IOC

📰 Source : BleepingComputer, publié le 11 septembre 2026 par Sergiu Gatlan. L’article couvre la divulgation et le correctif de deux vulnérabilités critiques affectant la plateforme GitLab. 🔴 Vulnérabilité principale — CVE-2026-85706 (sévérité maximale) Une faille de path traversal a été identifiée dans l’API repository commits de GitLab. Elle résulte d’un confinement de chemin inapproprié et d’une absence d’enforcement d’authentification. Des attaquants non authentifiés peuvent exploiter cette vulnérabilité pour lire des fichiers arbitraires sur les serveurs vulnérables « sous certaines conditions ». La faille a été découverte par le chercheur en sécurité opérant sous le pseudonyme s3ntago via le programme de bug bounty HackerOne de GitLab. ...

🗓️ Contexte Analyse publiée le 10 septembre 2026 sur flyingpenguin.com par Davi Ottenheimer, s’appuyant sur le rapport Microsoft Threat Intelligence du 28 août 2026, l’avis BSI BITS-B 2026-287419-1032 du 4 septembre 2026 (TLP:CLEAR, criticité 2/4), et la reconstruction du Tagesspiegel. L’incident concerne le Landesnetz de Berlin, réseau des administrations du Land. 🎯 Vecteur initial et chaîne d’attaque Un seul employé de l’administration des transports de Berlin a cliqué sur un lien de phishing. Le leurre, nommé TerminalFix, hébergé sur linked-log[.]com, simulait une vérification Cloudflare Turnstile et écrivait du PowerShell dans le presse-papiers. L’utilisateur était ensuite guidé pour ouvrir Windows Terminal (Win+X, I) et coller la commande (Ctrl+V, Entrée). ...

🔍 Contexte Cet article est publié le 9 septembre 2026 par Nozomi Networks Labs sur leur blog officiel. Il présente une analyse technique approfondie d’un nouveau malware IoT baptisé KATARU, découvert lors d’une compromission de honeypot. 🎯 Vecteur d’accès initial L’infection a été observée en août 2026 via un brute force de credentials Telnet depuis une adresse IP localisée au Vietnam. Après accès, l’acteur a utilisé des commandes BusyBox pour récupérer et exécuter un payload ARM nommé vlxx.arm (SHA1 : 13382c16e2401b07451577b46e634b8031ec254d98b876e5969 2b5fa22abc1d4). ...

🔍 Contexte Publié le 10 septembre 2026 par Check Point Research, cet article présente PuzzleMask, une nouvelle technique d’attaque ciblant les pipelines LLM à double étage (gatekeeper → target model). La recherche démontre comment des payloads malveillants peuvent être dissimulés dans de la prose ordinaire en anglais, sans recours à des encodages exotiques (Base64, emojis, formatage invisible). ⚙️ Mécanisme de l’attaque La technique repose sur un wrapper en prose soigneusement construit qui encapsule un payload interdit. Le principe exploite la différence de capacités entre : ...

🔍 Contexte Publié le 4 septembre 2026 sur le blog personnel de l’auteur (ai.rud.is), cet article présente les résultats d’un recensement technique portant sur l’adoption du standard llms.txt parmi les 100 entreprises de cybersécurité les plus influentes selon l’Université de San Diego (liste mise à jour le 21 juillet 2026). 📋 Méthodologie L’auteur a sondé l’URL https://<domain>/llms.txt pour chacune des 100 entreprises, en utilisant un User-Agent Chrome réel, un timeout de 25 secondes, et en classifiant les réponses selon le contenu (et non le code HTTP). Des re-tests ont été effectués avec les User-Agents GPTBot, ClaudeBot, ChatGPT-User et Claude-User pour les cas bloqués. ...

🗞️ Contexte Publié le 10 septembre 2026 par SecurityWeek (auteur : Ionut Arghire), cet article rapporte la divulgation publique d’un nouvel exploit zero-day baptisé ShieldCrash, ciblant Microsoft Defender sur des systèmes Windows entièrement patchés, y compris ceux ayant appliqué les correctifs de septembre 2026. 🔍 Détails techniques Le chercheur en sécurité connu sous les pseudonymes Nightmare Eclipse, Chaotic Eclipse, Infinite Nightmare et MSNightmare a publié un proof-of-concept (PoC) démontrant : Une lecture arbitraire de fichiers avec privilèges SYSTEM La possibilité d’exploiter la vulnérabilité sous-jacente pour obtenir des privilèges SYSTEM complets La capacité de dumper la base SAM (Security Account Manager) 🔗 Chaîne de vulnérabilités ShieldCrash s’inscrit dans une chaîne de bypasses successifs : ...

🗓️ Source : Blackfog, publié le 7 septembre 2026 🔍 Contexte Blackfog a identifié et analysé un nouvel infostealer Windows baptisé Bee Stealer, distribué sur des réseaux cybercriminels sous forme de Malware-as-a-Service (MaaS). La version analysée est la 2.1. 🤖 Fonctionnalité de profilage IA Bee Stealer v2.1 introduit une fonctionnalité appelée “AI PC profile” : un réseau de neurones analyse les logs volés et génère deux fichiers de profil victimes — ProfileEn.txt (anglais) et ProfileRu.txt (russe). Le profil couvre l’identité probable, l’activité et les services fréquemment utilisés de la victime. Ce traitement s’effectue après exfiltration des logs vers l’infrastructure attaquante, et non dans le payload Windows. Il s’agit d’un outil de triage permettant aux opérateurs d’identifier rapidement les victimes à haute valeur avant expiration des sessions. ...

🔍 Contexte Publié le 7 septembre 2026 par CloudSEK (source : cloudsek.com), cet article présente les résultats d’une investigation menée par l’équipe TRIAD ayant obtenu un accès administrateur au panneau de contrôle de la campagne BigBear 2.0, une opération de phishing-as-a-service (PhaaS) basée sur le framework Evilginx2. 🎯 Description de la campagne BigBear 2.0 est une plateforme PhaaS multi-utilisateurs opérée sous l’alias “General Boss”, ciblant exclusivement Microsoft 365 / Azure AD (Entra ID) via la technique Adversary-in-the-Middle (AiTM). La campagne a été active depuis au moins juin 2026 et était toujours en cours au moment de la publication. ...

🔍 Contexte Publié le 8 septembre 2026 par l’équipe Threat Research de Proofpoint, en collaboration avec Google GTIG, Microsoft MSTIC et Volexity, ce rapport documente la découverte et l’adoption rapide du kit d’exploitation BlueMoon par plusieurs acteurs de menace alignés sur des États, principalement la Chine, entre fin août et début septembre 2026. 🧩 Description de BlueMoon BlueMoon est un exploit kit chaînant trois vulnérabilités : CVE-2026-85046 : confusion de type dans le moteur V8 de Chromium (RCE dans le renderer) CVE-2026-87491 : échappement du sandbox V8 via corruption de métadonnées WebAssembly CVE-2026-85880 : élévation de privilèges locale (LPE) dans le noyau Windows via ALPC/WNF, ciblant des builds Windows anciens (10 1809, 20H2, 21H2, 22H2, Server 2019/2022, Windows 11 21H2) Les deux vulnérabilités V8 étaient des patch-gap zero-days : corrigées dans le code source Chromium upstream mais non encore déployées dans les versions stables publiques. Le LPE Windows présente un timestamp de compilation datant de 2025, suggérant une réutilisation d’une capacité existante. ...

🌐 Contexte Publié le 7 septembre 2026 par Kudelski Security en partenariat avec Sekoia (équipe TDR), cet article de recherche constitue une analyse stratégique et technique approfondie des capacités cyber offensives de la République Populaire Démocratique de Corée (RPDC). Il couvre l’architecture institutionnelle, les clusters APT, les programmes de travailleurs IT frauduleux et l’écosystème de soutien. 🏛️ Architecture institutionnelle Les opérations cyber nord-coréennes sont pilotées par trois institutions principales : GRIB (ex-RGB / Bureau général de reconnaissance) : principale agence de renseignement étranger, commandant les unités cyber offensives les plus capables, désigné KPA Unité 586 NIA (ex-MSS / Agence nationale de renseignement) : anciennement Ministère de la Sécurité d’État, renommé en juin 2026, chargé du contre-espionnage et des opérations contre les dissidents KWP (Parti des travailleurs coréens) : fixe les orientations politiques qui dictent les priorités cyber Les réorganisations fréquentes sont décrites comme un mécanisme de contrôle délibéré maintenant la compétition entre agences pour la faveur de Kim Jong-un. ...