ScreenConnect

🔍 Contexte Source : SecurityWeek, publié le 14 septembre 2026 par Ionut Arghire. ConnectWise a publié des correctifs d’urgence pour une vulnérabilité critique affectant son logiciel d’accès et de support à distance ScreenConnect. 🐛 Vulnérabilité CVE-2026-84869 — Score CVSS : 9.9/10 Catégorie : autorisation manquante et mauvaise gestion des privilèges La faille permet à un attaquant de transférer et exécuter des fichiers via une session distante active sans autorisation ni confirmation de l’hôte, dans certaines circonstances. ⚔️ Exploitation observée La firme de cybersécurité Huntress a alerté début septembre que la vulnérabilité était exploitée dans la nature depuis le 20 août 2026. ...

🔍 Contexte Publié le 9 septembre 2026 par Sarah Reddish sur le blog Huntress, cet article présente l’analyse technique de deux incidents détectés par le SOC Huntress en août 2026. Les deux attaques partagent la même chaîne d’infection et les mêmes leurres visuels. 🎣 Vecteur initial et technique BiTB Les deux incidents débutent par un email de phishing (via Gmail pour l’incident 1, via AT&T Office@Hand/RingCentral pour l’incident 2). Les victimes sont redirigées vers des pages contrôlées par l’attaquant qui utilisent la technique Browser-in-the-Browser (BiTB) : une fausse fenêtre de navigateur est rendue dans le contenu de la page web (HTML/CSS/JavaScript), affichant un domaine Adobe légitime (get.adobe.com) dans une barre d’adresse factice, contournant ainsi les réflexes de vérification des utilisateurs. ...

🔍 Contexte Analyse publiée le 4 septembre 2026 par le KnowBe4 Threat Lab (analystes Prabhakaran Ravichandhiran et Jeewan Singh Jalal). Il s’agit d’une campagne de phishing active à grande échelle, ciblant des organisations dans les secteurs manufacturier, gouvernemental, financier et associatif à l’échelle mondiale. ⚙️ Mécanisme d’attaque La campagne repose sur une chaîne de redirections multi-sauts exploitant exclusivement des services Google légitimes avant d’atteindre l’infrastructure attaquante : meet.google.com/linkredirect (open redirect via paramètre dest=) www.google.com/url?q= (open redirect Google Search) adservice.google.com.ph/ddm/clk/ (DoubleClick Marketing Manager, ccTLD Philippines) cse.google.com/url (Custom Search Engine open redirect) images.google.com.bd / images.google.dj (variantes ccTLD Google Image Search) googletagmanager.com/debug/clearcookies?url= (endpoint debug GTM) analytics.google.com avec paramètre dl= (endpoint Analytics détourné) L’adresse email de la victime est encodée en base64 dans le fragment URL (#), invisible aux logs serveur et aux scanners d’URL. ...

🔍 Contexte Publié le 5 septembre 2026 par Huntress, cet article détaille une campagne de phishing active exploitant Faronics Deploy, une plateforme légitime de gestion d’endpoints, pour établir un accès distant non autorisé sur des systèmes victimes. 📊 Ampleur de la campagne Huntress a observé plus de 457 endpoints exposés à des leurres liés à Faronics entre le 21 juillet et le 20 août. L’activité a chuté dramatiquement à partir du 21 août après que Faronics a mis en place des mesures de disruption. ...

🔍 Contexte Publié le 3 septembre 2026 par Huntress (blog officiel), cet article détaille une campagne active observée fin août 2026 impliquant des clients ScreenConnect compromis et modifiés, utilisés pour propager une chaîne d’attaque multi-étapes à travers des organisations non liées. 🎯 Vecteur initial et propagation Les incidents débutent tous par de l’ingénierie sociale : Abus de Quick Assist (outil Windows légitime) dans le cadre de faux supports techniques Phishing conduisant au téléchargement de ScreenConnect.ClientSetup.msi Recherche d’un formulaire Geek Squad menant à l’exécution de ScreenConnect.Client.exe Une fois le client ScreenConnect malveillant installé, il exécute wscript.exe de manière répétée pour lancer quatre fichiers VBScript (1.vbs, 2.vbs, 3.vbs, 4.vbs). Le comportement vermiforme repose sur des clients ScreenConnect modifiés qui, lors de nouvelles connexions Host, transfèrent et exécutent automatiquement ces quatre scripts sur les endpoints nouvellement connectés. ...

🔍 Contexte Rapport publié le 25 août 2026 par MalBeacon / Deception.Pro, basé sur une opération de déception conduite par Trinity Cyber. L’intrusion a été capturée dans un environnement honeypot Active Directory simulant une organisation de gestion de patrimoine (1 500+ endpoints, 500+ utilisateurs), entre le 6 et le 8 août 2026, soit une fenêtre d’environ 54 heures. 🎯 Vecteur initial et exécution La chaîne d’infection débute par un malspam PDF livrant un fichier batch (Project_docs_file.bat) exécuté depuis le dossier Downloads de Chrome. Ce script effectue une reconnaissance hôte (net session, énumération temp/dir), teste la connectivité C2 via Test-NetConnection, puis télécharge silencieusement un MSI ScreenConnect depuis une infrastructure attaquante via curl. ...

🔍 Contexte Publié le 13 août 2026 par l’équipe FIRE (Fortra Intelligence and Research Experts), cet article analyse l’activité du groupe d’extorsion ExfilSquad, apparu le 26 juillet 2026 sur le dark web avec des revendications de compromission de 15 organisations. 🎯 Activité du groupe ExfilSquad est un groupe d’extorsion de données émergent qui a publié un site de fuite sur Tor le 26 juillet 2026. Après un scepticisme initial dû à l’absence de preuves, le groupe a publié des échantillons de données les 28 juillet et 7 août 2026. Au total, 382,64 Go de données non compressées représentant 27 millions d’enregistrements ont été divulgués via des torrents pour 13 des 15 victimes revendiquées. ...

🎣 Contexte Source : BleepingComputer, publié le 5 août 2026. Proofpoint a découvert une campagne de phishing exploitant la récente divulgation d’une vulnérabilité affectant les portefeuilles matériels COLDCARD, liée à un défaut de génération de nombres aléatoires ayant conduit au vol estimé de 1 367 Bitcoins (~88,6 millions USD) depuis 4 585 adresses. 📧 Vecteur d’attaque Les emails malveillants sont envoyés depuis compliance@coldcardteamnews.com avec l’objet “Hardware audit now available”. Ils prétendent qu’un audit de sécurité coordonné est en cours et demandent la participation des utilisateurs avant le 10 août. Les victimes sont redirigées vers le site coldcardcompliance.com qui imite l’interface officielle de COLDCARD. ...

🔍 Contexte Le 13 juillet 2026, l’équipe CTI de Lexfo publie une analyse approfondie issue de la découverte, fin avril 2026, d’un répertoire ouvert sur le serveur 185.163.204.7 (Budapest, AS56322 ServerAstra Kft.). Un serveur Python HTTP (python3 -m http.server 8080) exposait publiquement l’intégralité d’une plateforme d’attaque active : configurations Evilginx, logs de capture, archives, installeurs RMM, combolists et fichiers de session Telegram. 👤 Acteurs identifiés codemado est un opérateur égyptien actif depuis 2018, identifié via .bash_history, un fichier de session Telegram (SQLite), des commentaires en arabe dans ses scripts, et une présence sur BlackHatWorld/CrackingX. Il opère sous les alias MaDoO, MaDosc, MADO. Il déploie une plateforme AiTM complète sur picis.net (enregistré le 13 mars 2026) avec un arsenal de 7 outils RMM et distribue MaDoO Blaster v4.7.3, un outil de spam/phishing commercial connecté à l’écosystème cybercriminel The Quarry de RockyBelling. ...

🔍 Contexte Publié le 17 juin 2026 par l’Acronis Threat Research Unit (TRU), ce rapport constitue une analyse technique et stratégique approfondie du groupe INC Ransomware, opération RaaS découverte mi-2023 et désormais classée parmi les cinq groupes ransomware les plus actifs mondialement en 2026. 📈 Évolution et historique INC Ransomware a émergé en 2023 comme une opération semi-privée basée sur un modèle d’affiliation. Le groupe a rapidement développé des variantes Windows et Linux/ESXi, ciblant notamment les hyperviseurs VMware. En 2024, le code source (Windows + Linux/ESXi) a été mis en vente sur des forums underground par un utilisateur nommé “salfetka” (lié aux alias “rinc” et “farnetwork”, associé aux opérations Nokoyawa, JSWORM, Nefilim, Karma et Nemty) pour 300 000 USD (limité à trois acheteurs). Cette vente a conduit à l’émergence des familles Lynx et Sinobi avec un chevauchement de code significatif. ...