IOC

📰 Source : Computer Weekly, publié le 17 août 2026, par Duncan Campbell (Sussex Centre for Law and Technology) et Bill Goodwin. Contexte EncroChat était un réseau de téléphones chiffrés Android utilisé principalement par des groupes criminels organisés en Europe. En 2020, les autorités françaises ont mené une opération secrète pour infecter les appareils EncroChat et exfiltrer les messages de leurs utilisateurs, menant à plus de 6 500 arrestations et la saisie de 270 tonnes de drogues et de près d’un milliard d’euros. ...

🗓️ Source : SecurityWeek, publié le 18 août 2026, par Ionut Arghire. L’information provient de la firme de sécurité WordPress Defiant. 🔍 Contexte Une vulnérabilité critique a été identifiée dans le plugin Forminator Forms pour WordPress, l’un des constructeurs de formulaires les plus populaires avec plus de 600 000 installations actives. La moitié de ces installations tournent sur une version vulnérable, exposant potentiellement plus de 300 000 sites web à des attaques. ...

🔍 Contexte Publié le 29 juillet 2026 par Alfredo Pesoli sur le blog de Bynario (bynar.io), cet article présente une analyse technique détaillée d’une vulnérabilité découverte dans le service Screen Sharing de macOS, affectant les systèmes équipés de puces Apple Silicon (M4 et M5), testés sous macOS 26.5.2 avec SIP activé. 🐛 Nature de la vulnérabilité La vulnérabilité CVE-2026-43760 est une faille logique d’autorisation (confused deputy) dans le service screensharingd et ses helpers SSFileCopySender et SSFileCopyReceiver. Elle n’implique aucune corruption mémoire, buffer overflow, use-after-free, ROP chain ou bypass de PAC/MIE. ...

📅 Source et contexte : Rapport publié le 18 août 2026 par Gambit Security (Eyal Sela et Nir Varon). L’article présente trois cas d’usage réel de l’IA dans des intrusions cybercriminelles, documentés à partir de données récupérées sur les infrastructures des attaquants. 🎯 Cas 1 – Affilié ransomware suspecté « The Gentlemen » utilisant Claude Code Fin juin 2026, un opérateur ransomware a utilisé Claude Sonnet 4.6 (via Claude Code) lors d’intrusions dans six organisations : une entreprise d’énergie en Australie, une société de services financiers à Maurice, une entreprise agroalimentaire en Afrique du Sud, un fabricant en Thaïlande, une société IT en Malaisie, et plusieurs entreprises aux États-Unis. ...

📅 Source : Microsoft Security Blog, publié le 18 août 2026. Cette publication émane de Microsoft Defender Experts et Microsoft Security Research, en complément d’un premier signalement de RST Cloud (mai 2026). 🎯 Contexte général MacSync Stealer est un infostealer ciblant exclusivement macOS, conçu pour exfiltrer des données sensibles via une infrastructure C2 à rotation rapide. L’analyse de Microsoft a permis de connecter plus de 30 domaines liés à cette activité grâce à une approche comportementale, là où RST Cloud n’en avait initialement identifié qu’un nombre limité. ...

🔍 Contexte Publié le 18 août 2026 par ANY.RUN sur son blog de cybersécurité, cet article présente une analyse technique approfondie de Mirage2FA, un kit de Phishing-as-a-Service (PhaaS) actif depuis septembre 2024 et toujours opérationnel en juillet 2026. 🎯 Description de la menace Mirage2FA est un toolkit commercial conçu pour compromettre des comptes Microsoft 365 en contournant l’authentification multi-facteurs (MFA) via une architecture Adversary-in-the-Middle (AiTM). L’attaque intercepte en temps réel les identifiants, codes 2FA et cookies de session authentifiés via un proxy inverse WebSocket. ...

🎯 Contexte Le 18 août 2026, la CISA, le FBI et le Department of Health and Human Services (HHS) ont publié une mise à jour substantielle de l’advisory conjoint AA25-071A (#StopRansomware: Medusa Ransomware), initialement publié le 12 mars 2025. Cette analyse est produite par SafeBreach le 19 août 2026. 🦠 Présentation de Medusa Medusa est une opération ransomware-as-a-service (RaaS) active depuis juin 2021, ayant impacté plus de 500 organisations d’infrastructure critique dans les secteurs médical, éducatif, juridique, assurance, technologie et manufacturing. Le groupe utilise un modèle de double (voire triple) extorsion et recrute des Initial Access Brokers (IABs) via des forums cybercriminels, rémunérés entre 100 $ et 1 million USD. ...

🔍 Contexte Publié le 18 août 2026 par Hunt.io, ce rapport d’analyse technique détaille l’opération CameraSwarm, une campagne de compromission massive de caméras IP Dahua menée entre le 17 juin et le 22 juillet 2026. Les CERTs nationaux concernés ont été notifiés le 10 août 2026 et le PSIRT de Dahua a été informé avant publication (TLP:AMBER). 🎯 Portée et impact 14 530+ appareils compromis en 35 jours par un opérateur unique 1 923 caméras portent un compte backdoor persistant (p2pwn / p2password) installé via RPC, survivant aux changements de mot de passe et aux réinitialisations usine 283 caméras atteintes par numéro de série seul via le relais cloud Dahua, sans adresse IP ni credentials 89,4 % des numéros de série actifs ne requièrent aucune authentification Concentration géographique : Ukraine (part la plus importante) et Russie, avec des balayages initiaux sur des plages mexicaines et vietnamiennes ⚙️ Chaîne d’attaque Trois chemins d’exploitation parallèles : ...

📰 Source : CybersecurityNews.com, basé sur un rapport de Check Point Research, publié le 18 août 2026. Contexte Une campagne malveillante nommée StopAndProtect a été découverte, transformant des milliers de sites WordPress piratés en infrastructure C2 (command-and-control) distribuée. L’opération combine ransomware à double extorsion et vol de données ciblant des entreprises à l’échelle mondiale. Vecteur d’infection Le vecteur initial repose sur des leurres CAPTCHA frauduleux injectés dans des sites WordPress vulnérables. Les visiteurs sont invités à copier-coller une commande PowerShell malveillante dans leur terminal, déclenchant une chaîne d’infection multi-étapes. ...

🔍 Contexte Publié le 18 août 2026 par Check Point Research (auteur : Jaromír Hořejší), cet article présente une analyse technique approfondie de l’opération StopAndProtect, identifiée pour la première fois mi-mai 2026. L’opération combine chiffrement de fichiers (ransomware) et vol de données silencieux, en abusant de milliers de sites WordPress compromis comme infrastructure d’attaque. 🎯 Vecteur d’infection La chaîne d’infection repose sur la technique de social engineering ClickFix (fausse CAPTCHA) déployée sur des sites WordPress piratés : ...