TTP

🔍 Contexte Publié le 26 octobre 2026 par Arctic Wolf Labs (Shubham Dubey), ce rapport documente une campagne récurrente d’ingénierie sociale exploitant la fonctionnalité de chat externe Microsoft Teams (federation/external access), activée par défaut dans Microsoft 365. L’analyse porte sur plus de 400 incidents observés dans des environnements clients. 🎯 Mécanisme d’attaque Les attaquants créent des tenants Microsoft 365 jetables (30 à 40 % utilisent des domaines *.onmicrosoft.com gratuits) ou des domaines payants (environ 50 % en .top) pour établir une identité Teams externe. La chaîne d’attaque typique est : ...

🔍 Contexte Publié par Aikido Security le 26 octobre 2026, cet article détaille la vulnérabilité CVE-2026-111497, surnommée Node2Shell puis HTTP2Shell, découverte dans le décodeur Brotli de Google. La faille a été initialement divulguée par Node.js le 21 octobre 2026, avant de s’étendre à de nombreux autres écosystèmes. 🐛 Nature de la vulnérabilité CVE-2026-111497 est une écriture hors limites (CWE-787) combinée à un retour de valeur non vérifié (CWE-252) dans la fonction DecodeBlockTypeAndLength() du décodeur Brotli. Elle affecte les versions 1.0.3 à 1.2.0 sur toutes les plateformes. ...

📅 Source : OpenSourceMalware.com, publié le 24 octobre 2026. Cet article de recherche documente l’étendue de la vulnérabilité CVE-2026-111497, surnommée « Brotlipocalypse », découverte dans le décodeur de l’algorithme de compression Google Brotli. 🔍 Nature de la vulnérabilité CVE-2026-111497 est un buffer overflow (écriture hors limites) dans le fichier c/dec/decode.c du décodeur Brotli, affectant les versions 1.0.3 à 1.2.0. Lorsqu’un flux demande un changement de type de bloc non autorisé, le décodeur répond « besoin de plus d’entrée » au lieu de signaler une erreur, ce qui provoque des écritures au-delà d’un buffer interne de 8 octets. La vulnérabilité est associée aux CWEs CWE-252 (Unchecked Return Value) et CWE-787 (Out-of-bounds Write), avec un score de sévérité 9.4 sur CVE v4. Elle a été divulguée par OpenAI Codex Security. Le commit de correction (0ed4268a) a été publié sur google/brotli le 27 février 2026, sans advisory, et est resté public pendant 8 mois avant d’être identifié comme correctif de sécurité. ...

🔍 Contexte Publié le 23 octobre 2026 sur BleepingComputer, cet article rapporte la découverte et la remédiation d’une vulnérabilité critique de type RCE (Remote Code Execution) affectant l’application Time4Popcorn, un fork abandonné du client BitTorrent Popcorn Time, par les chercheurs d’Eye Security. 🐛 Vulnérabilité La faille, référencée CVE-2026-30612, réside dans le mécanisme de mise à jour automatique de l’application : Le client contactait le domaine abandonné popcorntimeupd.xyz via HTTP non chiffré Les exécutables téléchargés n’étaient pas vérifiés par signature numérique Tout acteur contrôlant ce domaine pouvait pousser du code arbitraire exécuté en tant que SYSTEM sur Windows et root sur macOS Les plateformes affectées : Windows et macOS (Android partiellement exposé) 📊 Exposition Eye Security a enregistré le domaine abandonné et observé : ...

📰 Article publié le 23 octobre 2026 sur secjuice.com. Il s’agit d’une analyse technique approfondie d’un échantillon du ransomware DoNex, conduite via le framework REA (Reverse Engineer Anything) orchestré par le client MCP Google Antigravity et le modèle Gemini 3.8 Flash High, avec Ghidra comme moteur de décompilation. 🔬 Contexte et famille malware DoNex est un ransomware apparu début 2024, évolution des groupes Muse et DarkRace, spécialisé dans la double extorsion. L’échantillon analysé (SHA-256 : 0adde4246aaa9fb3964d1d6cf3c29b1b13074015b250eb8e5591339f92e1e3ca) est un PE32 x86 32 bits non packé, compilé avec MSVC, d’une taille de 229 391 octets. Il présente un overlay de 527 octets contenant la clé publique RSA-4096 et les paramètres de configuration. ...

🔍 Contexte Publié le 19 octobre 2026 sur SecurityAffairs, cet article rapporte la présentation du chercheur Quentin Kaiser à la conférence Hexacon à Paris, documentant une vulnérabilité critique dans l’implémentation propriétaire 802.11 de Broadcom présente dans leur SDK depuis au moins 2010. 🐛 Vulnérabilité La faille affecte le code de réassemblage EAP WPS (Wi-Fi Protected Setup), permettant à un attaquant à portée Wi-Fi de : Exécuter du code arbitraire sans authentification Extraire le mot de passe Wi-Fi (PSK) depuis la mémoire NVRAM du routeur Ouvrir un reverse shell via des trames Wi-Fi uniquement, sans serveur C2 externe Provoquer une divulgation d’informations contrôlée Aucune connaissance de la clé réseau ni complétion du processus WPS n’est requise. Aucune interaction utilisateur n’est nécessaire. ...

📰 Contexte Source : The Hacker News, publié le 22 octobre 2026. GitLab a déployé le 21 octobre 2026 des correctifs pour une vulnérabilité critique affectant l’ensemble de ses installations auto-hébergées (self-managed). 🔴 Vulnérabilité principale : CVE-2026-110264 CVE-2026-110264 est notée CVSS 10.0 (score maximal). Elle résulte d’un débordement d’entier (integer overflow) dans le moteur de compilation d’expressions régulières Onigmo (moteur Ruby intégré aux packages GitLab). Elle permet à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur. ...

🔍 Contexte : Le 22 octobre 2026, Forever Security publie une recherche issue d’une détection en conditions réelles sur la machine d’un client. L’article documente un vecteur d’attaque inédit ciblant les agents IA de codage (OpenAI Codex et Anthropic Claude Code). ⚠️ Mécanisme d’attaque : L’attaque repose sur la combinaison de deux propriétés distinctes : Un site web peut déposer silencieusement un fichier dans ~/Downloads sans clic ni autorisation de l’utilisateur. Les agents IA de codage lisent et exécutent automatiquement les fichiers d’instructions (AGENTS.md, CLAUDE.md) présents dans le dossier où ils sont lancés. En plantant un fichier AGENTS.md malveillant dans ~/Downloads, un attaquant peut ordonner à l’agent de modifier sa propre configuration, d’installer des paquets npm malveillants ou de rediriger son trafic API vers un serveur contrôlé par l’attaquant. ...

📡 Contexte Source : The Record (Recorded Future News), article de Daryna Antoniuk publié le 26 octobre 2026. Le CERT-UA (équipe nationale ukrainienne de réponse aux incidents) a émis une alerte concernant la compromission de caméras de surveillance fabriquées par le groupe chinois Dahua. 🎯 Nature de la menace Des attaquants non identifiés exploitent la fonctionnalité Easy4IP, un service d’accès à distance via le cloud de Dahua, qui connecte les appareils au cloud via leur numéro de série. Ces numéros suivant des schémas prévisibles, les attaquants peuvent en deviner un grand nombre pour identifier des caméras exposées, même protégées par un pare-feu. ...

🏥 Contexte Le 22 octobre 2026, Quest Diagnostics a publié une notice de sécurité sur son site officiel (questdiagnostics.com) concernant un incident de sécurité affectant son système Quanum Lab Services Manager (LSM), une plateforme utilisée par des prestataires de santé pour commander des tests de laboratoire. 🔓 Nature de l’incident L’incident implique un accès non autorisé au système Quanum LSM. En réponse, Quest Diagnostics a temporairement suspendu certains systèmes à titre de précaution. Les systèmes ont été restaurés et sécurisés au 23 octobre 2026 à 19h00 ET. ...