IOC

📰 Source : BleepingComputer | Date : 27 septembre 2026 | Contexte : Divulgation officielle par Citrix de deux vulnérabilités zero-day activement exploitées sur ses appliances NetScaler. 🔍 Vulnérabilités identifiées Citrix a publié le bulletin de sécurité CTX697096 confirmant deux failles critiques : CVE-2026-88771 (score CVSS 9.5) : Exécution de code à distance via une validation d’entrée incorrecte, exploitable sans authentification, affectant toutes les configurations par défaut de NetScaler ADC et Gateway. CVE-2026-88772 (score CVSS 9.5) : Débordement mémoire pouvant mener à une RCE ou un déni de service, exploitable lorsque DTLS est activé (activé par défaut sur les serveurs virtuels VPN). ⚠️ Versions affectées ...

🗓️ Contexte Source : Help Net Security, publié le 22 septembre 2026. L’article rapporte les conclusions de GreyNoise concernant l’exploitation active d’une vulnérabilité affectant les switches Zyxel GS1900 Smart Managed Switches, ciblant des environnements PME, écoles, hôtels et commerces. 🔍 Vulnérabilité exploitée CVE-2026-7273 : stack-based buffer overflow affectant les firmwares 2.90(XXXX.1)C0 et antérieurs des switches Zyxel GS1900 Exploitable depuis le LAN, sans authentification, via une requête HTTP spécialement forgée Permet l’exécution de commandes OS sur l’équipement Patch disponible depuis juin 2026 (nouvelles versions firmware) Ajoutée au catalogue KEV de la CISA, délai de remédiation fixé au 24 septembre 2026 🌍 Étendue de la compromission 996 équipements compromis dans 48 pays Pays les plus touchés : Italie, États-Unis, Taïwan, Corée du Sud, plusieurs pays de l’UE 564 victimes utilisaient des credentials d’usine par défaut Attaques survenues aux alentours du 17 août 2026 📦 Données exfiltrées Configuration des équipements Informations réseau Credentials root hashés 🛠️ Méthode d’attaque Exploit contenu dans un script Python fortement obfusqué via l’outil commercial PyArmor Après déobfuscation : ciblage explicite des firmwares 2.10 à 2.90 du modèle GS1900-24 Options CLI disponibles pour cibler d’autres firmwares dans le périmètre de la vulnérabilité 🔗 Attribution et campagnes liées GreyNoise attribue cette activité à un acteur sinophone ayant conduit des opérations antérieures en 2026 : ...

🔍 Contexte Source : riskyplugins.com, publié le 19 septembre 2026. L’analyse technique a été conduite les 3 et 4 septembre 2026 sur le code des extensions et leur configuration distante décodée. Les données de présence en boutique ont été relevées au 18 septembre 2026. 🧩 Description de la menace Un ensemble de 31 extensions Chrome en langue russe, toutes issues d’un codebase unique, est publié depuis trois comptes Google liés : ...

🔍 Contexte Article publié le 20 septembre 2026 sur le blog Synaptic Systems par Robin Dost. Il s’agit d’une mise à jour d’analyses antérieures (Nick Roy, janvier 2025) portant sur Hangro, le VPN et client mail d’État nord-coréen, utilisé par les représentants commerciaux nord-coréens à l’étranger (notamment en Chine). 🛠️ Produit analysé : Hangro Hangro est un client VPN dérivé de SoftEther (hardware ID NeoAdapter_VPN non modifié), embarquant également un client mail (Postfix/Dovecot) et un système de chat en temps réel. Il est distribué via le consulat nord-coréen à Shenyang à 350 USD par poste. Le titre de fenêtre est HangroVPN - 안개 (brouillard). ...

📅 Source : Zero Salarium (zerosalarium.com), publié le 26 septembre 2026 par le chercheur Two Seven One Three (@TwoSevenOneT). 🎯 Contexte : Cet article présente une nouvelle technique d’évasion EDR applicable lors de red-team engagements ou de tests d’intrusion. Elle vise à contourner la surveillance des API Windows classiquement utilisées pour l’injection de processus distante. 🔬 Technique décrite : La méthode, baptisée console named-pipe injection, repose sur le fait que les programmes console interactifs (comme netsh.exe ou nslookup.exe) stockent les commandes saisies dans leur propre espace mémoire via un named pipe (hStdInput). En exploitant ce comportement, il est possible d’écrire un payload arbitraire dans la mémoire d’un processus enfant sans recourir aux API VirtualAllocEx et WriteProcessMemory, qui sont étroitement surveillées par les EDR. ...

📅 Source : Malwarebytes Threat Intel, publié le 25 septembre 2026. 🔍 Contexte général Malwarebytes a découvert et analysé un RAT (Remote Access Trojan) inédit nommé Kothamine Agent, écrit en C et C++, distribué notamment via des packages npm malveillants. Le malware est actif depuis au moins juillet 2026, selon les dépôts VirusTotal et les commits GitHub. ⚙️ Architecture et fonctionnement Kothamine se compose de deux éléments principaux : Un injecteur (Kothamine Injector) qui prépare l’environnement et injecte le DLL agent dans explorer.exe Un agent DLL (Kothamine Agent) supportant plus de 30 commandes permettant le contrôle total du système infecté L’injecteur effectue les opérations suivantes : ...

🔍 Contexte Publié le 9 septembre 2026 par l’équipe zLabs de Zimperium, cet article présente l’analyse technique détaillée d’un malware Android baptisé Mantax Otax, attribué à des acteurs de menace indonésiens et ciblant principalement des victimes en Indonésie. 🎯 Nature de la menace Mantax Otax est un malware hybride combinant ransomware et spyware dans un seul vecteur d’attaque. Il est distribué via des APK Android malveillants hébergés sur des services de partage de fichiers tiers, installés par sideloading via ingénierie sociale, liens partagés et phishing. ...

🔍 Contexte Publié le 22 septembre 2026 par Jamf Threat Labs, cet article constitue une analyse technique approfondie d’une nouvelle variante du malware macOS PamStealer, baptisée Wavel, faisant suite à une première publication de juillet 2026. Il s’agit de la troisième variante connue de cette famille de stealers ciblant macOS. 🎣 Vecteur d’infection Les victimes sont attirées via hxxps://wavel[.]app, un site imitant une application de portefeuille crypto multichain. Le bouton de téléchargement délivre un fichier Wavel.dmg depuis hxxps://y32me8[.]com/Wavel.dmg. Le DMG contient un AppleScript compilé (.scpt) qui, masqué par macOS (extension cachée dans Finder), s’ouvre avec Script Editor et exécute du code JXA embarqué. ...

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

📅 Source : BleepingComputer, publié le 26 septembre 2026. Cet article rapporte une réactivation accidentelle de deux GitHub Actions malveillants, initialement compromis en mai 2026 dans le cadre de la campagne Mini Shai-Hulud. 🔍 Contexte de la compromission initiale Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de l’attaque Mini Shai-Hulud, une attaque de la chaîne d’approvisionnement ayant infecté 323 packages et 639 versions de packages sur le registre npm. Le malware ciblait les tokens, credentials et secrets CI/CD des développeurs. L’équipe de sécurité GitHub avait alors supprimé ces actions. ...