IOC

🔍 Contexte Analyse technique publiée le 31 août 2026 par Pavel Bukhtenko sur Securelist (Kaspersky). L’investigation a débuté suite à la demande d’un client souhaitant faire analyser un fichier suspect (MD5 : c24e99f9437feacaa63766a3cde3fe3d), initialement classé comme adware. 🎯 Vecteur d’infection Le fichier analysé est un installateur malveillant dont le comportement varie selon le suffixe de son nom : FS_SETUP_DD_173.exe → installe DingTalk FS_SETUP_GG_173.exe → installe Google Chrome FS_SETUP_HY_173.exe → ouvre le site de téléchargement Tencent Meeting Ces actions servent à distraire l’utilisateur. Quel que soit le nom, l’installateur déploie une version modifiée de QN Wallpaper, un outil chinois de gestion de fonds d’écran (adware légitime), et l’ajoute aux entrées d’autorun du registre. ...

📅 Source : SANS ISC Diary, publié le 09/04/2026 par Jesse La Grew. Analyse basée sur 496 562 mots de passe uniques collectés sur des honeypots DShield entre le 21/04/2024 et le 29/03/2026. 🔢 Patterns d’utilisation des chiffres dans les mots de passe Les séquences numériques les plus fréquentes soumises aux honeypots sont “123” et “1”. Des nombres inhabituels comme “100000”, “19”, “69” et “200” ont été identifiés comme des commandes ICMP déguisées en mots de passe, liées à des tentatives de DDoS ou stress testing. ...

📅 Source : Microsoft Security Research (Noam Kochavi, Sarah Wolstencroft), publié le 3 septembre 2026. Contexte Microsoft a identifié une campagne de phishing à très haut volume exploitant une technique d’obfuscation baptisée ASCII smuggling, initialement popularisée dans le domaine de la sécurité des modèles de langage (LLM) et des attaques par injection de prompts. La découverte est issue des travaux de recherche sur la protection contre les injections de prompts dans Microsoft Defender for Office 365. ...

🔍 Contexte Article publié le 2 avril 2026 (mis à jour le 8 avril) par Alessandro Brucato sur le blog de Tracebit. Il documente la campagne TeamPCP, une série d’attaques supply chain ciblant des outils open source largement utilisés dans les pipelines CI/CD, et présente une approche de détection par canary credentials. 📅 Chronologie de la campagne 19 mars : Compromission de plusieurs GitHub Actions du scanner Trivy (Aqua Security) 22 mars : Utilisation des credentials volés pour compromettre des dizaines de packages npm via un ver auto-propagant nommé CanisterWorm ; publication de versions malveillantes de Trivy sur Docker Hub 23 mars : Compromission des GitHub Actions et extensions OpenVSX du scanner KICS (Checkmarx) avec un malware similaire 24 mars : Compromission du package PyPI LiteLLM (deux versions malveillantes publiées) 27 mars : Compromission du package PyPI Telnyx (deux versions malveillantes publiées) 🦠 Comportement du malware Tous les incidents déploient le “TeamPCP Cloud Stealer”, un malware de collecte massive de credentials : ...

🔍 Contexte Publié le 3 septembre 2026 sur SecurityWeek par Ionut Arghire, cet article rapporte deux alertes distinctes émises par Cisco le même jour : l’une concernant des vulnérabilités non patchées dans son produit Cisco Secure Email, l’autre annonçant des correctifs pour des failles critiques dans IOS XR et les switches Nexus 9000 series. ⚠️ Vulnérabilités non corrigées – Cisco Secure Email (S/MIME) Deux failles de sévérité moyenne ont été publiquement divulguées sans correctif disponible : ...

🔍 Contexte Publié le 2 août 2026 par Resecurity, cet article constitue une analyse technique approfondie de la vulnérabilité CVE-2026-42897 et de la campagne d’exploitation associée menée par le groupe TA488 (également connu sous les noms Void Blizzard et Laundry Bear), acteur étatique russe. 🎯 Vulnérabilité CVE-2026-42897 CVE-2026-42897 est une vulnérabilité de type XSS stockée (Cross-Site Scripting) de sévérité élevée (CVSS 8.1) affectant Microsoft Exchange Server on-premises via Outlook Web Access (OWA). Elle résulte d’une insuffisance de sanitisation HTML dans le pipeline de rendu des emails : le contenu HTML malveillant est inséré directement dans le DOM authentifié sans neutralisation des gestionnaires d’événements JavaScript. ...

📰 Source : LeMagIT — Article publié le 26 août 2026, relatant une vulnérabilité Exchange divulguée lors du Patch Tuesday de Microsoft du 11 août 2026. 🔍 Contexte : Le Patch Tuesday d’août 2026 de Microsoft est décrit comme le plus volumineux à ce jour, couvrant 421 vulnérabilités, dont 7 affectant Microsoft Exchange. ⚠️ Vulnérabilité identifiée : CVE-2026-62911 : vulnérabilité critique d’élévation de privilèges dans Microsoft Exchange Score CVSS : 8.0 Exploitation possible par un attaquant distant authentifié 💥 Impact potentiel : ...

🔍 Contexte Wordfence a publié le 2 septembre 2026 une analyse détaillée d’une vulnérabilité critique activement exploitée dans Elementor Pro, un plugin WordPress comptant plus de 6 millions d’installations actives. La vulnérabilité a été divulguée publiquement le 19 août 2026, date à laquelle le correctif a également été publié. 🐛 Vulnérabilité CVE : CVE-2026-32475 Score CVSS : 9.8 (Critique) Type : Unauthenticated Arbitrary File Upload (Upload de fichier arbitraire non authentifié) Versions affectées : Elementor Pro <= 4.2.1 Version corrigée : 4.2.1 Bounty : 15 600 $ Chercheurs : Tin Pham (TF1T), Austin Ginder ⚙️ Mécanisme technique La faille réside dans la fonction process_field du widget Elementor Pro Form. La boucle de validation dans Upload::validation() utilise return au lieu de continue lorsque le premier élément d’un tableau de fichiers retourne UPLOAD_ERR_NO_FILE. Cela interrompt toutes les vérifications d’extension et de type de fichier pour les éléments suivants du même champ d’upload. ...

🗓️ Contexte Source : BleepingComputer, publié le 2 septembre 2026. L’article rapporte l’exploitation active d’une vulnérabilité critique dans JFrog Artifactory, un gestionnaire de dépôts logiciels largement utilisé pour stocker, organiser, sécuriser et distribuer des packages. 🔍 Vulnérabilité CVE-2026-82329 : contournement d’authentification critique Présente dans la configuration par défaut des instances auto-hébergées de JFrog Artifactory Exploitable par un attaquant non authentifié disposant d’un accès réseau Permet l’obtention de permissions administratives sans authentification préalable ⚔️ Exploitation observée Les chercheurs de watchTowr (société de sécurité offensive) ont observé des attaquants exploitant activement la faille pour se forger eux-mêmes des tokens administrateurs. Les actions possibles avec ces tokens incluent : ...

🔍 Contexte Source : BleepingComputer, publié le 2 septembre 2026. Des chercheurs de Horizon3 ont observé l’exploitation active de CVE-2026-9586, une vulnérabilité critique d’injection SQL non authentifiée affectant la plateforme VoIP d’entreprise Sangoma Switchvox. 🛠️ Détails techniques de la vulnérabilité Endpoint vulnérable : /pa (HTTP), exposé publiquement Mécanisme : Le champ PhoneIP extrait d’un message XML est directement concaténé dans une requête SQL non paramétrée Impact : Injection SQL menant à l’exécution de commandes système (RCE) Exploitation : Via une requête XML craftée envoyée avec curl CVE-2026-9586 est la plus sévère parmi 12 vulnérabilités découvertes par Horizon3 et signalées à Sangoma le 10 avril Patch disponible : Switchvox version 8.4.0.2, publiée le 14 juillet 🚨 Activité d’exploitation observée Première exploitation détectée par les honeypots Horizon3 le 30 août Adresse IP source unique : 176.65.148.184 Tentatives en succession rapide sur plusieurs systèmes Séquence d’attaque : Exécution d’un payload initial Collecte des processus en cours d’exécution Transmission des données encodées en base64 vers un serveur distant Tentative d’établissement d’un reverse shell Environ 4 000 instances Switchvox exposées sur Internet (source : Shodan), majoritairement aux États-Unis 🔎 Indicateurs de compromission Entrées suspectes dans /var/log/switchvox/db-quirks.log Connexions réseau vers 176.65.148.184, notamment sur le port 39323 📋 Type d’article Article d’alerte de sécurité et d’analyse technique, visant à informer les administrateurs systèmes de l’exploitation active en cours et à fournir des indicateurs de compromission exploitables. ...