TTP

📰 Contexte Source : SOCRadar, publié le 2 juillet 2026. La CISA a officiellement ajouté CVE-2026-45659 à son catalogue Known Exploited Vulnerabilities (KEV) le 1er juillet 2026, avec une date limite de remédiation fixée au 4 juillet 2026. 🔍 Description de la vulnérabilité CVE-2026-45659 (CVSS 8.8) affecte Microsoft SharePoint Server on-premises (non SharePoint Online). Elle est causée par une désérialisation de données non fiables (CWE-502), permettant l’exécution de code arbitraire à distance (RCE). ...

📰 Source : SecurityWeek — Date de publication : 30 juin 2026 La CISA (agence américaine de cybersécurité) a signalé l’exploitation active de la vulnérabilité BlueHammer, identifiée sous la référence CVE-2026-33825, dans le cadre d’attaques ransomware. Cette faille affecte Microsoft Defender. 🔍 Contexte de divulgation BlueHammer fait partie d’une série d’exploits rendus publics par un chercheur mécontent opérant sous les pseudonymes Chaotic Eclipse et Nightmare Eclipse. Ce chercheur a choisi de divulguer publiquement plusieurs vulnérabilités avant que Microsoft n’ait pu publier des correctifs, en réaction à ce qu’il perçoit comme une mauvaise gestion des rapports de vulnérabilités par l’éditeur. ...

📰 Source : BleepingComputer, publié le 1er juillet 2026. Cet article rapporte les conclusions de l’unité de recherche SOCRadar (STRU) sur la campagne FortiBleed, une opération massive de vol de credentials ciblant les équipements Fortinet FortiGate. 🎯 Contexte de la campagne Un serveur exposé sur internet contenait des credentials volés sur plus de 73 000 appareils Fortinet, incluant des fichiers de configuration FortiGate, des credentials récoltés et une infrastructure de crackage de hashes et de credential stuffing. La campagne a été baptisée FortiBleed. ...

🔍 Contexte Publié le 1er juillet 2026 par l’équipe Sysdig Threat Research Team (TRT), cet article présente la première documentation publique d’un ransomware agentique piloté de bout en bout par un grand modèle de langage (LLM), désigné sous le nom JADEPUFFER. 🎯 Vecteur d’accès initial JADEPUFFER a exploité CVE-2025-3248, une faille d’authentification manquante dans l’endpoint de validation de code de Langflow (framework open-source de construction d’agents LLM), permettant l’exécution arbitraire de Python sans authentification. Tous les payloads étaient délivrés en Python encodé en Base64 via cet endpoint RCE. ...

🏢 Contexte Kubota USA a publié le 3 juillet 2026 sur son site officiel un avis d’incident de sécurité concernant un accès non autorisé à certains systèmes réseau survenu entre le 16 mars 2026 et le 20 avril 2026. 🔍 Déroulement de l’incident Détection initiale : Kubota identifie l’accès non autorisé et sécurise son réseau dès la découverte de l’incident. 30 avril 2026 : Kubota découvre que des fichiers gérés par l’équipe des ressources humaines ont été accédés durant l’incident. 16 juin 2026 : Après revue approfondie, Kubota confirme qu’un ou plusieurs fichiers contenaient des informations personnelles d’employés et de leurs ayants droit. 📋 Données potentiellement compromises Pour les employés : ...

📰 Source : BleepingComputer — Date de publication : 1er juillet 2026 🏭 Contexte : Kubota North America Corporation, division américaine du fabricant industriel japonais Kubota (équipements agricoles et de construction, 52 000 employés, 20 milliards de dollars de chiffre d’affaires annuel), a divulgué un incident de sécurité ayant affecté ses systèmes réseau. 🕵️ Déroulement de l’incident : Un acteur malveillant non identifié a eu accès à certains systèmes réseau de l’entreprise du 16 mars au 20 avril, soit une durée de plus d’un mois. L’investigation a permis de déterminer que des fichiers contenant des informations personnelles d’employés et de leurs ayants droit ont été consultés. ...

🏛️ Contexte Source : KrebsOnSecurity, publié le 2 juillet 2026. Le FBI, en coordination avec l’IRS Criminal Investigation et plusieurs partenaires industriels (Google, Lumen, Shadowserver), a procédé à la saisie de centaines de domaines associés à NetNut, un service de proxy résidentiel opéré par la société israélienne cotée en bourse Alarum Technologies (NASDAQ: ALAR). 🎯 Nature de la menace NetNut est identifié comme l’infrastructure commerciale reposant sur le botnet Popa, un réseau d’au moins deux millions d’appareils compromis (smart TVs, boîtiers de streaming Android) transformés en nœuds de proxy résidentiels permanents sans consentement des victimes. Ces nœuds sont loués à des tiers pour : ...

🏥 Contexte Source : BleepingComputer, publié le 2 juillet 2026. Medtronic, fabricant mondial de dispositifs médicaux opérant dans 150 pays avec un chiffre d’affaires annuel de 33,5 milliards de dollars et 95 000 employés, a notifié ses clients d’une violation de données ayant exposé leurs informations personnelles à un tiers non autorisé. 📅 Chronologie de l’incident 13 avril 2026 : début de l’accès non autorisé aux systèmes IT de Medtronic 15 avril 2026 : Medtronic détecte une activité inhabituelle sur ses systèmes 18 avril 2026 : ShinyHunters publie Medtronic sur son portail d’extorsion dark web avec une menace de divulgation 19 avril 2026 : fin de la période d’accès non autorisé confirmée par l’enquête 21 avril 2026 : date limite fixée par ShinyHunters pour le paiement de la rançon Fin avril 2026 : suppression de l’entrée Medtronic du portail ShinyHunters 🔓 Données exposées Les données potentiellement compromises incluent : ...

🛡️ Contexte Publié le 2 juillet 2026 sur le blog officiel de sécurité d’Opera (blogs.opera.com), cet article annonce le lancement de Paste Protect, une fonctionnalité de sécurité native intégrée directement dans le navigateur Opera, présentée comme une première dans l’industrie des navigateurs majeurs. 🎯 Menace ciblée : ClickFix ClickFix est une technique d’ingénierie sociale en forte croissance qui consiste à tromper l’utilisateur pour qu’il exécute lui-même des commandes malveillantes via son terminal. Le vecteur d’attaque repose sur le détournement du presse-papiers : ...

🔍 Contexte En mai 2026, FortiGuard Labs a identifié une campagne active du trojan bancaire Ousaban ciblant spécifiquement les utilisateurs en Espagne et au Portugal. L’article, publié le 1er juillet 2026, constitue une analyse technique approfondie de cette campagne géolocalisée. 🎯 Vecteur d’infection et chaîne d’attaque La chaîne d’attaque se déroule en plusieurs étapes : PDF de phishing : déguisé en fichier corrompu, il incite la victime à cliquer sur un bouton « Atualizar » (Mettre à jour) via un message trompeur. Un code JavaScript hex-escapé redirige également vers la même page malveillante. Page web malveillante : se fait passer pour une source légitime de documents fiscaux. Elle effectue des vérifications d’environnement côté serveur (langue, fuseau horaire, IP, résolution d’écran, rendu navigateur, énumération de polices) pour restreindre l’accès aux seuls utilisateurs en Espagne et au Portugal. Les IP liées à des VPN sont bloquées. Fichier VBS : téléchargé si l’environnement passe la vérification. Il contient de nombreux appels de fonctions bénins pour masquer le code malveillant, puis télécharge une image stéganographique (ressemblant à une icône PDF) contenant un fichier ZIP avec le payload Ousaban. Payload EXE : déposé dans C:\SysMain_5874288 et exécuté. Les fichiers ZIP, image et VBS sont supprimés après exécution. 🦠 Comportement d’Ousaban Persistance : création d’une valeur de registre nommée Financeiro dans CurrentVersion\Run Marqueur d’installation : création d’un fichier vide maisum.dat Ciblage bancaire : déchiffrement de chaînes liées à des services bancaires pour surveiller l’accès aux banques cibles Algorithme de chiffrement custom : partagé avec d’autres trojans bancaires latino-américains comme Casbaneiro, basé sur XOR avec offset aléatoire Résolution C2 dynamique : utilisation de DDNS avec sous-domaines changeant quotidiennement (préfixe aki + 8 premiers caractères d’un hash MD5 basé sur la date et une chaîne hardcodée). La date est obtenue en accédant à la page Google Automated Queries. Leurre Pastebin : un lien Pastebin contenant une IP privée est déchiffré mais sert de leurre ; la vraie résolution C2 passe par les domaines DDNS. Commandes C2 : #Convite# (collecte d’infos), #Handle# (ID victime), #ON-LINE# (heartbeat), #xyScree# (résolution écran), #Iniciar# (capture d’écran, contrôle à distance, keylogger, injection clipboard) 📅 Variantes fin 2025 Des variantes de fin 2025 utilisaient : ...