IOC

🗓️ Contexte Source : The Register, publié le 2 juillet 2026. Les chercheurs de Defused ont observé la première exploitation connue de CVE-2026-46817 le 27 juin 2026, soit six semaines après la publication du correctif par Oracle dans sa mise à jour critique de mai. 🎯 Vulnérabilité ciblée CVE-2026-46817 — score CVSS : 9.8 Composant affecté : Oracle Payments File Transmission dans Oracle E-Business Suite (EBS) versions 12.2.3 à 12.2.15 Impact : permet à un attaquant non authentifié de lire des fichiers arbitraires sur les serveurs vulnérables 🔍 Observations techniques Les honeypots de Defused ont enregistré six tentatives d’exploitation provenant d’une source unique, utilisant ce qui semble être un exploit fonctionnel. Les requêtes visaient à récupérer des fichiers sensibles du système cible. Le comportement observé ne correspond pas à un scan indiscriminé, mais plutôt à un test ou une validation de technique. ...

📅 Source : BleepingComputer, 4 juillet 2026 — Analyse publiée par la société de sécurité cloud Sysdig portant sur une opération ransomware inédite baptisée JadePuffer. 🤖 Contexte : JadePuffer est présenté comme le premier cas documenté d’opération ransomware entièrement orchestrée par un agent LLM autonome, sans intervention humaine directe identifiée. L’agent a géré l’ensemble de la chaîne d’attaque, de la reconnaissance initiale au chiffrement des données. 🔓 Vecteur d’accès initial : exploitation de CVE-2025-3248, une vulnérabilité d’exécution de code à distance non authentifiée dans Langflow, un framework open-source de construction d’applications LLM. Cette CVE avait été corrigée le 1er avril 2025 et signalée comme activement exploitée par la CISA début mai 2025. ...

🔍 Contexte Publié le 3 juillet 2026 par RANSOM-ISAC (recherche individuelle de The Raven File), ce rapport analyse en détail un incident d’extorsion de données impliquant le groupe Kairos et une entité gouvernementale américaine non identifiée, survenu en mai-juin 2025. L’analyse repose sur une transcription de négociation divulguée et des observations de flux de paiement blockchain. 🎯 Nature de l’attaque Kairos est décrit comme un acteur d’extorsion de données uniquement (data-only extortion), sans ransomware confirmé. Aucun échantillon d’encrypteur ou de binaire de verrouillage n’a été identifié. L’accès initial aurait été obtenu via une attaque par force brute sur les identifiants. Le groupe a exfiltré plus de 2 To de données (1 602 775 fichiers) avant de prendre contact avec la victime le 19 mai 2025. ...

🔍 Contexte Cisco Talos a publié le 1er juillet 2026 une analyse technique détaillée d’ARToken, un panel de type Phishing-as-a-Service (PhaaS) découvert lors d’un engagement de réponse à incident. Ce panel partage infrastructure, contrats API et patterns opérationnels avec la plateforme EvilTokens, documentée par Sekoia et Microsoft début 2026. 🎯 Description de la menace ARToken expose plus de 80 endpoints API permettant à des affiliés d’effectuer : Device code phishing via l’abus du flux OAuth 2.0 Device Authorization Grant (RFC 8628) Acquisition et persistance de Primary Refresh Token (PRT) survivant aux réinitialisations de mot de passe Opérations BEC (Business Email Compromise) avec outil intégré ARTSender Exfiltration SharePoint/OneDrive Surveillance multi-boîtes mail par mots-clés (Box Monitor) Le panel est accessible via un dashboard React (SPA), dont le bundle JavaScript de 1,7 Mo expose l’intégralité du code client sans authentification. ...

📅 Source et contexte : Rapport publié le 2 juillet 2026 par PIXM Security, basé sur des détections effectuées dans des navigateurs d’entreprise entre le 23 et le 30 juin 2026. 🎯 Campagne 1 — Fausses invitations récoltant identifiants et OTP Une famille de pages de phishing a usurpé l’identité de services légitimes (Paperless Post, Punchbowl Post, Greenvelope, Adobe Document Cloud) pour collecter des identifiants email et des codes OTP. Le flux est identique sur tous les domaines : ...

🔍 Contexte Publié le 1er juillet 2026 par Sekoia TDR et YesWeHack, cet article détaille une campagne de supply chain ciblant les chercheurs en vulnérabilités et pentesters via de faux dépôts GitHub de preuves de concept (PoC) pour des CVE critiques. 🎯 Vecteur d’infection La chaîne d’infection repose sur une confusion de dépendances : les dépôts malveillants incluent dans leur requirements.txt des packages PyPI malveillants (frint, skytext, slogsec, logcrypt.cryptography). L’installation via pip install déclenche le chargement d’une extension native compilée et obfusquée (gradient.so / gradient.pyd) qui exécute un dropper. ...

📰 Contexte Source : SOCRadar, publié le 2 juillet 2026. La CISA a officiellement ajouté CVE-2026-45659 à son catalogue Known Exploited Vulnerabilities (KEV) le 1er juillet 2026, avec une date limite de remédiation fixée au 4 juillet 2026. 🔍 Description de la vulnérabilité CVE-2026-45659 (CVSS 8.8) affecte Microsoft SharePoint Server on-premises (non SharePoint Online). Elle est causée par une désérialisation de données non fiables (CWE-502), permettant l’exécution de code arbitraire à distance (RCE). ...

📰 Source : SecurityWeek — Date de publication : 30 juin 2026 La CISA (agence américaine de cybersécurité) a signalé l’exploitation active de la vulnérabilité BlueHammer, identifiée sous la référence CVE-2026-33825, dans le cadre d’attaques ransomware. Cette faille affecte Microsoft Defender. 🔍 Contexte de divulgation BlueHammer fait partie d’une série d’exploits rendus publics par un chercheur mécontent opérant sous les pseudonymes Chaotic Eclipse et Nightmare Eclipse. Ce chercheur a choisi de divulguer publiquement plusieurs vulnérabilités avant que Microsoft n’ait pu publier des correctifs, en réaction à ce qu’il perçoit comme une mauvaise gestion des rapports de vulnérabilités par l’éditeur. ...

🔍 Contexte Publié le 1er juillet 2026 par l’équipe Sysdig Threat Research Team (TRT), cet article présente la première documentation publique d’un ransomware agentique piloté de bout en bout par un grand modèle de langage (LLM), désigné sous le nom JADEPUFFER. 🎯 Vecteur d’accès initial JADEPUFFER a exploité CVE-2025-3248, une faille d’authentification manquante dans l’endpoint de validation de code de Langflow (framework open-source de construction d’agents LLM), permettant l’exécution arbitraire de Python sans authentification. Tous les payloads étaient délivrés en Python encodé en Base64 via cet endpoint RCE. ...

🔍 Contexte En mai 2026, FortiGuard Labs a identifié une campagne active du trojan bancaire Ousaban ciblant spécifiquement les utilisateurs en Espagne et au Portugal. L’article, publié le 1er juillet 2026, constitue une analyse technique approfondie de cette campagne géolocalisée. 🎯 Vecteur d’infection et chaîne d’attaque La chaîne d’attaque se déroule en plusieurs étapes : PDF de phishing : déguisé en fichier corrompu, il incite la victime à cliquer sur un bouton « Atualizar » (Mettre à jour) via un message trompeur. Un code JavaScript hex-escapé redirige également vers la même page malveillante. Page web malveillante : se fait passer pour une source légitime de documents fiscaux. Elle effectue des vérifications d’environnement côté serveur (langue, fuseau horaire, IP, résolution d’écran, rendu navigateur, énumération de polices) pour restreindre l’accès aux seuls utilisateurs en Espagne et au Portugal. Les IP liées à des VPN sont bloquées. Fichier VBS : téléchargé si l’environnement passe la vérification. Il contient de nombreux appels de fonctions bénins pour masquer le code malveillant, puis télécharge une image stéganographique (ressemblant à une icône PDF) contenant un fichier ZIP avec le payload Ousaban. Payload EXE : déposé dans C:\SysMain_5874288 et exécuté. Les fichiers ZIP, image et VBS sont supprimés après exécution. 🦠 Comportement d’Ousaban Persistance : création d’une valeur de registre nommée Financeiro dans CurrentVersion\Run Marqueur d’installation : création d’un fichier vide maisum.dat Ciblage bancaire : déchiffrement de chaînes liées à des services bancaires pour surveiller l’accès aux banques cibles Algorithme de chiffrement custom : partagé avec d’autres trojans bancaires latino-américains comme Casbaneiro, basé sur XOR avec offset aléatoire Résolution C2 dynamique : utilisation de DDNS avec sous-domaines changeant quotidiennement (préfixe aki + 8 premiers caractères d’un hash MD5 basé sur la date et une chaîne hardcodée). La date est obtenue en accédant à la page Google Automated Queries. Leurre Pastebin : un lien Pastebin contenant une IP privée est déchiffré mais sert de leurre ; la vraie résolution C2 passe par les domaines DDNS. Commandes C2 : #Convite# (collecte d’infos), #Handle# (ID victime), #ON-LINE# (heartbeat), #xyScree# (résolution écran), #Iniciar# (capture d’écran, contrôle à distance, keylogger, injection clipboard) 📅 Variantes fin 2025 Des variantes de fin 2025 utilisaient : ...