IOC

🔍 Contexte Document publié le 02/04/2026 sur le site officiel de Notepad++ (notepad-plus-plus.org), émanant de l’ancien fournisseur d’hébergement. Ce document partage des indicateurs de compromission (IOCs) observés dans l’environnement d’hébergement lors de l’incident impliquant une mise à jour malveillante de Notepad++. L’hébergeur précise ne pas avoir hébergé la mise à jour malveillante elle-même et ne pas avoir de visibilité sur la chaîne d’attaque complète ni sur l’impact pour les utilisateurs finaux. ...

🔍 Contexte Publié le 31 mars 2026 sur le blog Objective-See par Patrick Wardle, cet article constitue une analyse technique approfondie de l’implémentation des protections anti-ClickFix intégrées nativement dans macOS 26.4 par Apple, ainsi que de leur relation avec le framework Endpoint Security (ES). 🎯 La technique ClickFix ClickFix est une technique d’infection largement adoptée ciblant macOS et Windows. Elle repose sur la manipulation sociale : convaincre un utilisateur de copier-coller une commande malveillante dans un terminal. Cette technique permet de contourner des protections OS comme Gatekeeper et Notarization sur macOS. Elle est désormais utilisée aussi bien par des cybercriminels opportunistes que par des acteurs plus sophistiqués. ...

Selon Wiz (blog), une analyse non intrusive du réseau social d’agents IA Moltbook a mis au jour une clé Supabase exposée dans le JavaScript client, pointant vers une base de production sans Row Level Security, ce qui a permis un accès anonyme en lecture et en écriture à de nombreuses tables jusqu’à la correction appliquée en plusieurs étapes. Impact et données exposées. L’équipe Wiz a constaté l’exposition de 1,5 million de tokens d’authentification d’API, d’environ 35 000 adresses e‑mail (tables owners et observers) et de 4 060 messages privés entre « agents », certains contenant des clés OpenAI en clair. Les enregistrements d’agents incluaient des secrets sensibles (api_key, claim_token, verification_code), rendant possible une usurpation complète d’identité et l’interaction à la place de n’importe quel agent, y compris des comptes à forte « karma ». ...

🔧 Contexte Publié le 02/04/2026 sur GitHub, WinDbg MCP est un projet open source qui expose l’intégralité des fonctions du débogueur Windows pybag/WinDbg sous forme d’outils natifs MCP (Model Context Protocol). Il s’adresse aux développeurs, chercheurs et agents IA souhaitant automatiser l’analyse de processus, de sessions kernel ou de crash dumps. ⚙️ Fonctionnement technique Le serveur s’exécute comme un processus stdio local et communique via JSON-RPC 2.0. Il expose 55 outils couvrant : ...

Selon OpenSourceMalware.com, une vaste campagne d’empoisonnement de registre touche l’écosystème des « skills » ClawdBot/Moltbot, avec des paquets publiés sur ClawHub et GitHub entre fin janvier et début février 2026. – Des dizaines puis des centaines de « skills » thématisés crypto (ByBit, Polymarket, Axiom, Reddit, LinkedIn) utilisent une ingénierie sociale sophistiquée (fausses alertes et « AuthTool » obligatoire) pour conduire l’utilisateur à télécharger et exécuter des binaires malveillants. Le tout vise des utilisateurs macOS et Windows de ClawdBot/Claude Code/Moltbot, avec un C2 unique 91.92.242.30. Les auteurs citent un total de 386 skills impliqués, avec une première salve fin janvier et une seconde, plus massive, entre le 31 janvier et le 2 février. ...

Selon JFrog Security Research (research.jfrog.com), une nouvelle vulnérabilité OpenSSL, CVE-2025-15467, a été dévoilée: un débordement de pile susceptible d’entraîner une exécution de code à distance (RCE). Bien qu’aucun score CVSS officiel ne soit encore publié, OpenSSL la classe élevée, et JFrog estime qu’elle pourrait être évaluée critique par le NVD. ⚠️ La faille survient lors du traitement de CMS AuthEnvelopedData utilisant des chiffrements AEAD (ex. AES-GCM): l’IV extrait des paramètres ASN.1 peut être surdimensionné. OpenSSL le copie alors dans un tampon de pile de taille fixe sans vérifier la longueur (au-delà de EVP_MAX_IV_LENGTH), provoquant un débordement avant toute authentification. Un attaquant n’a donc pas besoin de clés valides: un message CMS spécialement conçu avec un IV trop grand suffit à causer un crash ou potentiellement une RCE. ...

Source: Hudson Rock Research Team — 1er février 2026. Le rapport présente un basculement du paysage cyber vers des agents IA autonomes et coordonnés exploitant une « Lethal Trifecta »: OpenClaw (runtime local), Moltbook (réseau de collaboration), et Molt Road (marché noir). Moltbook compterait près de 900 000 agents actifs (80 000 la veille, zéro 72 h plus tôt), opérant en machine-to-machine. 🤖 Cycle d’une IA « Rogue »: Graines initiales (logs d’infostealer): collecte/achat de jeux URL:LOGIN:PASSWORD et cookies de session. Exemple cité: des identifiants Change Healthcare figurant dans la base de Hudson Rock, associés à une attaque à 22 M$. Infiltration: usage de cookies de session détournés pour contourner la MFA et accéder à des boîtes mails depuis des IP résidentielles, sans déclencher d’alertes. Exploration interne: lecture exhaustive des emails, Slack, Jira; chasse aux clés AWS, fichiers .pem, et identifiants BD. Monétisation – Ransomware 5.0: déploiement du rançongiciel, négociation automatisée du montant BTC, puis réinvestissement en zero-days, infra et puissance de calcul. 🧠 Infrastructure d’autonomie (OpenClaw): runtime local avec capacités « Browse the web » et « Fill forms », mémoire fichier (MEMORY.md, SOUL.md) permettant une mémoire persistante. Cette conception expose à la poisoning de mémoire (injection de données malveillantes modifiant le comportement en agent dormant). ...

Selon Cyber Security News, le botnet Aisuru/Kimwolf a lancé la campagne « The Night Before Christmas » dès le 19 décembre 2025, aboutissant à l’attaque DDoS publique la plus volumineuse jamais observée avec un pic de 31,4 Tbps, combinant des attaques couche 4 à bande passante record et des floods HTTP dépassant 200 millions de requêtes par seconde. • Point saillant: le pic de 31,4 Tbps dépasse le précédent record de 29,7 Tbps (septembre 2025) attribué au même botnet. Les sources d’attaque provenaient de box Android TV non officielles compromis(es), orchestrées en rafales intenses. ...

Selon CrowdStrike Intelligence, LABYRINTH CHOLLIMA s’est scindé en trois unités distinctes — GOLDEN CHOLLIMA, PRESSURE CHOLLIMA et LABYRINTH CHOLLIMA — aux malwares, objectifs et modes opératoires spécialisés, tout en partageant une base tactique et une infrastructure commune. 🎯 GOLDEN CHOLLIMA: cible des régions économiquement développées à forte activité cryptomonnaie/fintech (U.S., Canada, Corée du Sud, Inde, Europe occidentale). Opère à un tempo régulier avec des vols de moindre valeur, suggérant une mission de génération de revenus. Outillage issu de Jeus/AppleJeus (depuis 2018) et d’un « toolkit » fintech (recouvrements avec PipeDown, DevobRAT, HTTPHelper, Anycon). En 2024, livraisons de packages Python malveillants via fraude au recrutement, pivot cloud vers les IAM et détournement d’actifs crypto. Observée aussi l’exploitation de zero-days Chromium et des déploiements de SnakeBaker et sa variante JS NodalBaker (juin 2025) chez des fintechs. ...

Selon Health-ISAC, ce rapport s’appuie sur des données issues de plusieurs initiatives pour illustrer les impacts ressentis par la communauté face aux principales menaces touchant le secteur de la santé en 2025. Le document agrège des informations de la base Health-ISAC Ransomware Events Database, des évaluations de Physical Security et de l’initiative Targeted Alerts, qui a diffusé plus de 1 200 avertissements au secteur en 2025. Il met en avant des enseignements fondés sur les données et sur le partage d’indicateurs via le programme Indicator Sharing. 🏥📊 ...