Mimikatz

🔍 Contexte Publié le 9 septembre 2026 par GreyNoise, cet article de threat intelligence documente une campagne d’exploitation opportuniste à grande échelle contre PaperCut NG/MF, un logiciel de gestion d’impression Java auto-hébergé tournant par défaut avec des privilèges SYSTEM sur Windows. La campagne a été observée via le Global Observation Grid (GOG) de GreyNoise. 🎯 Acteur et outillage IA Un acteur malveillant russophone a utilisé l’adresse IP 45.142.193.132 (suivie depuis début juillet 2026) pour orchestrer la campagne. L’acteur a exploité des agents IA basés sur OpenAI Codex (comme harnais) et un modèle DeepSeek pour développer, tester et déployer des exploits contre deux nouvelles vulnérabilités : CVE-2026-81578 et CVE-2026-82078. La construction des listes de cibles a été réalisée via le service de scan internet Netlas.io avec une clé API identifiée. ...

🔍 Contexte Publié le 3 novembre 2026 par Bitdefender (auteurs : Marius Baciu, Adrian Schipor, Martin Zugec), cet article présente la première attaque hybride IA documentée en Europe, impliquant un affilié du groupe ransomware-as-a-service ThreeAM (3AM) contre un réseau d’établissements scolaires au Royaume-Uni. 🎯 Victimologie La cible est un réseau scolaire britannique composé de 47 systèmes : environ 21 serveurs dont 8 contrôleurs de domaine, 10 postes sous Windows 10 (hors support), un contrôleur de domaine sous Windows Server 2012 R2, et le reste sous Windows 11. L’environnement comportait plusieurs domaines Active Directory initialement non connectés entre eux. ...

🔍 Contexte Publié le 3 novembre 2026 par Etugen (etugen.io), cet article présente une analyse technique approfondie d’une opération d’exploitation de vulnérabilités zero-day sur Ivanti Connect Secure, attribuée avec confiance modérée à l’acteur UTA0576. L’analyse part d’un seul indicateur public (une IP déjà retirée) et remonte jusqu’à l’infrastructure active de l’opérateur. 🎯 Vulnérabilités exploitées La chaîne repose sur trois CVE enchaînées : CVE-2026-104935 : contournement d’authentification par spoofing (via l’en-tête X-DSCGI-PATH) CVE-2026-118527 : upload de fichier authentifié vers un chemin connu CVE-2026-111357 : élévation de privilèges locale authentifiée via dsinvoked Ces vulnérabilités permettent un accès root non authentifié sur les appliances Ivanti Connect Secure 22.8R2.4, actif depuis le 3 octobre 2026. Les deux dernières ont été ajoutées au KEV de la CISA le 30 octobre 2026. ...

🔍 Contexte Publié le 2 novembre 2026 sur Securelist par l’équipe Kaspersky Cyber Threat Intelligence, cet article constitue l’une des premières descriptions publiques d’une compromission impliquant un LLM (Large Language Model) utilisé activement dans une chaîne d’attaque réelle. 🎯 Campagne et victimes La campagne cible des organisations du secteur éducatif dans plusieurs pays d’Afrique et d’Amérique latine. L’accès initial a été obtenu via un serveur SQL Server compromis (version 16.0.1000), à partir duquel l’opérateur humain a effectué une reconnaissance manuelle avant de déployer le framework CyberStrikeAI. ...

🔍 Contexte Publié le 27/10/2026 sur hideandsec.sh, cet article est issu d’un retour d’expérience Red Team. L’auteur a développé un extracteur local SAM/LSA indétectable par les EDR, et documente ici la chaîne complète de déchiffrement des secrets LSA Windows stockés dans les ruches de registre SECURITY et SYSTEM. 🔑 Étape 1 : Récupération de la Boot Key La Boot Key (16 octets) est fragmentée en 4 morceaux de 4 octets, cachés dans les class names des sous-clés de HKLM\SYSTEM\ControlSet001\Control\Lsa : ...

🔍 Contexte Source : ThreatMon Threat Intelligence Team — Publication du 1er octobre 2026. Durant une activité de threat hunting de routine, ThreatMon a identifié un serveur de staging attaquant exposé publiquement sans authentification, utilisé dans le cadre d’une intrusion liée à l’environnement de Viva Aerobus (compagnie aérienne mexicaine), active entre le 25 et le 29 septembre 2026. 🖥️ Infrastructure exposée Le serveur de staging à l’adresse 151.243.232.123 hébergeait des outils post-exploitation, des fichiers collectés (loot) et supportait l’activité post-exploitation. L’absence totale de contrôle d’accès a permis à des hôtes externes non liés à l’attaque d’accéder au contenu dès les premières minutes d’activité. ...

🛡️ Contexte Publié le 27 septembre 2026 sur GitHub par un lycéen turc (@prox0959, Çınar), MemGuard est un outil défensif open-source sous licence MIT, conçu pour protéger le processus lsass.exe contre les techniques de credential dumping sur les systèmes Windows 10/11. ⚙️ Fonctionnement technique L’outil repose exclusivement sur des appels natifs Win32/NT kernel via ctypes, sans aucune dépendance tierce. Il implémente quatre mécanismes de détection : Énumération des handles NT : utilise NtQuerySystemInformation (classe 64 — SystemExtendedHandleInformation) pour auditer tous les handles ouverts sur lsass.exe à l’échelle du système Analyse des masques d’accès : décode le champ GrantedAccess 32 bits et alerte sur PROCESS_VM_READ (0x0010), PROCESS_ALL_ACCESS (0x1FFFFF), PROCESS_VM_WRITE (0x0020), etc. Lecture PEB en mémoire : inspecte la ligne de commande des processus via NtQueryInformationProcess + ReadProcessMemory pour détecter les invocations LOLBin (comsvcs.dll MiniDump, procdump -ma) Scan d’artefacts de dump : détecte les fichiers .dmp valides (en-tête MDMP) dans les répertoires de triage 🚨 Menaces couvertes Accès direct à la mémoire LSASS via Mimikatz, Dumpert, NanoDump LOLBins : rundll32.exe comsvcs.dll MiniDump et procdump.exe -ma lsass.exe Duplication de handles depuis des services privilégiés 🔧 Modes d’utilisation --scan : audit ponctuel --monitor --interval N : surveillance continue --suspend : gel actif du processus offensif via NtSuspendProcess --json : export de rapport forensique --lang tr : support bilingue anglais/turc 📌 Positionnement Cet article est la documentation technique d’un nouvel outil défensif open-source. Il vise à fournir une alternative gratuite aux solutions EDR commerciales (CrowdStrike Falcon, SentinelOne) pour la protection contre la technique MITRE ATT&CK T1003.001. ...

📰 Source : Blog Trellix (trellix.com), publié le 9 septembre 2026, par Adam G. Tomeo. Article de vulgarisation technique à destination d’un public professionnel. 🎯 Contexte L’article décrit en détail le mécanisme d’une attaque DCSync, une technique d’exfiltration de credentials ciblant les contrôleurs de domaine Active Directory (AD). Cette attaque est qualifiée de particulièrement dangereuse car elle est discrète et peut donner à l’attaquant un contrôle total sur l’identité numérique d’une organisation. ...

🎯 Contexte Le 18 août 2026, la CISA, le FBI et le Department of Health and Human Services (HHS) ont publié une mise à jour substantielle de l’advisory conjoint AA25-071A (#StopRansomware: Medusa Ransomware), initialement publié le 12 mars 2025. Cette analyse est produite par SafeBreach le 19 août 2026. 🦠 Présentation de Medusa Medusa est une opération ransomware-as-a-service (RaaS) active depuis juin 2021, ayant impacté plus de 500 organisations d’infrastructure critique dans les secteurs médical, éducatif, juridique, assurance, technologie et manufacturing. Le groupe utilise un modèle de double (voire triple) extorsion et recrute des Initial Access Brokers (IABs) via des forums cybercriminels, rémunérés entre 100 $ et 1 million USD. ...

🕵️ Contexte Publié le 14 août 2026 sur The Raven File par l’analyste RakeshKrish, cet article constitue une première analyse de renseignement sur le groupe ransomware Majinahanashi, apparu dans la continuité d’autres groupes à thématique japonaise (YUREI, SINOBI, TENGU). 🎯 Victimologie Le groupe cible exclusivement des pays non anglophones : Suisse, Italie, Allemagne, Bulgarie, Inde, Portugal, France, Chili, Lituanie, Thaïlande, Colombie. Les secteurs les plus touchés sont le e-commerce et la fabrication, suivis de l’agriculture, des services et de la technologie. Le chiffre d’affaires moyen des victimes est estimé à 25 M$, avec un pic à 61 M$ pour une victime suisse. 15 victimes sont recensées depuis la première fuite le 27 juin 2026. ...