IOC

🔍 Contexte Publié sur GitHub (icedracon/adhammer), ADhammer est présenté comme un toolkit de sécurité Active Directory développé en Rust dans le cadre d’une recherche académique (ITMO). Il se positionne comme un outil combinant audit passif (classe PingCastle) et validation offensive (classe impacket/Rubeus), distribué sous forme de binaire statique unique fonctionnant sous Kali/Linux et Windows. 🛠️ Fonctionnalités principales ADhammer repose sur une pile protocolaire entièrement réécrite en Rust (DCE/RPC, NTLM, SMB2, Kerberos) sans dépendance à impacket. Il implémente : ...

🔍 Contexte Publié sur GitHub (alpha-omega-security/threat-model), cet article présente le Threat Model Generator, un ensemble de compétences agentiques (« agent skills ») développé par l’organisation Alpha-Omega pour produire des modèles de menaces formels destinés aux projets open-source. 🛠️ Description de l’outil L’outil génère un document de contrat de sécurité implicite entre un projet et ses utilisateurs en aval. Ce document précise : Les hypothèses du projet sur son environnement et ses entrées Les propriétés de sécurité revendiquées ou explicitement déclinées Les menaces laissées à la charge de l’intégrateur Il est conçu pour deux types de lecteurs : les intégrateurs en aval et les mainteneurs/triageurs de rapports de vulnérabilités. ...

🔍 Contexte Publié sur GitHub (semperis-community/resetnightmare), cet article présente un outil Proof-of-Concept (PoC) pour la vulnérabilité CVE-2026-27912, baptisée ResetNightmare. 🧩 Description de la vulnérabilité ResetNightmare est une faille de validation dans le protocole Kerberos Change Password affectant les contrôleurs de domaine Active Directory non patchés. Elle permet à un attaquant de réinitialiser le mot de passe de n’importe quel compte utilisateur ou ordinateur sans connaître le mot de passe actuel. ...

🔍 Contexte Publié le 7 août 2026 par SafeBreach Labs, cet article présente les résultats de recherche de Ron Ben Yizhak, présentés en première mondiale à DEF CON 34. L’étude porte sur l’environnement de conteneurs Azure isolés utilisés par la fonctionnalité Python in Excel de Microsoft. 🎯 Vulnérabilités découvertes Deux problèmes distincts ont été identifiés et corrigés entre mars et juin 2026 : 1. Escalade de privilèges via lien symbolique (symlink attack) ...

🔍 Contexte Publié le 10/08/2026 sur GitHub (tadmaddad/Washizukami-Collector), cet article présente Washizukami (鷲掴), un outil open source de collecte d’artefacts forensiques pour Windows, développé en Rust et distribué sous forme de binaire statique unique. ⚙️ Fonctionnalités principales L’outil se distingue par sa capacité à contourner les verrous de fichiers du système d’exploitation en parsant directement la Master File Table (MFT) NTFS, permettant l’acquisition d’artefacts normalement inaccessibles en live : Registres Windows : SAM, SECURITY, SOFTWARE, SYSTEM, Amcache.hve, NTUSER.DAT, UsrClass.dat (avec logs de transaction) Journaux d’événements : Security, System, Application (.evtx) Métadonnées NTFS : $MFT, $SECURE:$SDS, $UsnJrnl:$J (via lecture ADS directe) Artefacts système : Prefetch, LNK récents, WMI Repository, SRUM Database Historiques navigateurs : Chrome, Firefox, IE/Edge 🛡️ Mécanismes d’intégrité Chaque fichier collecté est accompagné d’un hash SHA-256 consigné dans un journal d’audit structuré (collection.log) incluant horodatage, méthode de collecte et statut. ...

🎯 Contexte Cet article publié le 7 octobre 2026 par Huntress (blog.huntress.com) documente une campagne de phishing observée à partir du 10 septembre 2026, ciblant plusieurs endpoints via l’abus de la plateforme légitime Microsoft Power BI. 🔗 Chaîne d’attaque L’attaque se déroule en plusieurs étapes : Email de phishing envoyé via Outlook contenant un lien vers un faux document hébergé sur app.powerbi.com (domaine légitime Microsoft). La page Power BI affiche un formulaire flou et invite la victime à cliquer sur “Download Reference”. Un nouvel onglet s’ouvre vers un site contrôlé par l’attaquant (dailylifeproject[.]site/S/ ou variantes), qui effectue un fingerprinting de l’environnement (OS, navigateur, IP, géolocalisation, cookies cloud, indicateurs d’automatisation). Les données collectées sont exfiltrées vers un bot Telegram via une API hardcodée dans le code JavaScript. Après quelques secondes, un script déclenche automatiquement le téléchargement d’un installeur ScreenConnect malveillant depuis hamham27[.]screenconnect[.]com. 🛠️ Persistance et évasion Deux clients ScreenConnect frauduleux sont déployés : le premier (2b302081e9e777d0) connecté à instance-g01s1n-relay[.]screenconnect[.]com, le second (43773b3da4ccb17b) connecté à onthegotree[.]site. Un fichier CMD malveillant (LyN03DvVjUKPrun.cmd) exécute un script PowerShell (SCAutoFix.ps1) depuis le répertoire temp. Une tâche planifiée (SCAutoRepairEvery2Min) relance SCAutoFix.ps1 toutes les deux minutes. L’outil HideUL_x64.exe est exécuté comme outil d’évasion de défense pour masquer l’activité. Le premier client ScreenConnect est désinstallé après déploiement du second, pour réduire la visibilité. 📊 Portée La campagne a touché plusieurs endpoints distincts à partir du 10 septembre 2026. Une chasse rétroactive a révélé que la configuration ScreenConnect associée à l’un des RMM a également impacté 22 autres endpoints dans des incidents séparés. 📄 Nature de l’article Il s’agit d’une analyse technique détaillée publiée par Huntress, accompagnée d’une liste complète d’IOCs, visant à documenter la campagne et fournir des indicateurs exploitables aux équipes de sécurité. ...

🗓️ Contexte Publié le 7 octobre 2026 sur Cryptika (source originale : CyberSecurityNews.com), cet article relaie un rapport des chercheurs Oleg Zaytsev et Ofek Ronen d’Island.io, publié le 6 octobre 2026. Il documente une campagne active de phishing ciblant les gestionnaires de comptes publicitaires en ligne. 🎯 Nature de l’attaque La campagne repose sur l’usurpation d’identité de plateformes IA (ChatGPT, Claude, Gemini, Perplexity, Manus, Muse Ads) pour attirer des victimes vers de faux portails publicitaires. Les leurres incluent : ...

🔍 Contexte Publié le 6 octobre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de CVE-2026-21589, une vulnérabilité critique divulguée par Atlassian dans un advisory hors-bande le 5 octobre 2026. La recherche est issue de la plateforme watchTowr, solution de gestion proactive de l’exposition. 🎯 Vulnérabilité CVE-2026-21589 est une vulnérabilité de type Arbitrary File Read (lecture de fichiers arbitraire) sans authentification préalable (pre-auth). Le score CVSS reflète l’absence totale de prérequis d’authentification ou de complexité. ...

📅 Source : numb3rs.re, publié le 5 octobre 2026. Article de recherche technique (N-Day / 1-Day) portant sur la CVE-2026-23866 affectant WhatsApp sur iOS et Android. 🔍 Contexte de la vulnérabilité La CVE-2026-23866 a été publiée le 1er mai 2026. Elle décrit une validation incomplète des messages AI Rich Response pour Instagram Reels dans WhatsApp, permettant à un attaquant de forcer le chargement d’un contenu média depuis une URL arbitraire sur l’appareil d’une victime, entraînant une fuite d’informations (headers, adresse IP, etc.). ...

🔍 Contexte Publié le 6 octobre 2026 par le FBI et l’U.S. Secret Service (USSS), cet avis conjoint de cybersécurité (JCSA-20261006-0) décrit la campagne FortiBleed, une opération active de compromission de credentials ciblant les firewalls Fortinet FortiGate et les passerelles SSL VPN exposées sur internet. SOCRadar a vérifié plus de 86 644 appareils compromis dans 194 pays. ⚙️ Mécanisme d’attaque La campagne exploite : Des credentials réutilisés ou issus de fuites antérieures (dumps Fortinet, logs infostealers) Un stockage de mots de passe legacy SHA-256, permettant le craquage à grande échelle La chaîne d’attaque se déroule en plusieurs étapes : ...