TTP

🏛️ Contexte Le 22 juillet 2026, la CISA, le FBI, la NSA, l’EPA, le DOE, le CNMF et le Département du Trésor ont publié une mise à jour de l’advisory AA26-097A (initialement publié le 7 avril 2026) concernant l’exploitation active de PLCs (automates programmables industriels) exposés sur internet par des acteurs APT affiliés à l’Iran. 🎯 Acteurs et ciblage Les agences attribuent cette activité à un groupe APT affilié à l’Iran, lié à l’IRGC Cyber Electronic Command (CEC). Ce groupe est rapproché des CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, Bauxite, UNC5691, etc.), déjà responsables d’attaques similaires en novembre 2023 contre des PLCs Unitronics. ...

📰 Source : The Record Media — Date : 22 juillet 2026 — Contexte : Mise à jour d’une advisory fédérale américaine initialement publiée en avril 2026 par la CISA, le FBI et l’EPA concernant des attaques sur des systèmes OT exposés sur Internet. 🎯 Élargissement du périmètre ciblé L’advisory initiale portait sur les automates programmables (PLC) des fabricants Rockwell Automation et Allen-Bradley. La révision du 22 juillet 2026 étend la portée aux équipements de Schneider Electric, Siemens, et potentiellement d’autres fabricants de PLC. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🔍 Contexte L’Acronis Threat Research Unit (TRU) a publié le 21 juillet 2026 une analyse technique détaillée d’une campagne active du malware Lampion, ciblant principalement les utilisateurs portugais. Lampion est une famille de malware bancaire brésilien, dérivée de la lignée ChePro, documentée pour la première fois en décembre 2019. 🎣 Vecteur initial : phishing financier Les attaquants diffusent des emails de phishing se faisant passer pour des communications financières ou administratives légitimes. Les leurres incluent de faux reçus de paiement (« comprovativo ») et abusent de la marque SAPO, portail internet portugais opéré par Altice Portugal. Les pièces jointes sont des archives ZIP contenant des fichiers HTML fortement obfusqués (~1,3 Mo), artificiellement gonflés pour contourner la détection statique. ...

🎯 Contexte Source : Ransom-ISAC, publié le 22 juillet 2026. À partir du 20 juillet 2026, Ransom-ISAC a commencé à observer une campagne d’extorsion de données attribuée à des affiliés du groupe Cl0p ransomware (alias Graceful Spider, Chubby Scorpius, FIN11, Lace Tempest), ciblant des déploiements exposés sur Internet de PTC Windchill et FlexPLM. 🔗 Chaîne d’exploitation La campagne repose sur un enchaînement de deux vulnérabilités : Divulgation d’informations WSDL FlexPLM (pré-authentification) Faille du servlet de connexion Windchill permettant une exécution de code à distance (RCE) non authentifiée Cette chaîne aboutit au déploiement de webshells JSP sur les systèmes compromis et à l’exfiltration de données. ...

📰 Source : BleepingComputer, publié le 22 juillet 2026 Contexte La Corée du Sud a divulgué publiquement une violation de données affectant l’Académie diplomatique nationale (National Diplomatic Academy). La plateforme d’éducation en ligne ciblée avait été mise en place en 2022 pour soutenir la formation à distance durant la pandémie de COVID-19, et est depuis utilisée pour la formation du personnel gouvernemental et la vidéoconférence. Déroulement de l’incident 🗓️ Début de la compromission : avril 2025, via l’exploitation d’une vulnérabilité sur le serveur de l’Académie 🗓️ Durée de l’accès non détecté : 10 mois (avril 2025 – février 2026) 🔍 Découverte : février 2026, par le National Intelligence Service (NIS) de Corée du Sud, qui a alerté le ministère 📢 Divulgation publique : 22 juillet 2026, soit 5 mois après la découverte Données exposées Les informations suivantes ont été compromises pour les employés actuels et anciens du ministère des Affaires étrangères (MFA) : ...

🔍 Contexte Article publié le 20 juillet 2026 sur LinkedIn par David Konitzny, chercheur GEO chez Peec AI. L’auteur documente une découverte réalisée lors de sessions de test personnelles portant sur le mécanisme de partage de conversations de la plateforme d’IA DeepSeek. 📌 Découverte principale Le chercheur a constaté que les liens de conversations partagées de DeepSeek (situés dans le répertoire /share/) sont indexés par Google. En utilisant l’opérateur site: dans Google, il a pu accéder à un nombre considérable d’URLs correspondant à des conversations partagées publiquement, sans que les utilisateurs en soient nécessairement conscients. ...

📰 Cet article est une newsletter d’analyse publiée le 16 juillet 2026 par Risky Business (Tom Uren), couvrant l’évolution des tactiques ransomware intégrant l’intelligence artificielle dans les opérations d’extorsion. 🎯 FulcrumSec : l’IA au service de la négociation FulcrumSec est un groupe d’extorsion de données actif depuis septembre 2025. Il utilise des techniques d’accès initiales simples : Exploitation de credentials hardcodés ou exposés Applications non patchées Stockage mal configuré Le groupe revendique la compromission de 25 organisations et le vol de plusieurs téraoctets de données. Sa particularité est d’utiliser l’IA non pas pour hacker, mais pour analyser les données volées afin d’établir une position de négociation solide et justifier ses demandes de rançon. ...

🏢 Contexte Cette information provient d’un dépôt 8-K auprès de la SEC (Securities and Exchange Commission), publié le 23 juillet 2026 par Five Below, Inc., détaillant un incident de cybersécurité survenu mi-juillet 2026. 🔍 Déroulement de l’incident 14 juillet 2026 : Un acteur malveillant utilise des techniques d’ingénierie sociale pour obtenir un accès non autorisé à l’ordinateur d’entreprise d’un employé. 15 juillet 2026 : Five Below détecte une activité anormale sur ce poste et active son plan de réponse aux incidents de cybersécurité. Une investigation forensique est lancée avec l’assistance d’experts tiers en cybersécurité. Des mesures de confinement immédiates sont mises en œuvre. 📂 Impact constaté Exfiltration de fichiers depuis l’ordinateur de l’employé affecté. L’incident est décrit comme limité à l’environnement de l’employé concerné. Aucune donnée personnelle identifiable (PII) n’a été accédée ou exfiltrée. Les autres systèmes, plateformes, données et environnements de l’entreprise n’ont pas été affectés. 📊 Évaluation de l’impact Selon Five Below, l’incident n’a pas eu d’impact matériel sur la stratégie commerciale, les opérations, la situation financière ou les résultats d’exploitation de la société. ...

🔍 Contexte Le 21 juillet 2026, PRODAFT publie un rapport technique approfondi sur Funky Mantis, également suivi publiquement sous le nom DevMan, une opération de ransomware-as-a-service (RaaS) centralisée observée entre novembre 2025 et janvier 2026. 🏗️ Structure opérationnelle Funky Mantis fonctionne selon un modèle RaaS centralisé combinant : Gestion des affiliés via un portail web dédié (deux générations : décembre 2025 et v3 janvier 2026) Distribution d’accès réseau par pays Génération de payloads personnalisés (Windows, ESXi, Linux annoncés) Négociation des rançons et suivi des revenus Communications internes via Rocket.Chat (version 7.6) Le portail v3 (janvier 2026) a ajouté la gestion du cycle de vie des victimes, le suivi des délais, la création d’équipes et les codes d’invitation. ...