TTP

📰 Source : BleepingComputer — Article publié le 7 juillet 2026 par Lawrence Abrams. Contexte Accenture, géant mondial des services professionnels (conseil, technologie, cloud, ingénierie, services managés), a confirmé avoir subi une violation de données après qu’un threat actor connu sous le pseudonyme “888” a mis en vente des données prétendument volées sur un forum cybercriminel. Détails de l’incident Le threat actor affirme avoir exfiltré plus de 35 Go de données en juillet 2026. Les données proposées à la vente comprennent : ...

🏥 Contexte L’article est publié le 6 juillet 2026 par DataBreachToday (ISMG). Il rapporte une divulgation réglementaire d’AdaptHealth, fournisseur américain d’équipements médicaux à domicile basé à Conshohocken, Pennsylvanie, auprès de la SEC (Securities and Exchange Commission) via un dépôt daté du 2 juillet 2026. 🎯 Nature de l’incident L’attaque repose sur une ingénierie sociale réussie ayant compromis la session d’un utilisateur associé à un sous-traitant tiers. Cette compromission a permis aux attaquants d’accéder aux systèmes d’AdaptHealth et d’exfiltrer des données sensibles. ...

🔍 Contexte Publié le 3 juillet 2026 par Kaspersky sur Securelist, cet article présente une analyse technique approfondie d’une campagne active attribuée avec un niveau de confiance moyen au groupe APT Armored Likho (également connu sous le nom Eagle Werewolf). La campagne cible principalement des agences gouvernementales et le secteur de l’énergie électrique en Russie, au Kazakhstan et au Brésil. 🎯 Vecteur d’infection initial Le groupe utilise des emails de spear-phishing avec des thèmes liés à des notices gouvernementales ou des programmes sociaux. Les archives malveillantes (ZIP/RAR) contiennent soit : ...

🔍 Contexte Le CERT/CC (Carnegie Mellon University) a publié le 6 juillet 2026 la note de vulnérabilité VU#213560 concernant la découverte d’une backdoor d’authentification cachée dans plusieurs versions du firmware de routeurs et équipements réseau Tenda. 🛠️ Description technique Le binaire du serveur web /bin/httpd contient une fonction login() qui, en cas d’échec de l’authentification normale (basée sur MD5), invoque GetValue("sys.rzadmin.password") pour récupérer un mot de passe alternatif depuis la configuration de l’appareil. Une comparaison en clair via strcmp() est ensuite effectuée entre le mot de passe fourni par l’utilisateur et cette valeur. En cas de correspondance, un accès administrateur (role=2) est accordé avec création d’une session valide. ...

🔍 Contexte Publié le 6 juillet 2026 par Check Point Research (CPR), cet article présente une analyse technique approfondie de Cavern Manticore, un acteur de menace à nexus iranien suivi depuis début 2026. L’acteur est lié au MOIS (Ministry of Intelligence and Security) iranien et présente des chevauchements techniques avec MuddyWater et Lyceum (sous-groupe d’OilRig). 🎯 Victimologie et objectifs Cavern Manticore cible principalement des organisations israéliennes, avec un focus sur les secteurs gouvernemental et IT. L’acteur exploite les chaînes de sous-traitance IT : il compromet d’abord un fournisseur IT, puis pivote vers un second fournisseur avant d’atteindre la cible finale. Des outils RMM (Remote Monitoring and Management) légitimes sont abusés pour le mouvement latéral et le déploiement de malwares. ...

🔍 Contexte : Le 30 juin 2026, un chercheur du blog Thereallo a publié une analyse technique de Claude Code (version 2.1.196), l’agent de codage d’Anthropic, dans le cadre d’un audit de confidentialité personnel. 🧩 Découverte principale : Le binaire de Claude Code contient une fonction qui modifie silencieusement le system prompt envoyé au modèle en substituant l’apostrophe du mot “Today’s” par différents caractères Unicode visuellement identiques (', ’, ʼ, ʹ) et en changeant le séparateur de date (- → /). Cette technique est qualifiée de stéganographie de prompt. ...

🗓️ Contexte Source : CyberScoop, publié le 6 juillet 2026. L’article rapporte la découverte et la confirmation d’une campagne de défacement par 404 hijacking ciblant des sous-domaines officiels de l’armée américaine. 🎯 Cibles et impact Deux sous-domaines de l’armée américaine ont été compromis : oil.army.mil : site de l’Open Innovation Lab de l’armée (laboratoire de test pour logiciels et capacités cyber, créé en 2020) ai2c.army.mil : site de l’Artificial Intelligence Integration Center (créé en 2019) Les pages d’erreur 404 affichaient des messages de défacement incluant : ...

📰 Source : BleepingComputer, publié le 7 juillet 2026, auteur Bill Toulas. 🔍 Contexte général La police nationale espagnole a procédé à l’arrestation d’un individu résidant à Palencia (Espagne), soupçonné d’être un membre actif des groupes hacktivistes pro-russes CyberArmy of Russia Reborn (CARR), Z-Pentest et NoName057(16). Ces groupes ont été liés à de multiples attaques contre des infrastructures critiques aux États-Unis et en Europe. 👤 Rôle du suspect Selon les autorités espagnoles, le suspect a fourni un soutien logistique et opérationnel à un hacker ukrainien opérant pour le compte de CARR. Il aurait notamment tenté de faciliter la fuite de ce hacker vers la Russie via la Pologne et la Biélorussie. Il utilisait des applications de messagerie chiffrée pour coordonner ses activités avec d’autres membres des groupes. ...

🔍 Contexte Publié le 7 juillet 2026 par Nebula Security (nebusec.ai), cet article de recherche détaille GhostLock (CVE-2026-43499), une vulnérabilité de type stack Use-After-Free (UAF) dans le noyau Linux, découverte par l’équipe VEGA. La faille a été récompensée par Google à hauteur de 92 337 USD dans le cadre du programme kernelCTF. 🐛 Vulnérabilité Type : Stack Use-After-Free (stack-UAF) Composant affecté : kernel/locking/rtmutex.c, fonction remove_waiter() Versions affectées : Linux v2.6.39-rc1 à v7.1-rc1 (introduite en 2011 avec le rework rtmutex) Condition requise : CONFIG_FUTEX_PI=y uniquement — aucun privilège, aucun namespace utilisateur requis Cause racine : remove_waiter() efface current->pi_blocked_on au lieu de waiter->task->pi_blocked_on sur le chemin proxy (rt_mutex_start_proxy_lock()), laissant un pointeur dangling vers une stack frame libérée ⚙️ Mécanisme d’exploitation L’exploit nécessite trois futex et trois threads pour construire un cycle de dépendance PI déclenchant un -EDEADLK : ...

🔍 Contexte Publié le 6 juillet 2026 par Noma Labs (blog Noma Security), cet article présente la découverte d’une vulnérabilité critique baptisée GitLost, affectant les GitHub Agentic Workflows, une fonctionnalité récente de GitHub combinant GitHub Actions avec un agent IA (Claude ou GitHub Copilot). 🧩 Description de la vulnérabilité La vulnérabilité repose sur une injection de prompt indirecte (indirect prompt injection). Les GitHub Agentic Workflows permettent d’automatiser des interactions avec des dépôts via du langage naturel, en lisant des issues GitHub et en exécutant des actions en réponse. ...