TTP

🔍 Contexte Publié le 18 juin 2026 par Group-IB, cet article présente les résultats d’une investigation sur une campagne de phishing baptisée GitBait, ciblant au moins 12 institutions financières opérant au Mexique, active depuis environ trois ans. 🎯 Description de la campagne La campagne repose sur une architecture entièrement serverless combinant : GitHub Pages comme plateforme d’hébergement des pages de phishing L’API SheetBest pour l’exfiltration des credentials vers des Google Sheets contrôlées par les attaquants Un bot Telegram comme méthode d’exfiltration alternative pour certaines cibles Les pages de phishing imitent visuellement les portails de banque en ligne légitimes et collectent : noms d’utilisateur, identifiants clients, mots de passe et données de cartes de paiement via un flux multi-étapes. ...

🏥 Contexte Source : Reuters, publié le 15 juin 2026. iRhythm Holdings, entreprise spécialisée dans les technologies médicales, a divulgué un incident de cybersécurité ayant affecté des données hébergées sur des applications tierces. 🔍 Déroulement de l’incident 8 juin 2026 : Détection d’une activité non autorisée sur certaines applications métier hébergées par des tiers 9 juin 2026 : Réception d’une demande de paiement d’un acteur malveillant revendiquant l’obtention de données propriétaires, d’informations de santé protégées (PHI) et d’autres données personnelles 10 juin 2026 : L’incident est qualifié de matériel en raison du volume de données potentiellement affectées 💥 Nature de l’attaque L’accès aux données a été obtenu via ingénierie sociale ciblant des applications métier hébergées par des tiers. L’incident n’a pas impliqué les systèmes cliniques, les dispositifs médicaux, ni les connexions clients. ...

🗓️ Contexte Déclaration publiée le 17 juin 2026 par The Record Media, basée sur le discours annuel de sécurité de Richard Horne, directeur général du National Cyber Security Centre (NCSC) britannique, prononcé au Royal United Services Institute (RUSI). 📊 Chiffres clés révélés Plus de 200 incidents affectant les infrastructures critiques et leur écosystème traités sur l’année écoulée jusqu’en mai ~75% de ces incidents attribués à des acteurs étatiques hostiles Précédemment annoncé : 4 incidents nationalement significatifs par semaine, majoritairement d’origine étatique 🎯 Nature des menaces identifiées Les adversaires pratiquent le prépositionnement au sein des infrastructures critiques britanniques Objectif : établir des points d’ancrage dans les technologies sous-jacentes pour permettre une exploitation rapide en temps de conflit Volt Typhoon, la campagne liée à l’État chinois exposée contre les infrastructures américaines, est citée comme exemple le plus clair de cette tactique L’IA est jugée « très probablement » utilisée d’ici 2028 pour exploiter des vulnérabilités connues dans les technologies vieillissantes des infrastructures critiques 🔄 Changement de paradigme doctrinal Horne abandonne le vocabulaire de gestion des risques au profit de celui du « contest » (affrontement) Alignement avec la déclaration de l’OTAN (2022) qualifiant le cyberespace de domaine « contesté en permanence » Référence aux positions de l’US Cyber Command sur les effets stratégiquement conséquents des attaques sous le seuil de la guerre 🏛️ Contexte législatif et politique Passage en cours du Cyber Security and Resilience Bill au Parlement britannique Publication prévue d’un nouveau National Cyber Action Plan début juillet 2026 📌 Type d’article Article de presse spécialisée rapportant une déclaration officielle de haut niveau. But principal : relayer les avertissements du NCSC sur la nature étatique et conflictuelle des cybermenaces pesant sur les infrastructures critiques britanniques. ...

🔍 Contexte : Le 16 juin 2026, Cato CTRL (Vitaly Simonovich) publie une analyse post-incident détaillée de l’opération « Poisson », couvrant la période du 30 mars au 1er mai 2026. L’analyse repose sur l’historique complet des commandes et la télémétrie capturée en temps réel. 🎯 Cibles : Une petite entreprise française du secteur automobile et quatre individus français. Les victimes sont localisées en Alsace (département 68) et en Val-d’Oise (département 95). ...

📅 Contexte : Le 15 juin 2026, le média spécialisé GBHackers rapporte une revendication d’intrusion visant Nintendo, détectée via des canaux de surveillance underground et relayée par la plateforme de threat intelligence Hackmanac. 🎯 Revendication : L’acteur malveillant se faisant appeler SHADOWBYT3$ affirme avoir compromis des systèmes internes de Nintendo et procédé à une exfiltration de données sensibles. La revendication a été publiée le 13 juin 2026. ⚠️ Statut de vérification : Au moment de la publication de l’article, l’incident est non vérifié. Aucune confirmation officielle de Nintendo n’est mentionnée. ...

📰 Contexte Source : Have I Been Pwned (haveibeenpwned.com), publié le 18 juin 2026. L’incident concerne CFGI, un cabinet de conseil et d’advisory financier, victime d’une campagne d’extorsion en mars 2026. 🎯 Nature de l’attaque Le groupe cybercriminel ShinyHunters a conduit une campagne de type « pay-or-leak » (payer ou voir les données publiées) ciblant CFGI. Face au refus ou à l’absence de paiement, le groupe a rendu publiques les données prétendument exfiltrées. ...

🔍 Contexte Publié le 18 juin 2026 par Calif.io, cet article présente la découverte de Squidbleed (CVE-2026-47729), une vulnérabilité de type heap buffer overread dans Squid Proxy, présente depuis un commit daté du 18 janvier 1997. La découverte a été réalisée à l’aide du modèle d’IA Claude Mythos Preview (Anthropic), dans le cadre d’une collaboration entre Calif.io et Anthropic. 🐛 Nature de la vulnérabilité La faille réside dans le parseur de listing FTP de Squid (Ftp::Gateway::htmlifyListEntry), plus précisément dans la gestion du pointeur copyFrom après le timestamp de modification d’un fichier. ...

📰 Source : SecurityWeek — Date : 17 juin 2026 Microsoft a publié un avis de sécurité reconnaissant l’existence de CVE-2026-50656 (score CVSS 7.8), une vulnérabilité d’élévation de privilèges dans le Microsoft Malware Protection Engine de Microsoft Defender, publiquement désignée sous le nom RoguePlanet. 🔍 Détails techniques La vulnérabilité exploite une race condition dans Microsoft Defender et permet à un attaquant d’obtenir des privilèges SYSTEM. Un proof-of-concept (PoC) a été publié par le chercheur Nightmare Eclipse (alias Chaotic Eclipse), démontrant une élévation de privilèges locale (LPE) sur Windows 10 et Windows 11 avec les correctifs de juin 2026 installés. ...

🏢 Contexte Source : HaveIBeenPwned (haveibeenpwned.com/Breach/Berkadia), publié le 15 juin 2026. Berkadia est une société américaine spécialisée dans le financement de l’immobilier commercial. 🎯 Incident En mars 2026, le groupe cybercriminel ShinyHunters a ciblé Berkadia dans le cadre d’une campagne d’extorsion de type “pay or leak” (payer ou voir les données publiées). Face au refus ou à l’absence de paiement, le groupe a procédé à la publication des données volées. ...

🔍 Contexte Le 12 juin 2026, Horizon3.ai publie une divulgation technique concernant CVE-2026-48558, une vulnérabilité de contournement d’authentification affectant l’application de supervision et d’accès à distance SimpleHelp. La découverte a été réalisée par un pipeline de recherche autonome en vulnérabilités basé sur l’IA générative, baptisé “Sua Sponte”, développé en interne par Horizon3.ai. 🐛 Vulnérabilité La faille réside dans la manière dont SimpleHelp valide les assertions de l’Identity Provider (IdP) lors d’une authentification OpenID Connect (OIDC) (générique ou Azure AD). Dans les configurations vulnérables, un attaquant non authentifié peut créer et s’authentifier en tant que nouveau compte Technicien, contournant ainsi le MFA (l’attaquant peut auto-enregistrer sa propre méthode MFA lors de la première connexion). ...