PetitPotam

🔍 Contexte Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d’une série de recherches intitulée Turning Enterprise Update Servers Into Backdoor Factories. Il documente pas à pas l’utilisation de NotWSUSpicious, un outil Python open source disponible sur GitHub. ⚙️ Mécanisme d’attaque L’attaque repose sur une chaîne de compromission en plusieurs étapes : Prérequis : le serveur WSUS doit être configuré avec une base MSSQL externe et l’Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL. Coercition d’authentification : l’outil PetitPotam est utilisé pour forcer le compte machine du serveur WSUS (WSUS1$) à s’authentifier vers la machine de l’attaquant via MS-EFSRPC. Relais NTLM : Ntlmrelayx (Impacket) relaie l’authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS. Accès à la base SUSDB : via un proxy SOCKS (proxychains) et un mssqlclient.py modifié, l’attaquant accède à la base SUSDB. Création de fausses mises à jour : NotWSUSpicious.py génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique. 🛠️ Fonctionnement de NotWSUSpicious Génère deux GUIDs pour les mises à jour parent et enfant Calcule la taille, le hash SHA1 et le hash SHA256 du payload Injecte les métadonnées dans les procédures stockées WSUS (spImportUpdate, spSaveXmlFragment) Paramètres clés : URL d’hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible 📦 Outils impliqués NotWSUSpicious (outil custom, Python 3.11) PetitPotam (coercition MS-EFSRPC) Ntlmrelayx / Impacket v0.13.0 (relais NTLM + proxy SOCKS) mssqlclient.py modifié (gestion des procédures stockées multi-résultats) proxychains (tunneling via SOCKS) 📌 Type d’article Il s’agit d’une publication de recherche offensive à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l’exploitation des serveurs WSUS en environnement Active Directory d’entreprise. ...

🔍 Contexte Le 14 mai 2026, KELA Cyber Intelligence Center publie une analyse approfondie d’une fuite de données internes concernant The Gentlemen, une opération RaaS (Ransomware-as-a-Service) active depuis septembre 2025. La fuite, initialement postée le 4 mai 2026 sur Exploit.in par l’utilisateur XxHDSandwichxX, couvre des communications internes du 7 novembre 2025 au 30 avril 2026. 📊 Ampleur et positionnement Entre janvier et mai 2026, KELA a recensé 3 349 victimes de ransomware revendiquées publiquement (+14,5% vs 2025). The Gentlemen revendique 328 victimes sur cette période, soit 10% des attaques mondiales, se positionnant en 2e place mondiale derrière Qilin (17%). ...

🔍 Contexte Publié le 11 mai 2026 par TrendAI Research (Trend Micro), cet article présente deux campagnes de cyberattaques émergentes exploitant des agents IA agentiques pour automatiser des opérations d’intrusion de bout en bout contre des cibles gouvernementales et financières en Amérique latine. 🎯 Campagne SHADOW-AETHER-040 Active depuis fin 2025, cette campagne a ciblé principalement des entités gouvernementales mexicaines (6 compromises entre le 27 décembre 2025 et le 4 janvier 2026), ainsi que des organisations des secteurs financier, aérien et retail en Amérique latine. ...

🔍 Contexte Rapport technique publié le 10 avril 2026 par Gambit Security (Eyal Sela, Director of Threat Intelligence). L’analyse est basée sur des matériaux forensiques récupérés depuis trois VPS utilisés dans la campagne, incluant des logs de sessions AI, des scripts d’exploitation et des rapports de reconnaissance automatisés. 🎯 Victimes et périmètre Entre fin décembre 2025 et mi-février 2026, neuf organisations gouvernementales mexicaines ont été compromises : SAT (Servicio de Administración Tributaria) : 195M dossiers fiscaux + 52M annuaires exfiltrés, compromission domaine-wide, API de requête live construite et exposée publiquement, mécanisme de falsification de certificats fiscaux opérationnalisé, 305 serveurs internes analysés Estado de Mexico : 15,5M dossiers véhicules, 3,6M propriétaires, millions de dossiers population Registro Civil CDMX : ~220M dossiers civils, centaines de dossiers judiciaires, milliers de credentials employés Jalisco : 50K dossiers patients, 17K victimes violences domestiques, 36K employés santé, 180K dossiers numériques ; infrastructure virtualisation complète compromise (cluster Nutanix 13 nœuds, 37/38 serveurs DB) ; rootkits déployés sur 20 agences INE (Instituto Nacional Electoral) : 13,8K dossiers cartes électeurs exfiltrés, pool estimé à dizaines de millions Michoacán : 2,28M dossiers propriétés, 2K comptes avec mots de passe en clair SADM Monterrey : 3,5K dossiers achats/fournisseurs, 5K dossiers appels d’offres Tamaulipas : Compromission Active Directory Salud CDMX : Exploitation serveur Zimbra 🤖 Rôle des plateformes AI Claude Code (Anthropic) a généré et exécuté ~75% des commandes d’exécution distante via son interface tool-use. Il a servi d’assistant d’exploitation interactif : écriture d’exploits, construction de tunnels, cartographie d’architecture, escalade de privilèges, harvesting de credentials, anti-forensics. ...