IOC

Dans un billet technique publié le 14 janvier 2026, l’auteur détaille une méthode permettant à un adversaire de forger des cookies d’authentification pour des applications Next.js utilisant NextAuth/Auth.js, en s’appuyant sur la vulnérabilité React2Shell (CVE-2025-55182). Le contexte décrit que l’exploitation de React2Shell peut laisser très peu de traces et permettre à un attaquant d’exfiltrer des variables d’environnement, notamment des identifiants OAuth et surtout le secret d’application de NextAuth (NEXTAUTH_SECRET/AUTH_SECRET). L’article souligne que la rotation des seuls secrets OAuth est insuffisante : le secret NextAuth est la clé pour chiffrer et authentifier les cookies de session. ...

Dans un billet technique publié le 14 janvier 2026, l’auteur analyse la dernière version du loader Kazuar v3 attribué à Turla, faisant écho à une campagne évoquée par ESET (étiquette d’agent AGN-RR-01). Le point d’entrée est un VBScript (8RWRLT.vbs) qui crée des répertoires sous %LOCALAPPDATA%\Programs\HP\Printer\Driver, télécharge plusieurs fichiers depuis 185.126.255[.]132, exécute un exécutable HP signé (hpbprndi.exe) pour déclencher un DLL sideloading, et établit une persistance via une clé Run. Le script collecte ensuite des infos hôte (OS, uptime, archi CPU, nom machine/utilisateur/domaine, liste des processus, inventaire du dossier créé) et les envoie en POST vers /requestor.php. ...

Selon Cisco Talos (Threat Spotlight du 15 janv. 2026), le groupe UAT‑8837 est évalué avec une confiance moyenne comme un acteur APT à nexus chinois, principalement orienté vers l’obtention d’accès initial à des organisations de grande valeur. Depuis au moins 2025, ses cibles se concentrent sur les secteurs d’infrastructure critique en Amérique du Nord. Après compromission, l’acteur déploie surtout des outils open source pour collecter des identifiants, configurations de sécurité et informations de domaine/AD, multipliant les canaux d’accès. Les TTPs et l’infrastructure observées recoupent l’exploitation récente de CVE‑2025‑53690 (zero‑day de désérialisation ViewState dans les produits Sitecore), laissant penser qu’UAT‑8837 dispose d’exploits zero‑day. ...

Source: COSIC (KU Leuven), 16 janvier 2026. Des chercheurs du groupe COSIC de la KU Leuven présentent “WhisperPair”, une famille d’attaques exploitant une mauvaise implémentation de Google Fast Pair sur de nombreux accessoires audio Bluetooth. Classée critique par Google sous CVE-2025-36911, la faille permet à un attaquant d’hijacker des écouteurs/casques et, dans certains cas, d’en suivre la localisation via le réseau Google Find Hub. Les correctifs dépendent des fabricants d’accessoires et nécessitent une mise à jour du firmware. 🎧🔒 ...

Source: Endor Labs — Analyse technique d’une campagne de supply chain visant l’écosystème des « community nodes » n8n; mise à jour au 2026-01-13 indiquant que la campagne est toujours active. ⚠️ Des attaquants ont publié sur npm des paquets n8n déguisés en intégrations « Google Ads » pour collecter des identifiants OAuth/API via un formulaire de configuration légitime, puis exfiltrer ces secrets lors de l’exécution des workflows vers un serveur sous contrôle adversaire. Cette offensive va au-delà des récentes failles RCE n8n et exploite la confiance accordée aux nœuds communautaires non audités. ...

Source: SecurityAffairs, relayant un rapport de l’Insikt Group (Recorded Future). Entre février et septembre 2025, le groupe lié au GRU russe APT28/BlueDelta a élargi ses opérations de vol d’identifiants en ciblant des personnels d’agences énergie/nucléaire en Turquie, des think tanks européens, ainsi que des organisations en Macédoine du Nord et en Ouzbékistan. Les campagnes reposaient sur des fausses pages de connexion imitant Microsoft Outlook Web Access (OWA), Google et Sophos VPN, avec redirection vers les sites légitimes après la capture des identifiants pour réduire la détection. Les attaquants ont privilégié des infrastructures à bas coût et jetables (hébergement gratuit, services de tunneling) et des leurres PDF légitimes (publications du Gulf Research Center et de l’EcoClimate Foundation/ECCO) pour renforcer la crédibilité et contourner les contrôles e-mail. ...

Selon BleepingComputer, entre octobre et décembre 2025, des officiels des Forces de défense ukrainiennes ont été visés par une campagne à thème caritatif qui a livré un malware de type backdoor, nommé PluggyApe. 🎯 Campagne PluggyApe visant les Forces de défense ukrainiennes Entre octobre et décembre 2025, des responsables des Forces de défense ukrainiennes ont été ciblés par une campagne malveillante se faisant passer pour des initiatives caritatives. Selon un rapport de :contentReference[oaicite:0]{index=0}, les attaques sont attribuées avec un niveau de confiance moyen à un groupe de menace russe connu sous les noms Void Blizzard et Laundry Bear. ...

Selon GBHackers Security, l’industrialisation des escroqueries « pig‑butchering » a atteint un point critique, portée par un écosystème Pig‑Butchering‑as‑a‑Service (PBaaS) qui se développe en Asie du Sud‑Est. Un marché PBaaS tentaculaire propose des services complets: plates‑formes d’arnaque clés en main, identités volées, cartes SIM pré‑enregistrées, applications mobiles, infrastructures de paiement et création de sociétés écrans. 🧩 Dans ce contexte, une nouvelle plateforme nommée « Penguin » commercialise des kits de pig‑butchering, des données personnelles (PII) et des comptes volés, facilitant l’exécution d’arnaques complexes. ...

Selon GBHackers Security, une campagne sophistiquée attribuée au groupe criminel BlackCat a été mise au jour par CNCERT et Microstep Online, visant des internautes via des sites factices de téléchargement Notepad++ optimisés pour les moteurs de recherche. La campagne s’appuie sur des faux sites Notepad++ mis en avant par des techniques de SEO poisoning afin de tromper les utilisateurs et les pousser à télécharger des paquets logiciels piégés. Une fois exécutés, ces paquets déploient des chevaux de Troie à porte dérobée destinés à l’exfiltration et au vol de données 🎯. L’opération est décrite comme coordonnée et sophistiquée, ciblant des utilisateurs « grand public » via la recherche en ligne. ...

Source : Cyera Research Labs (blog de recherche, 7 janvier 2026). L’article détaille une faille critique dans n8n entraînant une exécution de code à distance non authentifiée et explique la chaîne d’exploitation, l’impact et la correction disponible. 🚨 Problème et impact Vulnérabilité : CVE-2026-21858 (score CVSS 10.0) dans n8n. Type : exécution de code à distance (RCE) non authentifiée via confusion du Content-Type. Impact : prise de contrôle de serveurs n8n localement déployés, estimée à ~100 000 instances affectées. Correctif : mettre à jour en 1.121.0 ou ultérieur; aucun contournement officiel disponible. 🧩 Détails techniques (résumé fidèle) ...