TTP

📰 Source : Eurosport (AFP), publié le 06/08/2026. L’article rapporte une cyberattaque ayant visé le club de rugby français Stade Français Paris, évoluant en Top 14. 🎯 Nature de l’attaque : Le club a confirmé avoir « subi une cyberattaque ayant affecté une partie de son système d’information ». L’attaque est revendiquée par le groupe cybercriminel Qilin, spécialisé dans les attaques par ransomware (rançongiciel), présumé basé en Russie. ⏳ Ultimatum et données exfiltrées : Le groupe Qilin a publié le Stade Français sur son site de cybercriminels depuis le mercredi précédant l’annonce, avec un compte à rebours annonçant la « publication prochaine des données volées ». Des captures d’écran de documents d’identité (cartes d’identité, passeports, titres de séjour) de joueurs ont d’ores et déjà été diffusées. ...

🏛️ Contexte Le 4 août 2026, le Département fédéral de la défense, de la protection de la population et des sports (DDPS) suisse a publié les conclusions de son enquête sur le cyberincident ayant touché RUAG LLC, filiale américaine de RUAG MRO Holding SA, les 9 et 10 octobre 2025. 🎯 Nature de l’incident L’attaque a été menée par le groupe de cybercriminels AKIRA, via un rançongiciel (ransomware). RUAG LLC a décidé de payer la rançon après avoir analysé la conformité de cette décision au droit américain. ...

🔍 Contexte Publié sur GitHub (HotStartLabs/sift), cet article présente Sift Secrets, un outil de triage de credentials et de données sensibles exposées sur des partages de fichiers réseau (SMB/DFS). Il est conçu pour les analystes en réponse à incident (IR) opérant sur des machines isolées. 🛠️ Fonctionnalités principales Scan de partages réseau (SMB, DFS) à la recherche de credentials et secrets exposés Interface de triage interactive avec raccourcis clavier, contexte élargi, et ouverture directe dans VS Code ou Notepad Boucle de feedback : création de règles à la volée depuis l’interface, avec rescan incrémental (~1 seconde) Copie locale rate-limitée (5 MB/s par défaut, résumable) pour préserver l’intégrité du partage source Exportation en PDF, CSV, MD et JSON, avec redaction automatique des valeurs sensibles Import de règles depuis gitleaks (TOML), Kingfisher/Titus (YAML), trufflehog (JSON) Mode portable : archive zip ~11 MB avec runtime Python embarqué, sans installation ni droits admin 🎯 Types de fichiers ciblés (non couverts par les outils CI classiques) web.config avec chaînes de connexion SQL Scripts PowerShell avec net use ... /user: Fichiers Office (.docx, .xlsx) contenant des mots de passe unattend.xml, GPP Groups.xml (artefacts de déploiement Windows) confCons.xml, .rdg, WinSCP.ini (mots de passe réversibles stockés) Fichiers .kdbx, .pfx, id_rsa (détection par nom de fichier) Fichiers .bak contenant des chaînes de connexion 🔐 Sécurité de l’outil lui-même Interface web liée à 127.0.0.1 uniquement Token aléatoire par lancement, cookie SameSite=Strict Validation du header Host (protection contre DNS rebinding) CSP sans origines externes API /api/context et /api/open limitées aux chemins déjà indexés 📊 Système de règles (3 niveaux) Tier 1 : formats de clés vendor, blocs PEM, GPP cpassword, dumps NTLM — non ambigus Tier 2 (défaut) : règles de proximité (mot-clé secret + valeur) Tier 3 : chaînes haute entropie, hex long, IBANs — haute sensibilité, bruit élevé 📝 Type d’article Il s’agit d’une présentation d’outil open-source (nouveaux outils) destinée aux analystes IR et CTI, visant à combler les lacunes des scanners CI (gitleaks, trufflehog) dans le contexte spécifique du triage de partages de fichiers exposés. ...

🔍 Contexte Publié le 10/08/2026 sur GitHub (tadmaddad/Washizukami-Collector), cet article présente Washizukami (鷲掴), un outil open source de collecte d’artefacts forensiques pour Windows, développé en Rust et distribué sous forme de binaire statique unique. ⚙️ Fonctionnalités principales L’outil se distingue par sa capacité à contourner les verrous de fichiers du système d’exploitation en parsant directement la Master File Table (MFT) NTFS, permettant l’acquisition d’artefacts normalement inaccessibles en live : Registres Windows : SAM, SECURITY, SOFTWARE, SYSTEM, Amcache.hve, NTUSER.DAT, UsrClass.dat (avec logs de transaction) Journaux d’événements : Security, System, Application (.evtx) Métadonnées NTFS : $MFT, $SECURE:$SDS, $UsnJrnl:$J (via lecture ADS directe) Artefacts système : Prefetch, LNK récents, WMI Repository, SRUM Database Historiques navigateurs : Chrome, Firefox, IE/Edge 🛡️ Mécanismes d’intégrité Chaque fichier collecté est accompagné d’un hash SHA-256 consigné dans un journal d’audit structuré (collection.log) incluant horodatage, méthode de collecte et statut. ...

🔍 Contexte Publié le 6 octobre 2026 par Reuters, cet article rapporte les conclusions de chercheurs néerlandais présentées lors de la conférence ONE Conference à La Haye. Les chercheurs Soufian El Yadmani (société Modat) et Bouke van Laethem (Centre national néerlandais de cybersécurité) ont mené une analyse de la surface d’attaque des infrastructures énergétiques renouvelables européennes. 📊 Périmètre de l’exposition En utilisant du machine learning pour trier et regrouper les données, les chercheurs ont identifié 8 547 systèmes exposés sur internet répartis dans 35 pays européens : ...

🗾 Contexte Source : The Asahi Shimbun, publié le 6 octobre 2026. Article de presse relatant l’arrestation et l’extradition d’un membre du groupe ransomware Qilin par les autorités japonaises à la demande de l’Allemagne. 👤 Suspect et faits reprochés Les enquêteurs japonais ont détenu en mai 2026 à Osaka un ressortissant russe de 28 ans, identifié comme membre central du groupe Qilin. Il a été remis aux autorités allemandes le 2 octobre 2026 dans le cadre de la loi japonaise sur l’extradition, après une décision de la Tokyo High Court. ...

🎯 Contexte Cet article publié le 7 octobre 2026 par Huntress (blog.huntress.com) documente une campagne de phishing observée à partir du 10 septembre 2026, ciblant plusieurs endpoints via l’abus de la plateforme légitime Microsoft Power BI. 🔗 Chaîne d’attaque L’attaque se déroule en plusieurs étapes : Email de phishing envoyé via Outlook contenant un lien vers un faux document hébergé sur app.powerbi.com (domaine légitime Microsoft). La page Power BI affiche un formulaire flou et invite la victime à cliquer sur “Download Reference”. Un nouvel onglet s’ouvre vers un site contrôlé par l’attaquant (dailylifeproject[.]site/S/ ou variantes), qui effectue un fingerprinting de l’environnement (OS, navigateur, IP, géolocalisation, cookies cloud, indicateurs d’automatisation). Les données collectées sont exfiltrées vers un bot Telegram via une API hardcodée dans le code JavaScript. Après quelques secondes, un script déclenche automatiquement le téléchargement d’un installeur ScreenConnect malveillant depuis hamham27[.]screenconnect[.]com. 🛠️ Persistance et évasion Deux clients ScreenConnect frauduleux sont déployés : le premier (2b302081e9e777d0) connecté à instance-g01s1n-relay[.]screenconnect[.]com, le second (43773b3da4ccb17b) connecté à onthegotree[.]site. Un fichier CMD malveillant (LyN03DvVjUKPrun.cmd) exécute un script PowerShell (SCAutoFix.ps1) depuis le répertoire temp. Une tâche planifiée (SCAutoRepairEvery2Min) relance SCAutoFix.ps1 toutes les deux minutes. L’outil HideUL_x64.exe est exécuté comme outil d’évasion de défense pour masquer l’activité. Le premier client ScreenConnect est désinstallé après déploiement du second, pour réduire la visibilité. 📊 Portée La campagne a touché plusieurs endpoints distincts à partir du 10 septembre 2026. Une chasse rétroactive a révélé que la configuration ScreenConnect associée à l’un des RMM a également impacté 22 autres endpoints dans des incidents séparés. 📄 Nature de l’article Il s’agit d’une analyse technique détaillée publiée par Huntress, accompagnée d’une liste complète d’IOCs, visant à documenter la campagne et fournir des indicateurs exploitables aux équipes de sécurité. ...

🗓️ Contexte Publié le 7 octobre 2026 sur Cryptika (source originale : CyberSecurityNews.com), cet article relaie un rapport des chercheurs Oleg Zaytsev et Ofek Ronen d’Island.io, publié le 6 octobre 2026. Il documente une campagne active de phishing ciblant les gestionnaires de comptes publicitaires en ligne. 🎯 Nature de l’attaque La campagne repose sur l’usurpation d’identité de plateformes IA (ChatGPT, Claude, Gemini, Perplexity, Manus, Muse Ads) pour attirer des victimes vers de faux portails publicitaires. Les leurres incluent : ...

🏥 Contexte Publié le 7 octobre 2026 par le CERT-FR (CERTFR-2026-CTI-007), ce rapport conjoint du CERT Santé et du CERT-FR présente un retour d’expérience fondé sur des cas réels anonymisés, portant sur des vulnérabilités critiques observées dans des solutions numériques déployées au sein des structures de santé françaises. 📊 Données clés du secteur Un sondage de l’Agence du Numérique en Santé révèle : 82% des établissements ont eu connaissance de vulnérabilités sur leur SI dans les 12 derniers mois 74% ont été confrontés à des éditeurs tardant ou refusant de corriger des vulnérabilités 90% n’ont pas de canal formalisé pour remonter les vulnérabilités aux éditeurs Les incidents malveillants traités par le CERT Santé sont passés de 328 en 2024 à 400 en 2025 (+22%) 🔓 Catégories de vulnérabilités identifiées 1. Mauvaise gestion des secrets (≥3 éditeurs majeurs) : ...

🔍 Contexte Publié le 6 octobre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de CVE-2026-21589, une vulnérabilité critique divulguée par Atlassian dans un advisory hors-bande le 5 octobre 2026. La recherche est issue de la plateforme watchTowr, solution de gestion proactive de l’exposition. 🎯 Vulnérabilité CVE-2026-21589 est une vulnérabilité de type Arbitrary File Read (lecture de fichiers arbitraire) sans authentification préalable (pre-auth). Le score CVSS reflète l’absence totale de prérequis d’authentification ou de complexité. ...