IOC

🔍 Contexte : Le 10 juin 2026, l’équipe SonicWall Capture Labs Threat Research a publié une analyse technique d’un échantillon du framework C2 Havoc, connu pour ses capacités de furtivité avancées et utilisé dans diverses campagnes malveillantes. ⚙️ Cycle d’infection : L’infection se déroule en deux étapes : Un script VBS légèrement obfusqué télécharge et exécute un binaire malveillant sous forme de bundle MSI (update.msi) Le MSI dépose deux fichiers imitant des composants Microsoft légitimes : EndpointDLP.dll et MpExtMs.exe, dans le répertoire C:\Users\user\AppData\Local\PlatformServices\ EndpointDLP.dll présente un horodatage falsifié à 2070 (timestomping) 🛡️ Techniques d’évasion : ...

🔍 Contexte Publié le 11 juin 2026 par Sekoia Threat Detection & Research (TDR), cet article constitue une rétrospective analytique de deux décennies d’activité d’APT28 (alias Fancy Bear, Forest Blizzard, Sednit, GRU Unit 26165). Il s’inscrit dans un effort coordonné de publication impliquant des agences gouvernementales et des vendeurs privés, dont le FBI, visant à contraindre les opérations cyber du GRU. 🕰️ Ère 2004–2018 : La chaîne d’implants signature APT28 opère une chaîne d’implants stable reposant sur : ...

📰 Source : SecurityAffairs — Date de publication : 5 juin 2026 Cisco publie une alerte concernant CVE-2026-20245 (score CVSS 7.8), une vulnérabilité d’élévation de privilèges affectant Cisco Catalyst SD-WAN Manager (anciennement SD-WAN vManage). La faille permet à un attaquant local authentifié d’exécuter des commandes arbitraires en tant que root via une injection de commande par upload de fichier. 🔍 Mécanisme d’exploitation : La vulnérabilité est due à une validation insuffisante des entrées utilisateur L’attaquant doit disposer de privilèges netadmin sur le système cible Ces privilèges peuvent être obtenus via des identifiants volés ou en chaînant l’exploitation de CVE-2026-20182 ou CVE-2026-20127 L’exploitation peut entraîner des modifications de configuration poussées vers les équipements edge 🌐 Périmètre affecté : ...

🔍 Contexte Publié le 8 juin 2026 sur le blog officiel de Check Point, cet article annonce la découverte et l’exploitation active d’une vulnérabilité critique affectant les produits VPN de l’éditeur. 🚨 Vulnérabilité identifiée CVE-2026-50751 est une vulnérabilité de contournement d’authentification (authentication bypass) de sévérité critique. Elle affecte les déploiements Check Point Remote Access VPN et Mobile Access configurés pour utiliser le protocole d’échange de clés IKEv1 (déprécié). Le défaut repose sur une faille logique dans la validation des certificats, permettant à un attaquant d’établir une session VPN sans posséder de mot de passe valide, contournant ainsi entièrement les mécanismes d’authentification. ...

🔍 Contexte Le 12 juin 2026, watchTowr Labs publie une analyse technique approfondie de CVE-2026-50751, une vulnérabilité de bypass d’authentification (CVSS 9.3) affectant les produits Check Point Remote Access VPN, Mobile Access et Spark Firewall. Check Point a publié des hotfixes le 8 juin 2026. La vulnérabilité est inscrite au CISA KEV et a été exploitée in the wild. 🎯 Produits affectés Les versions Gaia suivantes sont concernées : R80.20.X, R80.40, R81, R81.10, R81.10.X, R81.20, R82, R82.00.X, R82.10 Les versions en fin de support ne reçoivent aucun hotfix. ...

🌐 Contexte Source : CyberScoop, publié le 12 juin 2026. Opération judiciaire internationale coordonnée entre les États-Unis, la France et l’Italie visant des sites de diffusion massive de contenus deepfake pornographiques non consentis. 🎯 Nature de l’opération Les Départements américains de la Justice (DOJ) et de la Sécurité intérieure (DHS) ont procédé à la saisie de plusieurs domaines internet, dont CFAKE.com et SOCFAKE.com. Ces sites hébergeaient des milliers d’images et vidéos générées par IA ou numériquement altérées représentant des femmes célèbres (politiciennes, premières dames, membres de familles royales, journalistes, présentatrices, athlètes, artistes) dans des contextes sexuels sans leur consentement. ...

🔍 Contexte Le 29 mai 2026, l’équipe sécurité du projet Helm (gestionnaire de packages Kubernetes) a publié un avis de sécurité sur son blog officiel (helm.sh) concernant le domaine baltocdn.com, anciennement utilisé comme miroir APT communautaire pour les distributions Debian et Ubuntu. 📅 Chronologie des événements Septembre 2025 : Décommissionnement du miroir APT baltocdn.com et arrêt de l’infrastructure sous-jacente. 19 mai 2026 : Réenregistrement du domaine baltocdn.com par un tiers inconnu après expiration de l’enregistrement original. 29 mai 2026 : Publication de l’avis de sécurité suite à des signalements tiers indiquant que le domaine pourrait être utilisé pour servir du contenu malveillant. ⚠️ Nature de la menace Le domaine baltocdn.com n’est plus sous le contrôle de l’opérateur APT d’origine. Tout système, script CI/CD, Dockerfile, image de conteneur ou configuration de gestion encore référençant ce domaine pourrait télécharger et exécuter des binaires malveillants en lieu et place des packages Helm légitimes. L’équipe Helm précise ne pas avoir confirmé indépendamment les rapports de contenu malveillant, mais qualifie tout usage continu du domaine de risque potentiel de supply chain. ...

🗓️ Contexte Source : BleepingComputer, publié le 10 juin 2026. L’article rapporte l’exploitation active d’une vulnérabilité haute sévérité dans Langflow, une plateforme open-source de développement d’applications IA très populaire (149 000 étoiles GitHub, 9 200 forks). 🔍 Vulnérabilité CVE-2026-5027 est une faille de path traversal dans la fonctionnalité d’upload de fichiers de Langflow. L’endpoint POST /api/v2/files ne sanitise pas le paramètre filename des données multipart, permettant à un attaquant d’écrire des fichiers à des emplacements arbitraires du système de fichiers via des séquences ../. ...

📅 Source : Gen Digital Blog (gendigital.com), publié le 10 juin 2026, par Vojtěch Krejsa, Threat Researcher at Gen. Contexte GoFlateLoader est un loader écrit en Go (Golang), suivi activement par Gen Threat Labs depuis début avril 2026. Malgré une conception technique simple, il est largement distribué : plus de 33 000 utilisateurs uniques ont été protégés depuis avril 2026, principalement au Brésil, Inde, Argentine, Mexique, Turquie et Espagne. Mécanisme technique Le loader réalise un chargement manuel de PE en mémoire selon le flux suivant : ...

🔍 Contexte Publié le 8 juin 2026 sur The Raven File, cet article constitue une analyse technique approfondie de Grixba, l’outil de reconnaissance interne développé par le groupe Play Ransomware (actif depuis 2022, 1200+ victimes). L’analyse couvre quatre échantillons compilés entre septembre 2022 et novembre 2024, soit une période de 26 mois. 🎯 Présentation de Grixba Grixba est un infostealer/scanner réseau personnalisé développé en .NET avec Costura pour l’intégration des dépendances. Il est utilisé en phase de pré-chiffrement pour cartographier l’environnement cible : ...