IOC

🔍 Contexte FireTail Research publie son premier rapport semestriel State of AI Security (édition H1 2026), couvrant les douze mois précédant juin 2026. Le rapport s’appuie sur 302 incidents publiquement divulgués, croisés avec l’AI Incident Database (AIID) et le référentiel AIAAIC, ainsi que des données clients anonymisées. 📊 Chiffres clés 90% des usages IA en entreprise sont non tracés, non gouvernés ou non sécurisés 83% des organisations ont déployé des agents IA en 2026 (contre 16% douze mois plus tôt) 71% n’ont pas les contrôles nécessaires pour sécuriser ce qu’elles ont déployé 4x d’augmentation des incidents IA entre 2024 et 2025 35% des incidents sont de l’exfiltration de données (type d’attaque n°1) 68% des organisations breachées n’avaient aucune politique de gouvernance IA En juin 2026, Cloudflare confirme que le trafic automatisé (IA) dépasse le trafic humain : 57,4% des requêtes web sont non-humaines 🚨 Trois incidents majeurs 1. OpenClaw (jan–mar 2026) — Crise des agents incontrôlés L’agent IA open-source le plus étoilé sur GitHub a exposé plus de 1 000 machines à une exécution de code à distance sans authentification. La marketplace associée contenait 1 184 skills malveillants (sans signature ni sandbox). Une plateforme sociale liée a subi une fuite de 1,5 million de credentials, dont des clés API en clair pour OpenAI, Anthropic et AWS. ...

🔍 Contexte Publié le 13 août 2026 par l’équipe FIRE (Fortra Intelligence and Research Experts), cet article analyse l’activité du groupe d’extorsion ExfilSquad, apparu le 26 juillet 2026 sur le dark web avec des revendications de compromission de 15 organisations. 🎯 Activité du groupe ExfilSquad est un groupe d’extorsion de données émergent qui a publié un site de fuite sur Tor le 26 juillet 2026. Après un scepticisme initial dû à l’absence de preuves, le groupe a publié des échantillons de données les 28 juillet et 7 août 2026. Au total, 382,64 Go de données non compressées représentant 27 millions d’enregistrements ont été divulgués via des torrents pour 13 des 15 victimes revendiquées. ...

🔍 Contexte Source : Cybersecurity News, d’après une recherche Aikido publiée le 17 juin 2026. La campagne est active depuis octobre 2025 et de nouveaux plugins malveillants ont été détectés jusqu’en juin 2026. 🎯 Nature de l’attaque Au moins 15 plugins IDE malveillants ont été publiés sur le JetBrains Marketplace sous 7 comptes vendeurs différents. Ces plugins se présentaient comme des assistants de développement alimentés par IA (chat IA, génération de code, détection de bugs, rédaction de commits, tests unitaires). Ils étaient fonctionnels, rendant leur détection difficile. ...

🗓️ Contexte Publié le 12 août 2026 par Hudson Rock sur leur blog, cet article documente ce qui est présenté comme la plus grande attaque de supply chain IA de 2026. L’analyse s’appuie sur des recherches forensiques de Snyk, Trend Micro et Cycode, complétées par l’obtention indépendante par Hudson Rock d’une archive brute de 153 Go. 🎯 Mécanisme de l’attaque L’attaque a été orchestrée par le groupe TeamPCP selon une chaîne de compromission en plusieurs étapes : ...

🔍 Contexte Publié le 14 août 2026 par le chercheur Milánek sur le blog de Gen Digital, cet article présente l’analyse technique complète d’un backdoor Windows personnalisé découvert sur un unique poste de travail d’entreprise lors d’une chasse aux persistances WMI inhabituelles. 🎯 Cible et contexte de découverte Un seul hôte : poste de travail Windows 7 SP1 64 bits, joint à un domaine L’implant était déjà en place avant l’installation du logiciel de protection Aucun second stage ni tâche capturée Prévalence VirusTotal : zéro occurrence sur plus de 5 ans Aucun acteur connu identifié ⚙️ Mécanisme de persistance WMI Une souscription WMI nommée "Realtek" surveille Win32_LocalTime pour l’heure 19h50 et exécute un binaire nommé RtkNGUI64.exe (nom légitime du panneau audio Realtek) via le chemin court Progra~1. La persistance survit aux redémarrages mais ne s’active qu’une fois par soir. ...

🔍 Contexte Publié le 13 août 2026 par Pillar Security sur leur blog, cet article présente la découverte et la divulgation coordonnée d’une vulnérabilité critique d’authentification bypass dans le serveur MCP distant de DoltHub (CVE-2026-73554). 🐛 Description de la vulnérabilité La vulnérabilité affecte Dolt MCP versions 0.3.1 à 0.3.6 sur le transport HTTP distant lorsque l’authentification JWT est activée. Elle repose sur deux défauts combinés : Défaut 1 — Middleware JWT sans return : Un token JWT invalide déclenchait bien une réponse 401 Unauthorized via http.Error, mais en l’absence d’instruction return, l’exécution continuait vers le handler MCP (next.ServeHTTP). En Go, http.Error écrit la réponse sans interrompre le traitement. Défaut 2 — Validation de session par format uniquement : La bibliothèque mark3labs/mcp-go utilisée (via InsecureStatefulSessionIdManager) vérifiait uniquement que l’identifiant de session commençait par mcp-session- et se terminait par un UUID valide, sans vérifier que le serveur avait effectivement créé cette session. 💥 Impact Un attaquant non authentifié pouvait : ...

📰 Article technique publié le 29/07/2026 sur zerotracelab.com, rédigé par @5mukx, présentant une recherche offensive sur Chrome Remote Desktop (CRD) dans un contexte red team. 🔍 Contexte et découverte L’auteur, en cherchant à supprimer la bannière de notification de session CRD, a analysé les fichiers installés par l’application sous C:\Program Files (x86)\Google. En explorant le code source Chromium, il a identifié que la bannière de déconnexion est implémentée via une ressource Win32 de type RT_DIALOG (ID 110) stockée dans remoting_core.dll. ...

📰 Source : BleepingComputer — Article publié le 14 août 2026 par Sergiu Gatlan. 🎯 Contexte de l’attaque Le groupe Clop a revendiqué le vol de 89 Go de données appartenant à Shell, géant pétrolier britannique employant 85 000 personnes dans plus de 70 pays. Shell a confirmé l’ouverture d’une investigation sur un « incident potentiel ». Les données prétendument volées comprennent : Plans d’ingénierie Scans de rapports de tests de sites Photos d’installations Plans de projets 🔓 Vulnérabilité exploitée Les attaques exploitent CVE-2026-12569, une vulnérabilité critique de validation d’entrée incorrecte affectant les plateformes PTC Windchill et PTC FlexPLM (logiciels de gestion du cycle de vie des produits — PLM). PTC a commencé à publier des correctifs le 17 juin et a émis un avis privé invitant ses clients à rechercher des indicateurs de compromission. ...

📄 Source et contexte : Article de recherche présenté au 35e USENIX Security Symposium (12-14 août 2026, Baltimore), par des chercheurs de l’Université de Birmingham et de l’Université de Durham. Microsoft a assigné CVE-2026-23670 et publié un patch partiel en avril 2026. 🔬 Technique centrale : L’attaque Download More RAM est la première attaque d’aliasing mémoire réalisée uniquement par logiciel, sans accès physique à la machine. Elle repose sur la réécriture du contenu SPD EEPROM des barrettes RAM via le bus SMBus/I2C, en incrémentant les bits d’adressage de rangées (row address bits), ce qui amène le DIMM à déclarer deux fois sa capacité réelle. Les adresses supérieures deviennent alors des alias des adresses inférieures. ...

📅 Source : Infoblox Threat Intelligence, publié le 13 août 2026. Il s’agit de la troisième partie d’une série de blogs sur la pratique du dropcatch de domaines malveillants. 🎯 Contexte général Chaque année, des dizaines de milliers de sites web sont compromis par des acteurs comme SocGholish ou ClearFake, qui y insèrent des scripts contactant des domaines contrôlés par l’attaquant. Lorsque ces domaines expirent, les requêtes continuent d’affluer sans réponse. Trois acteurs identifiés exploitent cette opportunité en rachetant ces domaines expirés (dropcatch) pour hériter du trafic victime et le rediriger vers leurs propres arnaques ou malwares, sans compromettre eux-mêmes les sites. ...