IOC

🔍 Contexte Publié le 27 juillet 2026 sur le blog de recherche Karma(In)Security (karmainsecurity.com), cet article détaille une vulnérabilité critique d’exécution de code à distance (RCE) affectant le logiciel de forum vBulletin, découverte par le chercheur Egidio Romano. La divulgation a été coordonnée via SSD Secure Disclosure. 🎯 Versions affectées vBulletin 5.x : version 5.7.5 et antérieures vBulletin 6.x : version 6.2.1 et antérieures 🛠️ Description technique La vulnérabilité réside dans le fichier /includes/vb5/template/runtime.php, au sein de la méthode statique vB5_Template_Runtime::runMaths(). Le paramètre $str est filtré par une expression régulière autorisant uniquement les chiffres, parenthèses, opérateurs mathématiques et binaires (dont XOR), avant d’être passé directement à un appel eval(). ...

🔬 Contexte Publié le 22 juillet 2026 par Juan Andrés Guerrero-Saade et Gabriel Bernadett-Shapiro (SentinelLABS), cet article présente un benchmark original conçu pour évaluer les capacités des modèles de langage frontier dans le cadre d’une investigation autonome de malware sur le long terme. 🧪 Le benchmark : fast16 comme cas d’étude Le benchmark s’appuie sur fast16, un implant Windows de sabotage datant de 2005, conçu pour altérer des solveurs haute précision utilisés dans la modélisation d’armes nucléaires. Ce malware présente une architecture en couches : ...

🔍 Contexte Le 27 juillet 2026, JetBrains a publié sur son blog officiel un avis de sécurité critique concernant TeamCity On-Premises, sa solution CI/CD. La vulnérabilité a été signalée de manière privée le 10 juillet 2026 par Antoni Tremblay dans le cadre de la politique de divulgation coordonnée de JetBrains. 🚨 Vulnérabilité CVE : CVE-2026-63077 Sévérité : Critique Type : Exécution de commandes OS arbitraires sans authentification (RCE non authentifiée) Vecteur : HTTP(S) via le protocole de polling des agents TeamCity Périmètre affecté : Toutes les versions de TeamCity On-Premises Non affecté : TeamCity Cloud (correctif déjà appliqué, aucune exploitation détectée) 💥 Impact potentiel En cas d’exploitation réussie : ...

📋 Contexte : ESET Research publie son rapport semestriel H1 2026 (décembre 2025 – mai 2026), couvrant les grandes tendances du paysage des menaces observées via sa télémétrie mondiale. 🤖 Menaces liées à l’IA ESET a analysé près de 900 000 skills d’IA issus de dépôts populaires entre mars et mai 2026 : 25 000 ont été jugés suspects et plus de 3 000 bloqués comme malveillants. Ces composants peuvent être abusés pour exfiltrer des données, télécharger des malwares, injecter du code ou modifier le comportement d’un agent IA dans le temps. Des skills malveillants intégraient des outils offensifs comme Impacket, Mimikatz et BloodHound. ...

🗓️ Contexte Source : BleepingComputer, publié le 25 juillet 2026. La campagne a été signalée par un lecteur de BleepingComputer, qui a alerté la rédaction sur une activité malveillante observée sur les forums de discussion Steam. 🎯 Description de l’attaque Des acteurs malveillants créent des comptes Steam aléatoires pour répondre à des posts d’utilisateurs signalant des problèmes (crashs de jeux, inventaires perdus, problèmes techniques). Ils proposent de fausses solutions en demandant aux victimes d’ouvrir PowerShell en tant qu’administrateur et d’exécuter une commande fournie. Cette technique est connue sous le nom de ClickFix, une tactique d’ingénierie sociale exploitant la confiance des utilisateurs cherchant une solution à un problème réel. ...

🔍 Contexte Publié le 21 juillet 2026 par la société FearsOff (Dubai, UAE) sur leur blog de recherche, cet article détaille la découverte et l’exploitation d’une vulnérabilité RCE critique dans FastJson 1.2.83, identifiée sous CVE-2026-16723. FastJson 1.2.83 était jusqu’ici considéré comme la version sûre de la branche 1.x, notamment parce qu’AutoType est désactivé par défaut. 🧩 Mécanisme de la vulnérabilité La vulnérabilité repose sur le comportement de la fonction checkAutoType dans FastJson 1.2.83 : ...

🔍 Contexte Publié le 22 juillet 2026 par Varonis Threat Labs, cet article présente l’analyse technique de Dolphin X, un nouveau malware de type stealer et remote access trojan (RAT) pour Windows, découvert sur un forum cybercriminel. Le vendeur opère sous l’alias « Kontraktnik ». 🎯 Capacités de collecte Dolphin X revendique la capacité de cibler plus de 300 applications réparties en dix catégories : 9 navigateurs (Chromium et Gecko) avec déchiffrement DPAPI Plus de 100 extensions de portefeuilles crypto et 65 portefeuilles desktop 10 gestionnaires de mots de passe 30 outils CLI cloud (tokens cloud, pipelines CI/CD) Fichiers .env, clés SSH, et autres credentials DevOps Toutes les données collectées sont regroupées dans une seule archive, permettant un accès potentiel à des environnements de production entiers depuis une seule infection. ...

📊 Source et contexte : Ce rapport est publié par Cyble Research and Intelligence Labs (CRIL), couvrant la période janvier–juin 2026. Il s’agit d’une rétrospective mondiale structurée par région (Amériques, Europe/UK, Asie-Pacifique, Moyen-Orient/Afrique, Australie/Nouvelle-Zélande). 🔢 Chiffres clés mondiaux 3 836 attaques ransomware (moyenne >630/mois) 367 incidents de fuite/violation de données 129 ventes d’accès initiaux 32 400+ domaines impactés par l’hacktivisme ~9 825 posts de fuite liés à des canaux hacktivistes 146 CVE analysées, dont ~90% critiques ou élevées 🦠 Groupes ransomware dominants ...

🔍 Contexte Publié le 23 juillet 2026 par Confiant (Michael Steele), cet article présente une analyse technique approfondie de SourTrade, une opération de malvertising persistante active depuis fin 2024, ciblant des investisseurs en cryptomonnaies et des traders particuliers dans 12 pays et 25 langues. 🎯 Ciblage et usurpation de marques SourTrade diffuse des publicités programmatiques en usurpant trois marques légitimes : TradingView (outil de charting) Solana (réseau blockchain layer-1) Luno (plateforme fiat-to-crypto) Les pays ciblés incluent le Japon, la Thaïlande, la Corée du Sud, Taïwan, Hong Kong, la Bolivie, le Brésil, le Nigeria, la Turquie, l’Afrique du Sud, l’Australie et le Royaume-Uni. Les publicités sont diffusées via Google Ads, Meta/Facebook et Twitter/X. ...

🌐 Contexte Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026. 🎯 Campagnes documentées Campagne 1 — Fortibleed (Fortinet FortiGate) Campagne de masse de collecte de credentials identifiée mi-juin 2026 Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines) Craquage des hashes de mots de passe stockés Analysée par Kevin Beaumont, Hudson Rock et SOCRadar Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257) Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026 CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026 Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral Campagne 3 — Check Point VPN (CVE-2026-50751) CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation) Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé Affilié Qilin confirmé dans des activités post-compromission CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild Campagne 4 — Citrix NetScaler (CVE-2026-8451) CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal IP source d’une campagne tracée : 146.70.139[.]154 CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026 🛠️ Outils et techniques observés Impacket — mouvement latéral et abus de protocoles NTLM relay attacks — escalade de privilèges Mimikatz — dump de credentials en mémoire PsExec, RDP, WMI — mouvement latéral living-off-the-land Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine WSL (Windows Subsystem for Linux) — évasion EDR Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées 🏭 Secteurs ciblés Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques. ...