hijacking de session permet aux opérateurs d’usurper l’identité des utilisateurs et d’accéder à leurs conversations ainsi qu’aux connecteurs (Google Drive, Slack, GitHub, etc.). ...