IOC

🌐 Contexte Ce document est un Joint Cybersecurity Advisory (CSA) publié le 22 juillet 2026 par une coalition de 26 agences de renseignement et de cybersécurité, dont la NSA, le FBI, la CISA, le MIVD, l’AIVD, l’ANSSI, le NCSC-UK et de nombreuses autres. Il documente une campagne active d’espionnage cyber attribuée au groupe APT russe LAUNDRY BEAR (également suivi sous les noms Void Blizzard, CL-STA-1114, TA488). 🎯 Acteur et objectifs LAUNDRY BEAR est un groupe APT soutenu par l’État russe, actif depuis au moins avril 2024. Son objectif principal est la collecte covert de données email au profit de la Fédération de Russie. La campagne cible des organisations dans les secteurs suivants : ...

🔍 Contexte Publié le 20 juillet 2026 par VMRay Labs (source : vmray.com), ce rapport présente l’analyse complète d’une campagne cybercriminelle russophone jusqu’alors non attribuée, baptisée Operation STANDOFF. La découverte initiale provient d’un signal comportemental issu de la plateforme UniqueSignal de VMRay, à partir d’un échantillon analysé le 13 mai 2026. 🎯 Vecteur initial et chaîne d’infection L’échantillon initial, setup_x86_x64_install.exe (MD5 : e77221d7a4b47b9107ba1b61a551ca89), est un installeur NSIS de 16,65 Mo fonctionnant comme un loader Pay-Per-Install (PPI). Il dépose entre 40 et 50 exécutables dans %LOCALAPPDATA%\Temp\7zSCB82E89C\ sous des noms aléatoires MONXXXXXXXX.exe et installe simultanément plusieurs familles de malwares : ...

🔍 Contexte Le 22 juillet 2026, Qualys Threat Research Unit (TRU) publie un advisory détaillé sur CVE-2026-64600, baptisé RefluXFS, une vulnérabilité de type race condition dans le chemin copy-on-write (CoW) du système de fichiers XFS du noyau Linux. La découverte a été réalisée dans le cadre d’une collaboration entre Qualys et Anthropic, en intégrant le modèle Claude Mythos Preview dans le workflow d’audit manuel. ⚙️ Mécanisme technique La vulnérabilité se déclenche lorsque deux écritures O_DIRECT concurrentes ciblent le même fichier reflinké. XFS gère les écritures sur des blocs partagés via CoW : il alloue un nouveau bloc privé, remet en correspondance le fichier, puis décrémente le compteur de référence du bloc original. Pour éviter les deadlocks, le noyau relâche le verrou inode pendant l’attente d’espace dans le journal de transactions. Durant cette fenêtre, un second thread peut compléter son propre cycle CoW, remappant le fichier vers un nouveau bloc et faisant descendre le compteur de référence du bloc original à 1. ...

🔍 Contexte Publié le 23 juillet 2026 par Oren Yomtov (Principal Security Researcher, Accomplish), cet article technique détaille une chaîne d’exploitation baptisée SharedRoot affectant Claude Cowork, l’environnement d’exécution d’agents IA d’Anthropic pour macOS. La vulnérabilité a été signalée à Anthropic, qui l’a classée « Informative ». 🧱 Architecture de l’environnement ciblé Claude Cowork exécute les agents dans une VM Linux via le framework Apple Virtualization, avec : Un utilisateur de session non privilégié par session Un filtre seccomp Un daemon root (coworkd) gérant les montages de dossiers Le système de fichiers hôte entier (/) monté en lecture-écriture dans la VM à /mnt/.virtiofs-root, accessible uniquement par root dans le guest ⛓️ Chaîne d’exploitation SharedRoot Obtention de capacités : L’utilisateur non privilégié appelle unshare pour créer un namespace utilisateur (feature kernel non désactivée), obtenant CAP_NET_ADMIN à l’intérieur Chargement du module vulnérable : Avec CAP_NET_ADMIN, configuration d’une action tc utilisant le module act_pedit, autoloadé par le kernel via netlink (autorisé par le filtre seccomp permissif) Primitive d’écriture : Exploitation de CVE-2026-46331 (« pedit COW », bug Ubuntu public de juin 2026) permettant d’empoisonner le cache de pages d’un binaire en lecture seule sans modifier les octets sur disque Escalade vers guest-root : coworkd (root, non durci) ré-exécute le binaire helper empoisonné ; comme le processus exécutant est déjà root, NoNewPrivs ne s’applique pas Évasion de la VM : Guest-root accède à /mnt/.virtiofs-root — l’intégralité du système de fichiers hôte macOS — en lecture/écriture, sans aucune invite de permission 🎯 Impact Accès en lecture/écriture à l’ensemble du système de fichiers macOS de l’utilisateur connecté Exfiltration possible de clés SSH, credentials cloud, et tout fichier accessible par le compte utilisateur Exploitation déclenchée par un simple message dans une session Cowork avec un dossier connecté 🔐 Quatre décisions de conception identifiées comme défaillances Namespaces utilisateur non privilégiés activés : apparmor_restrict_unprivileged_userns=1 aurait bloqué la première étape Filtre seccomp en liste noire permissive : Un filtre en liste blanche refusant unshare, setns, clone3 et AF_NETLINK aurait bloqué la chaîne Autoload de modules non nécessaires : L’utilisation de install act_pedit /bin/false (pattern déjà appliqué par Cowork pour un autre module) aurait empêché le chargement de act_pedit Montage du système de fichiers hôte entier : Scoper le montage aux seuls dossiers connectés aurait contenu l’impact même avec guest-root 📌 Statut et mitigation Anthropic a classé le rapport « Informative » (CVE dans la fenêtre de 30 jours du programme). Cowork utilise désormais l’exécution cloud par défaut, ce qui rend ce vecteur d’évasion local inapplicable dans cette configuration. ...

🔍 Contexte Le CERT-UA a publié le 21 juillet 2026 une analyse technique détaillant une évolution significative des tactiques du cluster de cybermenaces UAC-0099, observée depuis mi-été 2026. 🎯 Vecteur d’infection La chaîne d’infection débute par un email de phishing contenant une image cliquable redirigeant via un service de raccourcissement d’URL vers un fichier ZIP malveillant (ex : Додатки до розпорядження.zip). L’archive contient un script VBS à double extension (ex : Заводський район.pdf .vbs) avec des espaces intentionnels pour masquer l’extension réelle. Ce script : ...

🏛️ Contexte Le 22 juillet 2026, la CISA, le FBI, la NSA, l’EPA, le DOE, le CNMF et le Département du Trésor ont publié une mise à jour de l’advisory AA26-097A (initialement publié le 7 avril 2026) concernant l’exploitation active de PLCs (automates programmables industriels) exposés sur internet par des acteurs APT affiliés à l’Iran. 🎯 Acteurs et ciblage Les agences attribuent cette activité à un groupe APT affilié à l’Iran, lié à l’IRGC Cyber Electronic Command (CEC). Ce groupe est rapproché des CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, Bauxite, UNC5691, etc.), déjà responsables d’attaques similaires en novembre 2023 contre des PLCs Unitronics. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🔍 Contexte L’Acronis Threat Research Unit (TRU) a publié le 21 juillet 2026 une analyse technique détaillée d’une campagne active du malware Lampion, ciblant principalement les utilisateurs portugais. Lampion est une famille de malware bancaire brésilien, dérivée de la lignée ChePro, documentée pour la première fois en décembre 2019. 🎣 Vecteur initial : phishing financier Les attaquants diffusent des emails de phishing se faisant passer pour des communications financières ou administratives légitimes. Les leurres incluent de faux reçus de paiement (« comprovativo ») et abusent de la marque SAPO, portail internet portugais opéré par Altice Portugal. Les pièces jointes sont des archives ZIP contenant des fichiers HTML fortement obfusqués (~1,3 Mo), artificiellement gonflés pour contourner la détection statique. ...

🔍 Contexte Le 21 juillet 2026, PRODAFT publie un rapport technique approfondi sur Funky Mantis, également suivi publiquement sous le nom DevMan, une opération de ransomware-as-a-service (RaaS) centralisée observée entre novembre 2025 et janvier 2026. 🏗️ Structure opérationnelle Funky Mantis fonctionne selon un modèle RaaS centralisé combinant : Gestion des affiliés via un portail web dédié (deux générations : décembre 2025 et v3 janvier 2026) Distribution d’accès réseau par pays Génération de payloads personnalisés (Windows, ESXi, Linux annoncés) Négociation des rançons et suivi des revenus Communications internes via Rocket.Chat (version 7.6) Le portail v3 (janvier 2026) a ajouté la gestion du cycle de vie des victimes, le suivi des délais, la création d’équipes et les codes d’invitation. ...

🔍 Contexte Publié le 23 juillet 2026 par HoneyLabs, cet article de recherche présente une méthodologie d’analyse de 30 millions de sondes honeypot visant à identifier des acteurs ayant sondé des chemins d’exploitation avant la publication officielle des CVE correspondants. 📡 Cas principal : CVE-2026-41940 (cPanel/WHM) Le 11 avril 2026, l’IP 85.122.114.177 (AS200019, Alexhost, Roumanie) a envoyé 16 requêtes vers /login/?login_only=1 sur le port 2087 (interface WHM de cPanel) sur une période de trois jours, puis est devenue silencieuse. Cette adresse n’a jamais requis aucun autre chemin sur aucun autre port. ...