IOC

🔍 Contexte Arctic Wolf Labs a publié le 24 septembre 2026 une analyse technique détaillée d’une campagne en cours ciblant principalement des utilisateurs ukrainiens via des sites web légitimes compromis. 🎯 Vecteur d’infection Les attaquants ont injecté des iframes malveillants dans plusieurs sites d’entreprises ukrainiennes légitimes (clinique capillaire, fabricant de maquettes, libraire, établissement psychologique, revendeur d’outils, revendeur automobile). L’iframe charge une fausse page de vérification Cloudflare en langue ukrainienne, imitant un CAPTCHA authentique. ...

🔍 Contexte Publié le 23 septembre 2026 par Matt Jones (elttam Security), cet article de recherche détaille la découverte et l’exploitation d’une vulnérabilité de type format string (CWE-134) dans tac_plus, le daemon TACACS+ issu du code de référence Cisco des années 1990. La vulnérabilité est qualifiée de CVE-pending au moment de la publication. 🐛 La vulnérabilité La faille réside dans la fonction send_authen_error() du fichier packet.c. Le champ session.port, contrôlé par l’attaquant via le champ port d’un paquet AUTHEN/START, est passé directement comme format string à la fonction report(), elle-même wrapper de vsnprintf(). ...

🔍 Contexte Publié le 25 septembre 2026 par DCSO CyTec Blog, cet article présente une analyse technique approfondie d’une nouvelle famille de malware baptisée Sauron Loader, découverte lors de plusieurs engagements clients en Allemagne. Le malware est vendu sous forme de Malware-as-a-Service (MaaS) dans des forums souterrains russes, exclusivement à des cybercriminels russophones. 🎯 Vecteurs d’accès initial Les campagnes observées utilisent deux techniques d’ingénierie sociale : ClickFix-style attacks : manipulation de l’utilisateur pour exécuter du code malveillant Voice phishing (vishing) : les victimes sont d’abord inondées de spams, puis contactées par des attaquants se faisant passer pour le support IT, les incitant à initier des sessions Microsoft Quick Assist ou AnyDesk 🧬 Analyse technique du malware L’échantillon analysé est un installateur MSI (SHA256 : ee727d639eaa4ee2e0d7cafbe496e14aaac8df0955d9fb599f2c11dfa1d0f8f2) écrit en C++. À l’exécution, il dépose trois fichiers dans C:\ProgramData\keyroll : ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog de Viettel Cyber Security par le chercheur khoadha, cet article présente une analyse technique approfondie de CVE-2026-65660, une vulnérabilité affectant toutes les versions de Microsoft SharePoint (2013, 2016, 2019 et Subscription Edition). 🧩 Vulnérabilité : Bypass du type-check SafeControls La faille repose sur un contournement du mécanisme SafeControls via EditingPageParser.VerifyControlOnSafeList(). La méthode ToolPane.GetPartPreviewAndPropertiesFromMarkup() sépare les directives Register du markup Tag via ServerElementMarkupSource, puis les réassemble. La méthode RegisterDirective.GetHtml() reconstruit les directives sans valider les guillemets dans les valeurs d’attributs, permettant une injection de type SQL injection pour insérer des directives arbitraires. ...

🗞️ Contexte Article publié le 22 septembre 2026 par Joseph Cox sur 404 Media. Le groupe de cybercriminels ShinyHunters revendique publiquement une intrusion dans plusieurs services liés au FBI, affirmant détenir des données sur l’ensemble des employés et candidats du FBI. 🎯 Nature de l’attaque Selon un représentant du groupe, l’attaque a été réalisée via une vulnérabilité zero-day dans Oracle PeopleSoft. À partir de ce point d’entrée initial, les attaquants ont accédé à des serveurs AWS GovCloud et procédé à l’exfiltration de données. ...

🗓️ Contexte Article exclusif publié par Reuters le 23 septembre 2026, basé sur l’analyse d’un échantillon de données prétendument volées au FBI par le groupe cybercriminel ShinyHunters. 🎯 Nature de l’incident Le groupe ShinyHunters revendique la compromission du portail FBIJobs.gov, affirmant détenir un volume total de 2 à 3 téraoctets de données. Un échantillon de 5 000 lignes a été partagé avec Reuters, contenant : Noms, adresses, numéros de téléphone, dates de naissance Numéros de sécurité sociale Coordonnées de contacts d’urgence (conjoints, enfants) Affectations à des bureaux de terrain et à des unités sensibles 🔍 Données opérationnelles exposées L’échantillon révèle des affectations à des unités particulièrement sensibles : ...

📰 Source : SecurityWeek, publié le 23 septembre 2026 par Ionut Arghire. Adobe a déployé le mardi 23 septembre 2026 des correctifs couvrant 36 vulnérabilités réparties sur plusieurs produits, avec un focus particulier sur des failles critiques dans Adobe Connect et Adobe Experience Manager (AEM) Forms. 🔴 Adobe Connect — 9 vulnérabilités corrigées La mise à jour Adobe Connect résout 9 failles, dont 6 de sévérité critique : CVE-2026-75682, CVE-2026-75684, CVE-2026-75686, CVE-2026-75689, CVE-2026-75697, CVE-2026-75698 Types : injection SQL, cross-site scripting (XSS), validation d’entrée incorrecte Impact potentiel : exécution de code arbitraire et élévation de privilèges Les 3 failles restantes sont de sévérité haute (path traversal, validation de certificat incorrecte, XSS) pouvant mener à une lecture arbitraire du système de fichiers, un contournement de fonctionnalité de sécurité et une exécution de code arbitraire. ...

🔍 Contexte Le 23 septembre 2026, SafeDep publie une analyse technique détaillée d’une attaque de type supply chain ciblant deux packages open source du projet MemTensor. L’attaque a été détectée via un signalement communautaire (issue #173) sur le dépôt GitHub du plugin OpenClaw. 🎯 Packages compromis npm : @memtensor/memos-cloud-openclaw-plugin — versions malveillantes 0.1.21, 0.1.23, 0.1.25 PyPI : MemoryOS — version malveillante 2.0.34 Les deux packages contiennent le même implant Go nommé sckit, compilé pour six plateformes (linux/darwin/windows × amd64/arm64). ...

📰 Contexte Source : SecurityWeek, publié le 23 septembre 2026 par Ionut Arghire. Check Point a annoncé des correctifs d’urgence pour deux vulnérabilités critiques activement exploitées dans plusieurs de ses produits de sécurité réseau. 🔴 CVE-2026-93616 — Directory Traversal & File Upload (CVSS 9.8) Produits affectés : Security Management Server Multi-Domain Security Management Server Log Server Multi-Domain Log Server SmartEvent Cette faille de type directory traversal et upload de fichier permet à des attaquants non authentifiés d’uploader et d’exécuter des scripts arbitraires sur le Management Server. Check Point confirme une exploitation active contre un nombre limité de clients. ...

🔍 Contexte Publié le 22 septembre 2026 par Ryan Fetterman sur le blog Cisco Talos Intelligence, cet article présente la découverte de CLOSEDQUORUM, un implant Windows identifié via le projet CAIRN (toolkit open-source de Talos pour le suivi des malwares intégrant l’IA). Aucun déploiement in-the-wild n’est confirmé, mais des artefacts du binaire ont permis de relier le développeur à des forums criminels liés au carding, datant de 2025. 🧠 Architecture “LLM-as-C2” CLOSEDQUORUM est un exécutable Windows 64 bits de 16,4 Mo compilé en Go (avec CGO activé pour les appels système Windows directs). Sa particularité fondamentale est de remplacer l’infrastructure C2 traditionnelle par un panel de quatre fournisseurs LLM commerciaux : ...