IOC

🔍 Contexte Publié le 20 août 2026 par Cisco Talos, cet article constitue une analyse technique approfondie des outils et tactiques de UAT-10147, un acteur d’intrusion sinophone hautement capable ciblant des serveurs IIS et Linux exposés sur Internet. L’article fait suite à une précédente publication Talos documentant l’utilisation de workflows d’exploitation assistés par IA par ce même acteur. 🎯 Acteur et ciblage UAT-10147 est décrit comme un groupe cybercriminel sinophone opérant un écosystème de post-exploitation multiplateforme. L’acteur combine fraude SEO (monétisation via manipulation de référencement) avec des techniques avancées de persistance et d’évasion. Des artefacts de développement (chemins PDB) lient certains composants à un individu référencé sous le pseudonyme “xshen” (x神). Le QuasarRAT déployé contient un Campaign ID avec une chaîne dérogative en chinois ciblant des personnes vietnamiennes, suggérant un ciblage géographique spécifique du Vietnam. ...

🗓️ Contexte Source : BleepingComputer, publié le 17 août 2026. L’article rapporte la divulgation publique d’une vulnérabilité zero-day dans Microsoft Defender, nommée ShieldBreak, par le chercheur en sécurité Nightmare Eclipse, sans notification préalable à Microsoft. 🔍 Détails de la vulnérabilité Nom : ShieldBreak CVE : CVE-2026-69414 Composant affecté : Microsoft Malware Protection Engine (Microsoft Defender) Type : Élévation de privilèges (Privilege Escalation) Impact : Permet à un attaquant local avec des permissions limitées d’obtenir des privilèges SYSTEM Condition : Microsoft Defender doit être activé Taux de succès du PoC : 100% 🖥️ Systèmes vulnérables Windows 11 25H2 (y compris canal Canary) Windows Server 2025 Windows 10 et éditions serveur correspondantes (vulnérables mais non testées dans le PoC) 🔗 Lien avec RoguePlanet ShieldBreak est décrit comme un bypass du patch de RoguePlanet (CVE-2026-50656), une autre faille d’escalade de privilèges dans Defender divulguée en juin 2026 et patchée en juillet 2026. Le chercheur affirme que Microsoft n’a pas correctement corrigé RoguePlanet. ...

🔍 Contexte Publié le 11 août 2026 par Socket (socket.dev), cet article de recherche documente une campagne d’extensions Chrome malveillantes à grande échelle, analysée par l’équipe Socket Threat Research. La campagne cible principalement des russophones cherchant à contourner la censure internet en Russie. 📊 Ampleur de la campagne 737 extensions publiées depuis au moins 40 comptes développeurs Chrome Web Store 274 extensions usurpent l’identité de 66 marques VPN légitimes (Proton VPN, NordVPN, Surfshark, ExpressVPN, AmneziaVPN, AntiZapret, Cloudflare 1.1.1.1, etc.) 75 486 installations au total, dont 58 318 sur les 516 extensions encore actives au moment de la collecte 520 des 522 packages analysés configurent un proxy SOCKS5 sur le port 1082 redirigeant l’intégralité du trafic navigateur ⚙️ Mécanismes techniques Détournement de trafic : Chaque extension configure chrome.proxy.settings en mode fixed_servers avec un proxy SOCKS5 unique, sans chiffrement, sans credentials, avec une liste de bypass limitée aux adresses loopback uniquement. ...

🔍 Contexte : Le 17 août 2026, Zscaler ThreatLabz publie une analyse technique d’une nouvelle famille de malware nommée C2Looper, identifiée en juillet 2026 et probablement liée à un acteur opérant des ransomwares. 🦠 Description du malware : C2Looper est développé en Rust et fonctionne comme un backdoor offrant des capacités d’exécution de commandes arbitraires, de reconnaissance, et de déploiement de charges utiles secondaires. Il chiffre ses chaînes de caractères via XOR avec une clé de 8 octets et résout dynamiquement les API Windows via LoadLibrary et GetProcAddress. ...

🔍 Contexte FortiGuard Labs (Fortinet) publie le 13 août 2026 une analyse technique détaillée d’une nouvelle famille de botnet Linux jusqu’alors non documentée, baptisée Evooo1Bot. Le nom provient de la chaîne codée en dur evooo1 présente dans chaque binaire. La découverte a été faite via la télémétrie IPS de FortiGuard, avec des activités actives observées depuis juillet 2026. 🧬 Architecture et obfuscation Evooo1Bot réutilise le moteur DDoS du code source Mirai (leaké publiquement) mais l’étend considérablement. Les chaînes statiques sont protégées par un pipeline multi-couches : ...

🔍 Contexte Publié le 10 août 2026 par l’équipe de recherche sur les menaces de QUIRSO GmbH, cet article documente une campagne d’exploitation active découverte lors d’un engagement de réponse à incident. La source est le blog Medium officiel de QUIRSO. 🎯 Vulnérabilité exploitée CVE-2026-59310 est une vulnérabilité critique de type directory traversal affectant le serveur Syslog de VMware vCenter. Elle permet à un attaquant disposant d’un accès réseau à vCenter d’exécuter du code arbitraire. Son score CVSS est de 9.8 (critique). Broadcom confirme qu’aucun contournement n’est disponible ; le correctif est la seule remédiation. ...

🔐 Contexte Le 17 août 2026, GitLab a publié des versions correctives pour ses éditions Community (CE) et Enterprise (EE) : 19.2.4, 19.1.6, 19.0.8 et 18.11.11. Ces versions constituent un patch critique ad-hoc destiné à corriger des vulnérabilités de haute et critique sévérité. La source est la documentation officielle GitLab. 🚨 Vulnérabilités corrigées CVE-2026-19478 — Injection de code via directive GraphQL (Critique) CVSS : 9.4 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H) Permet à un utilisateur non authentifié de modifier ou supprimer à distance des projets publics et des données utilisateur via une directive GraphQL Versions impactées : toutes versions depuis 18.2 jusqu’à 18.11.11, 19.0 avant 19.0.8, 19.1 avant 19.1.6, 19.2 avant 19.2.4 Signalé par hiimguardian via le programme HackerOne CVE-2026-19650 — CSRF dans le gestionnaire de requêtes multiplex GraphQL (Élevé) CVSS : 7.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L) Permet à un utilisateur non authentifié d’exécuter des mutations via des requêtes GET en raison d’une validation incorrecte dans le gestionnaire de requêtes multiplex GraphQL Mêmes versions impactées que ci-dessus Signalé par kreep via le programme HackerOne 🛠️ Périmètre d’impact Toutes les installations self-managed GitLab CE/EE sont concernées GitLab.com et GitLab Dedicated sont déjà patchés, aucune action requise pour leurs clients Tous les types de déploiement sont affectés (omnibus, source, helm chart, etc.) 📋 Type d’article Il s’agit d’un patch de sécurité officiel publié par GitLab, dont le but principal est d’informer les administrateurs d’instances self-managed de la disponibilité de correctifs critiques et de les inciter à mettre à jour immédiatement. ...

🗓️ Contexte Source : Cryptika (relayant Cyber Security News / Securelist), publié le 17 août 2026. Les chercheurs de Securelist ont identifié cette nouvelle variante lors d’investigations menées fin 2025 et en 2026. 🎯 Acteur et cibles Le groupe HoneyMyte (acteur de cyberespionnage) a mis à jour son implant CoolClient avec un composant rootkit en mode noyau. Les organisations ciblées se situent au Pakistan, en Mongolie, au Myanmar et en Russie, incluant des entités gouvernementales. ...

🔍 Contexte Publié le 17 août 2026 par PolySwarm (The Hivemind), cet article analyse l’Opération GitPower, une campagne d’espionnage cyber attribuée au groupe nord-coréen Kimsuky, détaillée initialement par le Genians Security Center. 🎯 Cibles et objectifs La campagne cible principalement : Organisations politiques et académiques Missions diplomatiques et ambassades Institutions militaires et de sécurité Chercheurs en sécurité Secteur des actifs virtuels (cryptomonnaies) La région principalement visée est la Corée du Sud. ...

🕵️ Contexte Publié le 14 août 2026 sur The Raven File par l’analyste RakeshKrish, cet article constitue une première analyse de renseignement sur le groupe ransomware Majinahanashi, apparu dans la continuité d’autres groupes à thématique japonaise (YUREI, SINOBI, TENGU). 🎯 Victimologie Le groupe cible exclusivement des pays non anglophones : Suisse, Italie, Allemagne, Bulgarie, Inde, Portugal, France, Chili, Lituanie, Thaïlande, Colombie. Les secteurs les plus touchés sont le e-commerce et la fabrication, suivis de l’agriculture, des services et de la technologie. Le chiffre d’affaires moyen des victimes est estimé à 25 M$, avec un pic à 61 M$ pour une victime suisse. 15 victimes sont recensées depuis la première fuite le 27 juin 2026. ...