TTP

🔍 Contexte Analyse technique publiée le 27 juin 2026 par Robin Dost sur le blog Synaptic Security, documentant l’évolution du tooling de l’acteur UAC-0184 (également tracké sous MB-0005). L’article fait suite à une précédente analyse de la même campagne et couvre un nouveau sample avec une chaîne d’infection remaniée. 📦 Vecteur initial L’archive initiale spisokszch.zip (SHA-256 : c74bb6fb848cdb87c2b4261da1efc078023cdf95aa7b1436c52c26f3a11025af) contient : Quatre fichiers LNK déguisés en images JPG et un fichier Excel Un fichier README.txt rédigé en ukrainien demandant à la victime d’extraire les fichiers sur le bureau avant de les ouvrir Le contenu leurre est un tableau militaire ukrainien de cas d’AWOL/désertion (39 soldats avec noms, grades, dates d’absence, numéros de dossiers), ciblant explicitement une audience militaro-administrative ukrainienne. ...

📰 Source : Cyber Press — Date : 26 juin 2026 🎯 Contexte Le groupe de menace UAC-0226 a mis à jour ses tactiques pour cibler des entités ukrainiennes, notamment dans le domaine militaire, en déployant le stealer GIFTEDCROOK via une nouvelle chaîne d’infection exploitant une faille dans WinRAR. 🔓 Vecteur d’infection Les attaquants exploitent une vulnérabilité de path traversal via Alternate Data Streams (ADS) dans WinRAR. Lors de la simple extraction d’une archive, le payload est déposé automatiquement sans interaction supplémentaire de la victime. Un leurre PDF thématisé autour des drones de reconnaissance à fibre optique ukrainiens est utilisé pour cibler un public militaire. ...

🏛️ Contexte En mars 2026, le service français VIGINUM (rattaché au SGDSN) a publié un rapport détaillant le mode opératoire informationnel (MOI) Rokh Solis, détecté à partir de février 2026. Cette campagne visait à influencer les élections municipales françaises des 15 et 22 mars 2026 en ciblant le parti La France Insoumise (LFI) et plusieurs de ses candidats. 🎯 Objectifs et narratifs Le MOI Rokh Solis s’articule autour de deux stratégies narratives distinctes : ...

🎯 Contexte Publié le 24 juin 2026 par la Darkatlas Squad sur darkatlas.io, cet article présente une analyse technique complète de LoaderClient, le payload de stage-1 de la campagne WeedHack, un service de Malware-as-a-Service (MaaS) ciblant les joueurs Minecraft depuis janvier 2026. 🧩 Origine et évolution de la campagne WeedHack est issu d’un stealer privé appelé Majanito (fin 2025), développé par un acteur utilisant le même pseudonyme. En début 2026, la base de code a été reprise et rebrandée en WeedHack, transformée en plateforme MaaS accessible sur le clearnet. Le namespace dev.majanito est préservé dans le code compilé du stage-2, confirmant la filiation. La campagne a enregistré plus de 116 000 compromissions uniques avec un rythme de 2 000 à 3 000 nouvelles infections par jour. ...

🗓️ Contexte Source : CybersecurityNews — publié le 22 juin 2026. Cet article rapporte une attaque de type supply chain ciblant la plateforme de market intelligence Klue, ayant conduit à l’exfiltration de données CRM Salesforce chez au moins neuf organisations clientes. 🔓 Vecteur d’accès initial L’attaque a débuté les 11 et 12 juin 2026 via l’utilisation d’un credential legacy compromis associé à un compte de service d’intégration. Les attaquants ont ensuite poussé une mise à jour de code malveillante afin de collecter des tokens OAuth, permettant l’accès aux plateformes tierces connectées à Klue. ...

🔍 Contexte Source : Hackread.com, publié le 23 juin 2026. LastPass a confirmé avoir été affecté par un incident de supply chain impliquant Klue, une plateforme de market intelligence utilisée par ses équipes go-to-market. 🎯 Nature de l’attaque Un acteur malveillant non autorisé a exploité des tokens OAuth volés depuis la plateforme Klue pour accéder à l’environnement Salesforce de LastPass. Le groupe responsable, nommé Icarus, est décrit comme un nouveau groupe d’extorsion. Il a : ...

🔍 Contexte Rapport publié le 24 juin 2026 par la Threat Hunter Team de Symantec (Broadcom). L’article documente un nouveau backdoor baptisé Backdoor.Mistic, actif depuis avril 2026, et son association probable avec l’initial access broker (IAB) suivi sous les noms Woodgnat (Symantec) et KongTuke (public). Le backdoor a également été documenté par Zscaler sous le nom MLTBackdoor. 🎯 Ciblage Le ciblage est opportuniste, couvrant plusieurs secteurs : Assurance Éducation IT Services professionnels D’autres activités liées à ModeloRAT et Node.js ont été observées dès février 2026 dans d’autres organisations, sans déploiement de Mistic. ...

🔍 Contexte Publié le 23 juin 2026 par SicuraNext (blog.sicuranext.com), cet article présente une recherche read-only menée le 11 juin 2026 sur une campagne active exploitant CVE-2026-26980, une injection SQL dans l’API publique Content de Ghost CMS (versions 3.24.0 à 6.19.0, corrigée en 6.19.1 en février 2026). ⚙️ Mécanisme d’attaque L’exploitation se déroule en deux étapes : Lecture via Content API (sans authentification) pour extraire la clé Admin API stockée en base de données Écriture via Admin API avec la clé volée pour injecter un loader JavaScript malveillant dans les corps de posts Le loader injecté (ghost_once_footer_<id>) utilise une porte localStorage (exécution unique par navigateur), encode l’origine victime via btoa(location.origin), et charge un second stage depuis un C2 via une URL base64 encodée. La chaîne mène à une page FakeCAPTCHA/ClickFix incitant les visiteurs à exécuter des commandes ou installer un malware. ...

⚠️ Mise à jour du 27 juillet 2026 Hunt.io a révisé son rapport source à deux reprises après la publication de ce billet : 27 juin 2026 — note éditoriale des auteurs reconnaissant que la publication initiale assimilait par endroits la simple présence de certains logiciels à un impact malveillant. Le terme « C2 » y est remplacé par threat activity enabling (« infrastructure facilitant l’activité malveillante ») et « malicious » par potentially malicious dans l’ensemble du rapport. 10 juillet 2026 — après revue des données avec Friendhosting LTD, Hunt.io précise que les cas soulevant une préoccupation crédible relèvent d’infrastructure de distribution de trafic, et non d’infrastructure identifiée comme hébergeant du C2. Keitaro est un TDS (traffic distribution system) commercial : sa présence sur un réseau indique que le logiciel y est déployé, pas que le réseau opère du C2. Dans la version courante du rapport, Friendhosting LTD n’est plus mentionné que dans les points clés, sous la forme suivante : le fournisseur héberge de nombreuses instances Keitaro susceptibles d’être détournées, et travaille sur les données pour analyser les abus potentiels. ...

📅 Source et contexte : Rapport de threat intelligence publié le 25 juin 2026 par DomainTools Intelligence (DTI), couvrant les opérations cyber étatiques et para-étatiques ciblant les systèmes d’eau et d’assainissement entre 2024 et 2026. 🎯 Contexte stratégique : Les systèmes d’eau et d’assainissement sont devenus des cibles privilégiées de la guerre hybride en raison de leur sous-investissement chronique en cybersécurité OT, de l’exposition internet de leurs PLCs et HMIs, et de leur valeur psychologique et politique disproportionnée. Les trois acteurs étatiques majeurs (Iran, Russie, Chine) convergent vers la même doctrine : utiliser ces infrastructures civiles comme leviers de pression sans franchir le seuil du conflit ouvert. ...