IOC

🔍 Contexte Publié le 22 mars 2026 sur GitHub par InfinityCurveLabs, ce dépôt présente vm-filesystem, un module de bytecode Firebeam conçu pour interagir avec le système de fichiers distant dans le cadre du framework offensif Havoc. ⚙️ Fonctionnement technique Le module repose sur deux mécanismes principaux : Monkey-patching Python : remplacement dynamique des méthodes utilisées par le File Browser de Havoc pour émettre des tâches vers l’agent, substituées par l’interprétation et l’exécution de bytecode Firebeam équivalent. Machine virtuelle Firebeam : exécution de bytecode permettant des opérations sur le système de fichiers sans nécessiter l’intégration du filesystem dans l’agent lui-même. 🛠️ Capacités exposées Les opérations supportées incluent : ...

🧩 Contexte Publié le 22 mars 2026 sur le dépôt GitHub de BishopFox, le projet Wasm Stager est un toolkit offensif open-source conçu pour la recherche en sécurité offensive. Il exploite le standard WebAssembly System Interface (WASI) pour créer un outil d’accès distant multiplateforme. 🏗️ Architecture Le toolkit se compose de deux composants principaux : Stager : un runtime WASI qui charge et exécute le module implant avec une intégration système complète Implant : un module Wasm compatible Sliver, offrant des capacités de shell distant et de reconnaissance système ⚙️ Fonctionnement technique Le stager est configuré à la compilation avec les paramètres suivants : ...

Trend Micro publie une analyse technique approfondie du ransomware Agenda, couvrant ses variantes multiplateformes, ses techniques d’attaque avancées et ses alliances avec d’autres groupes criminels. 🎯 Contexte Source : Trend Micro (publication du 21 mars 2026). Cette analyse technique détaillée porte sur le ransomware Agenda (aussi connu sous d’autres noms), décrit comme l’une des opérations ransomware les plus prolifiques et dangereuses, avec des variantes en Go, Rust et Linux, et des alliances avec d’autres groupes de menaces majeurs. ...

Analyse statique complète du ransomware Payload, dérivé du code source Babuk 2021, utilisant Curve25519+ChaCha20, ciblant Windows et ESXi avec 12 victimes et 2 603 Go exfiltrés. 🔍 Contexte Publié le 21 mars 2026 par Kirk sur derp.ca, cet article présente une analyse statique complète du ransomware Payload, actif depuis au moins le 17 février 2026. Le groupe revendique 12 victimes dans 7 pays, avec 2 603 Go de données exfiltrées, dont une attaque contre le Royal Bahrain Hospital (110 Go, deadline 23 mars 2026). ...

🗓️ Contexte Source : The Record Media, publié le 21 mars 2026. L’article rapporte une attaque ransomware ayant ciblé la ville de Foster City, une municipalité de la région de la Baie de San Francisco (Californie) comptant environ 34 000 habitants. 🔐 Nature de l’incident La ville a subi une violation de sécurité informatique qualifiée de ransomware. Les attaquants auraient potentiellement obtenu des informations publiques concernant des personnes ayant eu des interactions avec la ville. ...

Team Cymru a découvert un répertoire ouvert sur un serveur Beast Ransomware exposant l’intégralité de la chaîne d’attaque des opérateurs, de la reconnaissance à l’exfiltration. 🔍 Contexte En mars 2026, Team Cymru a publié une analyse technique détaillée d’un serveur appartenant aux opérateurs du ransomware Beast, découvert via leur système de collecte NetFlow et Open Ports. L’adresse IP 5.78.84.144 hébergée chez Hetzner (AS212317) exposait un répertoire ouvert sur le port 8000 contenant l’ensemble de la boîte à outils des attaquants. ...

🔍 Contexte Publié le 21 mars 2026 sur SecurityAffairs, cet article synthétise les alertes d’Apple et les recherches de Google GTIG et Lookout Threat Labs concernant deux kits d’exploitation iOS actifs : Coruna (alias CryptoWaters) et DarkSword. 🧰 Kit Coruna (alias CryptoWaters) Identifié initialement en février 2025 par Google GTIG, Coruna cible les iPhones sous iOS 13.0 à 17.2.1. Il comprend 5 chaînes d’exploitation complètes et 23 exploits individuels couvrant : ...

Amazon Threat Intelligence a découvert qu’Interlock ransomware exploitait CVE-2026-20131 dans Cisco Secure Firewall Management Center comme zero-day depuis le 26 janvier 2026, soit 36 jours avant la divulgation publique. 🔍 Contexte Le 21 mars 2026, Amazon Threat Intelligence a publié sur le blog de sécurité AWS une analyse technique détaillée d’une campagne active du groupe Interlock ransomware exploitant CVE-2026-20131, une vulnérabilité critique dans Cisco Secure Firewall Management Center (FMC) Software. ...

🌐 Contexte Le 21 mars 2026, The Cyber Express rapporte que le Département de Justice américain (DOJ) a procédé à la saisie de quatre domaines liés à des opérations cyber-psychologiques attribuées au ministère iranien du Renseignement et de la Sécurité (MOIS). 🎯 Domaines saisis Les quatre domaines suivants ont été mis hors ligne : Justicehomeland[.]org Handala-Hack[.]to Karmabelow80[.]org Handala-Redwanted[.]to Ces domaines partageaient une infrastructure commune, notamment des plages d’IP iraniennes et des plateformes de fuite de données. ...

🔍 Contexte Source : BleepingComputer — Publication le 21 mars 2026. Cet article rapporte la saisie par le FBI des domaines clearnet associés au groupe hacktiviste Handala, dans le cadre d’une opération judiciaire liée à une cyberattaque contre Stryker. 🌐 Domaines saisis Les deux domaines suivants affichent désormais un avis de saisie : handala-redwanted[.]to handala-hack[.]to Ces domaines ont été saisis en vertu d’un mandat de saisie délivré par le District Court for the District of Maryland. ...