IOC

🔍 Contexte Publié le 9 octobre 2026 par Luke Jennings (VP R&D, Push Security), cet article décrit la découverte et l’analyse technique d’une campagne de malvertising baptisée « Adception », détectée dans l’environnement d’un client de Push Security. 🎯 Description de l’attaque La chaîne d’attaque commence par une publicité Google sponsorisée ciblant la requête claude mac, dont le domaine affiché est bing.com. La chaîne de redirection complète est la suivante : ...

🔍 Contexte Publié le 14 octobre 2026 par ANY.RUN sur leur blog de cybersécurité, cet article présente une analyse détaillée de campagnes de faux outils IA observées entre le 15 avril et le 5 octobre 2026, couvrant 1 258 analyses publiques en sandbox liées à ces activités. 🎯 Nature des campagnes Ces campagnes usurpent les marques d’IA les plus connues pour tromper les employés : Claude (48%, 601 analyses) et ChatGPT/Codex (33%, 418 analyses) représentent 81% des cas Autres marques ciblées : GitHub Copilot, Gemini, Ollama, OpenClaw, Perplexity, Manus Les États-Unis se classent 2e source mondiale de soumissions (16%, 69/422 enregistrements) et 1er dans les campagnes « Download Claude » et ChatGPT. ...

🎯 Contexte Source : Malwarebytes ThreatLabs, publié le 14 octobre 2026 par Stefan Dasic. L’article documente une campagne de phishing active exploitant l’image de Calendly et de Meta pour cibler des chercheurs d’emploi. 🕵️ Description de l’attaque Des attaquants ont déployé 11 domaines de phishing imitant des pages de réservation Calendly pour de faux entretiens d’embauche chez Meta. Le flux d’attaque suit une séquence en plusieurs étapes : Fausse page Calendly : intitulée « Calendly | Meta Careers », avec calendrier interactif chargé depuis le serveur des attaquants Collecte de données personnelles : nom, email, téléphone Faux CAPTCHA : grille d’images pour contourner les scanners automatisés Fausse fenêtre de connexion Facebook : avec fausse barre d’adresse simulant un pop-up navigateur légitime Vol du code 2FA Facebook : le site relaie en temps réel le code vers le vrai Facebook avant expiration Fausse connexion Google : prétexte « Facebook requires you to sign in to the Gmail address », avec vol du mot de passe et des facteurs d’authentification Google Fausse confirmation : message indiquant qu’une invitation a été envoyée ⚙️ Mécanisme de contournement du 2FA Le kit de phishing opère en temps réel : il interroge continuellement le serveur des attaquants pour savoir quel écran afficher. Les attaquants utilisent immédiatement les identifiants volés sur les vrais services, relayant les demandes de codes ou d’approbations de prompts téléphoniques à la victime encore connectée sur la fausse page (attaque de type AiTM – Adversary-in-the-Middle). ...

🔍 Contexte En septembre 2026, la SOCRadar Threat Research Unit (STRU) a identifié ICMacOS (alias Icarus macOS), un nouveau malware macOS distribué sous modèle MaaS (Malware-as-a-Service), activement promu sur des forums cybercriminels russophones par l’acteur GlowComa. L’analyse technique complète a été publiée le 12 octobre 2026. 🎭 Acteur de la menace GlowComa : acteur russophone à motivation financière, actif depuis janvier 2026 Opère sous la bannière du groupe d’affiliation crypto MADHASH Présent sur les forums XSS, Exploit.in et Rehub Identifiants Telegram : @ObjectCollision, @SaykatChain, @layer7king Canal Telegram principal : https://t.me/s/icmacos/ Tarification : 699 $/semaine, 1 199 $/quinzaine, 1 699 $/mois (899 $ pour utilisateurs Icarus ClickFix) Réputation mitigée : plusieurs litiges d’arbitrage sur Exploit.in pour faibles taux de conversion et détection rapide ⚙️ Chaîne d’infection Vecteur initial : pages ClickFix incitant la victime à coller des commandes terminal malveillantes Script Bash télécharge le dropper depuis https://escapeai.live/icmacos_run_v2.command Le dropper : Journalise dans /tmp/.update-helper.log Modifie les préférences com.apple.Terminal pour masquer les fenêtres Affiche un faux dialogue “System Preferences” via osascript pour capturer le mot de passe Valide le mot de passe contre le Keychain macOS (jusqu’à 5 tentatives) Détecte l’architecture CPU (arm64 ou amd64) via uname -m Télécharge le payload final depuis https://escapeai.live/ICMacOs?arch={architecture} Lance le payload en arrière-plan via osascript et nohup, puis ferme le terminal 🦠 Analyse technique des variantes Version 1 – Stealer Exécutable Mach-O 64 bits compilé en Go. Modules de vol : ...

🔍 Contexte Publié le 14 octobre 2026 par Resecurity sur leur blog CTI, ce rapport documente l’investigation menée conjointement avec la Digital Crimes Unit (DCU) de Microsoft contre une opération commerciale de Phishing-as-a-Service (PhaaS) nommée « Iron Man System », opérée par des acteurs chinois. 🎯 Nature de la menace Iron Man System est un kit PhaaS vendu à des acheteurs criminels sous forme de package auto-hébergé. Il comprend : Un panneau d’administration bilingue (chinois/anglais) en version 6.3.1 Un backend en Go, distribué via une registry de conteneurs auto-hébergée (Gitea) Un système de licence par abonnement avec vérification régulière (toutes les ~20 secondes) auprès d’un backend opérateur 2 360 templates de pages d’hameçonnage impersonnant des services postaux, douaniers, fiscaux, bancaires, télécom et programmes de fidélité dans 130 pays 🏗️ Infrastructure identifiée L’infrastructure se décompose en cinq familles de domaines : ...

🗓️ Contexte L’article, publié le 14 octobre 2026 sur cryptika.com (source originale : cybersecuritynews.com), rapporte une campagne d’exploitation active de trois vulnérabilités zero-day dans Ivanti Connect Secure VPN, découverte par la société Volexity lors d’une investigation chez un client. L’activité a débuté le 3 octobre 2026 et ciblait une appliance entièrement à jour sous la version 22.8R2.4. 🎯 Acteur et objectifs Volexity attribue l’activité à un acteur jusqu’alors inconnu, désigné UTA0576. L’objectif principal observé est la collecte de données d’authentification sensibles : ...

🔍 Contexte Analyse publiée le 13 octobre 2026 par Huntress, basée sur un incident investigué début octobre 2026 impliquant un domaine lookalike ciblant les utilisateurs du WatchGuard Mobile VPN with SSL. L’article s’inscrit dans la continuité de recherches publiées par WatchGuard Secplicity en janvier 2026 et Microsoft Threat Intelligence en mars 2026. 🎯 Mécanisme d’attaque La chaîne d’attaque repose sur du SEO poisoning : le domaine watchguard-vpn[.]net remonte dans les résultats Bing lors d’une recherche de téléchargement du client VPN. Le 7 octobre 2026, un administrateur d’un MSP a cliqué sur ce résultat 8 secondes après sa recherche. ...

🗓️ Contexte Source : BleepingComputer — Publié le 10 octobre 2026. CrowdStrike a confirmé et documenté une série d’attaques ciblant le secteur financier sud-coréen, attribuées à un acteur malveillant sinophone non nommé. 🎯 Cibles et impact Plusieurs grandes banques sud-coréennes ont été visées : Shinhan Bank KB Kookmin Bank Hana Bank Les conséquences incluent l’exposition de données personnelles et d’informations de cartes de crédit de clients, ainsi que des interruptions de systèmes dans certains cas. Le gouvernement sud-coréen a convoqué une réunion d’urgence et appelé à des mesures de sécurité immédiates. ...

🔍 Contexte Source : BleepingComputer, publié le 5 octobre 2026. Dell a émis un avis de sécurité urgent invitant ses clients à appliquer immédiatement des correctifs pour plusieurs vulnérabilités affectant son outil Dell System Update (DSU), utilisé par les administrateurs IT pour déployer des mises à jour BIOS, firmware et logiciels sur des infrastructures PowerEdge sous Linux et Windows. 🚨 Vulnérabilités critiques corrigées Dell System Update (DSU) CVE-2026-86360 (critique) : Path traversal permettant à un attaquant non authentifié avec accès distant d’exécuter du code arbitraire avec privilèges root et d’accéder au système de fichiers. CVE-2026-63697 et CVE-2026-71168 (élevées) : Exploitation distante menant à une exécution de code à distance (RCE). CVE-2026-86361 et CVE-2026-86362 (élevées) : Exploitation permettant une élévation de privilèges. Container Storage Modules (CSM) CVE-2026-63688 et CVE-2026-63692 : Deux vulnérabilités de sévérité maximale nécessitant un correctif immédiat. 🛠️ Correctif disponible Dell recommande la mise à jour vers Dell System Update (DSU) version 2.3.0.0 ou ultérieure. ...

📰 Source : The Hacker News (Ravie Lakshmanan) — Date : 5 octobre 2026 🔍 Contexte Citrix a publié des mises à jour de sécurité pour corriger une vulnérabilité de haute sévérité affectant NetScaler ADC et NetScaler Gateway, activement exploitée dans le cadre d’attaques zero-day ciblées. ⚠️ Vulnérabilité CVE-2026-88779 : vulnérabilité de type memory overflow (débordement mémoire) Score CVSS : 8.7 / 10.0 Impact : déni de service (DoS) pouvant rendre le service indisponible de manière prolongée si la condition est déclenchée de façon répétée Précondition : le déploiement NetScaler doit être configuré en tant que SAML Service Provider (SP) ou SAML Identity Provider (IdP) 🔎 Indicateurs de configuration vulnérable ...