IOC

🔍 Contexte Le 15 septembre 2026, les chercheurs Asher Davila et Doel Santos d’Unit 42 (Palo Alto Networks) ont publié une analyse technique détaillée d’une famille de malware baptisée Neural Override, un RAT Python en cinq builds actif depuis juillet 2026. 🧠 Description du malware Neural Override est un RAT Python contrôlé via un bot Telegram (@Skibidi_16_bot, nom d’affichage « Pomoshnik ») et intégrant une boucle autonome d’attaque pilotée par LLM via l’API OpenRouter AI. Le LLM analyse les systèmes compromis et sélectionne de manière autonome les actions d’attaque parmi un catalogue incluant : ...

🔍 Contexte Publié le 18 septembre 2026 sur GitHub par l’auteur BoydHacks, ntlmscout est un outil offensif open source en Python 3.7+ (fichier unique, sans dépendances externes) destiné à la reconnaissance des endpoints NTLM exposés sur Internet. ⚙️ Fonctionnement technique L’outil exploite le fait qu’une négociation NTLM non authentifiée (message Type-1 NEGOTIATE) provoque en réponse un message Type-2 CHALLENGE qui divulgue de nombreuses informations internes Active Directory avant toute transmission de credential : ...

🔍 Contexte Publié le 18 septembre 2026 sur GitHub (nmht3t/OneDrive-UDC2), cet article présente un outil offensif permettant d’utiliser Microsoft OneDrive for Business comme couche de transport pour un canal User-Defined C2 (UDC2) de Cobalt Strike. ⚙️ Fonctionnement technique L’outil repose sur l’API Microsoft Graph avec la permission applicative Files.ReadWrite.All pour lire et écrire des fichiers dans des dossiers OneDrive dédiés. L’architecture se compose de : Un relay Python (server/relay.py) qui fait le pont entre OneDrive et le teamserver Cobalt Strike via le protocole UDC2 Un client BOF (client/bof.o) chargé dans Cobalt Strike comme listener UDC2 Deux dossiers OneDrive distincts : un inbox (commandes entrantes) et un outbox (réponses sortantes) 🛠️ Prérequis et configuration L’opérateur doit disposer de : ...

🔍 Contexte Publié le 15/09/2026 sur GitHub (aftermathlabs/discord-crasher), ce dépôt présente media-gen, un outil en ligne de commande Rust permettant de générer deux cas de test de vulnérabilités de parsing média affectant Discord Desktop 1.0.9257 (Electron 42.11.1 / Chromium 148.0.7778.280) et Chrome 153.0.8010.48. 🎯 Cas 1 : WebM/Vorbis — Crash du renderer (STATUS_BREAKPOINT) Mécanisme : Un fichier WebM avec une piste A_VORBIS est modifié pour exploiter un DiscardPadding négatif Matroska converti en saut avant Vorbis. Un « bridge » est construit pour couvrir à la fois l’ancien chemin Vorbis à délai d’un buffer et le chemin actuel à rejet immédiat. Impact : Le renderer se termine avec 0x80000003 (STATUS_BREAKPOINT) dans AudioDiscardHelper::ProcessBuffers de Chromium, car l’invariant discarded_frames <= decoder_delay (129 <= 128) échoue. Déclencheur : Lecture/décodage du fichier média (le simple chargement des métadonnées ne suffit pas). SHA-256 du fichier généré : a0ab9e146c629f037b86612addc1ab6fff9200711d45aa5f5edbb9576cc206ac 🎯 Cas 2 : M4A — Allocation mémoire excessive (~6,6 Go) Mécanisme : Un fichier M4A est modifié pour déclarer un nombre de samples constant (sample_count = 178,956,969) dans les tables stsz, stsc et stts. Le démuxeur FFmpeg intégré à Discord traite ce compteur comme autoritaire et alloue ~36 octets par entrée (AVIndexEntry + tables de timing). Impact : Le renderer Discord atteint un pic de mémoire privée de 6,614,761,472 octets (~6,6 Go) lors du chargement des métadonnées. Classé CWE-400 (consommation de ressources non contrôlée). Déclencheur : Chargement des métadonnées après passage de preload="none" à metadata sur l’élément audio. Valeur limite : 178,956,970 est rejetée par FFmpeg et ne déclenche pas l’allocation. 🛠️ Méthode de découverte : BLARE2 L’outil blare2 (instrumentation binaire) a été utilisé pour : ...

🔍 Contexte Publié le 15 septembre 2026 sur GitHub (mlcsec/ResetSpy), cet article présente ResetSpy, un outil offensif en Python ciblant l’endpoint Self-Service Password Reset (SSPR) de Microsoft Entra ID (anciennement Azure AD). ⚙️ Fonctionnement technique L’outil effectue deux requêtes HTTP par cible : Un GET sur passwordreset.microsoftonline.com pour récupérer les tokens de session ASP.NET (__VIEWSTATE, __EVENTVALIDATION, WorkflowConsistencyCheck) Un POST simulant la soumission du formulaire navigateur pour déclencher la réponse du serveur Le champ CurrentViewName de la réponse ASP.NET est utilisé comme signal autoritatif. Les méthodes de vérification sont extraites depuis les boutons radio HTML du composant MultigateAuthenticationControl. ...

🕵️ Contexte Le 19 septembre 2026, la plateforme Hackread.com a observé la défiguration du site Tor opéré par le groupe ransomware Clop (aussi écrit Cl0p). L’attaque aurait débuté dans la nuit du 18 septembre 2026. ⚔️ Déroulement de l’attaque Le groupe ShinyHunters revendique avoir exploité une vulnérabilité d’upload de fichier non authentifié dans le système de gestion de contenu Grav utilisé par le site de fuite de Clop. Cette compromission initiale a progressé jusqu’à une défiguration complète du site onion. ...

🔍 Contexte Publié le 20 septembre 2026 par Omri Dar (Remedio Research), cet article présente une vulnérabilité de contournement de sécurité dans Visual Studio Code (VS Code) de Microsoft, affectant la dernière version stable au moment de la publication. La faille a été signalée au Microsoft Security Response Center (MSRC), qui l’a classée comme « Security Feature Bypass de sévérité modérée » sans attribution de CVE et sans correctif déployé. ...

🔍 Contexte Publié le 15 septembre 2026 par Mr.Z sur le blog de recherche 0xsp, cet article présente une technique offensive originale exploitant WerEnc.dll (Windows Error Reporting Dump Encoding Library), une DLL signée Microsoft présente sur tous les systèmes Windows 10 1607+ et Windows 11. 🧩 Technique principale : BYOK (Bring Your Own Key) WerEnc.dll exporte deux fonctions : EncryptDumpFile (ordinal 1) et EncryptDumpStream (ordinal 2), qui appliquent un chiffrement AES-256 avec une clé de session wrappée via RSA-4096 vers une clé publique Microsoft embarquée dans la DLL. ...

🔍 Contexte L’analyse est publiée le 16 septembre 2026 par la Sansec Forensics Team sur la base d’investigations forensiques menées après un incident de sécurité initialement divulgué par Brevo (anciennement Sendinblue) le 10 septembre 2026. Brevo avait alors signalé la compromission de 6 comptes clients ; Sansec révèle une attaque d’ampleur bien supérieure. 🎯 Nature de l’attaque Le 14 septembre 2026 entre 16:05:18 et 20:12:53 UTC, des attaquants ont injecté un script malveillant dans les assets JavaScript servis par Brevo, transformant la chaîne d’approvisionnement de l’éditeur en vecteur d’attaque massif. Les fichiers compromis incluent : ...

📰 Source : Securelist (Kaspersky) — Publication le 17 septembre 2026, auteurs : Konstantin Isakov et Pavel Cheremushkin. 🎯 Contexte Depuis mi-août 2026, Kaspersky a identifié une campagne de distribution massive de malware déguisé en films populaires via des trackers torrent. L’activité de l’acteur remonte à octobre 2025. Plusieurs centaines de victimes ont été identifiées, incluant des individus et des organisations dans de nombreux pays : Russie, Turquie, Japon, Kenya, Ouganda, Colombie, Espagne, Pays-Bas, Belgique, Allemagne, Finlande, Népal, Tanzanie, Ghana. ...