TTP

🔍 Contexte Analyse publiée le 5 juin 2026 par StepSecurity (Ashish Kurmi). L’article documente une attaque de type supply chain ciblant les organisations GitHub de Microsoft, dans le cadre de la campagne Miasma Worm. 🎯 Incident du 5 juin 2026 Un commit malveillant (hash 5f456b8) a été poussé dans le dépôt Azure/durabletask via un compte contributeur préalablement compromis. Ce même compte avait déjà été utilisé lors de l’attaque PyPI du 19 mai 2026. Le commit présentait plusieurs signaux d’alerte : ...

📅 Source : Blog Exodus Intelligence, publié le 8 juin 2026. Article de recherche technique rédigé par Oliver Sieber, détaillant la découverte, l’analyse et l’exploitation d’une vulnérabilité dans le noyau Linux. 🔍 Contexte de la vulnérabilité La vulnérabilité CVE-2026-23111 a été découverte début 2025 dans le sous-système nftables du noyau Linux. Elle a été corrigée en amont le 5 février 2026. Une seconde vulnérabilité connexe, CVE-2026-23278, est également mentionnée mais hors scope de cet article. ...

🗓️ Contexte Source : SecurityWeek, publié le 8 juin 2026. La CISA (agence américaine de cybersécurité) a émis une alerte concernant l’exploitation active d’une vulnérabilité dans SolarWinds Serv-U, quelques jours après la publication du correctif par l’éditeur. 🔍 Détails de la vulnérabilité CVE : CVE-2026-28318 Score CVSS : 7.5 Type : Déni de service (DoS) Vecteur : Requêtes POST spécialement forgées contenant l’en-tête Content-Encoding: deflate avec certaines données Authentification requise : Non — exploitation possible sans authentification Impact : Crash du service Serv-U 🛠️ Versions affectées et correctif Correctif disponible : Serv-U 15.5.4 Hotfix 1 Versions en fin de vie (EoL) concernées : 15.4.2, 15.5, 15.5.1 — mise à niveau vers une version supportée recommandée SolarWinds encourage tous les clients à installer le hotfix, y compris ceux ayant récemment migré vers la version 15.5.4 ⚠️ Exploitation et réponse institutionnelle La CISA a ajouté CVE-2026-28318 à son catalogue KEV (Known Exploited Vulnerabilities) le vendredi 6 juin 2026 L’advisory de SolarWinds ne mentionnait pas d’exploitation active au moment de sa publication Il n’est pas établi si la vulnérabilité a été exploitée en tant que zero-day L’identité des attaquants est inconnue Conformément à la BOD 22-01, les agences fédérales américaines ont jusqu’au 19 juin 2026 pour appliquer le correctif 📌 Type d’article Alerte de sécurité combinant une annonce de patch et une notification d’exploitation active, destinée à informer les équipes de sécurité et les administrateurs système sur la nécessité d’appliquer le correctif en urgence. ...

🔍 Contexte Le 8 juin 2026, Check Point Research publie un avis de sécurité urgent sur son blog officiel concernant l’exploitation active de CVE-2026-50751, une vulnérabilité critique affectant ses solutions Remote Access VPN et Mobile Access configurées avec le protocole IKEv1 (déprécié). 🚨 Vulnérabilités identifiées Deux CVE sont documentées dans cet avis : CVE-2026-50751 (CVSS 9.3) : Bypass d’authentification exploitant une faille logique dans la validation des certificats IKEv1. Un attaquant peut établir une session VPN sans mot de passe valide. Exploitation active confirmée dans la nature. CVE-2026-50752 (CVSS 7.4) : Condition dans la logique de validation des certificats IKEv1 permettant une attaque man-in-the-middle sur les connexions VPN site-à-site. Aucune exploitation observée à ce jour. Découverte via la plateforme interne BLAST (agentic AI code security). Produits affectés : SSL VPN / Remote Access VPN, Mobile Access, Security Gateways, Spark Firewall ...

🗓️ Contexte Article publié le 8 juin 2026 par Nigel Douglas (Cloudsmith), analysant la campagne du ver Miasma qui a frappé l’écosystème open-source au cours de la semaine précédente. La source est le blog officiel de Cloudsmith, spécialisé en sécurité de la supply chain. 🦠 Description du malware Miasma est une variante évoluée et auto-réplicante du ver Mini Shai-Hulud, open-sourcé par le groupe TeamPCP. Le dépôt malveillant était décrit comme « Miasma: The Spreading Blight » et « Hades - The End for the Damned ». Le ver génère un payload chiffré de manière unique pour chaque infection, rendant les IOCs basés sur les hachages inutilisables pour la détection. ...

🔍 Contexte Rapport publié le 9 juin 2026 par MalExt (Jean-Marie R. / Toborrm9) via la plateforme Malicious Extension Sentry Project. L’analyse a été réalisée à l’aide du scanner automatisé MalExt Sentry, qui surveille en continu les stores d’extensions de navigateur. 🎯 Description de la campagne SearchJack est une campagne structurée de 23 extensions Chrome déceptives qui détournent silencieusement le moteur de recherche par défaut des utilisateurs. Chaque extension se présente sous une apparence légitime (imagerie satellite, outils de productivité, lecteurs d’actualités, cartes) mais son objectif réel est la génération de revenus via des programmes d’affiliation de recherche (principalement Yahoo Hosted Search). ...

📅 Article publié le 6 juin 2026 sur le blog personnel d’Antonio Parata, présentant une expérience d’analyse dynamique du malware Lorem Ipsum à l’aide de trois outils personnalisés développés en Rust avec assistance de l’IA Claude Pro. 🔬 Contexte malware : Le malware Lorem Ipsum, déjà documenté dans un billet BlueVoyant, est disponible sur MalwareBazaar. Il nécessite Node.js pour s’exécuter, dépose son binaire dans C:\ProgramData\Microsoft Edge Updates Helper qZWpLKQXEGaa\Microsoft Edge Updates Helper.exe, et est fortement obfusqué, rendant l’analyse statique très difficile (IDA ne peut pas décompiler le code). ...

🔍 Contexte Publié le 18 mai 2026 par DeXpose en collaboration avec Buguard, cet article présente une investigation OSINT complète ayant conduit à l’attribution d’un threat actor connu sous l’alias Quellostanco, actif depuis début 2026 contre des cibles égyptiennes. Le dossier d’attribution complet a été transmis aux autorités judiciaires compétentes. 🎯 Activités malveillantes attribuées à Quellostanco L’acteur a opéré sous la bannière du groupe INT3X, en collaboration avec les alias CrowStealer et bigF : ...

🗓️ Contexte Source : Have I Been Pwned (haveibeenpwned.com), publié le 7 juin 2026. L’incident concerne Baker Distributing Company, distributeur en gros de matériel HVAC/R (chauffage, ventilation, climatisation, réfrigération) basé aux États-Unis. 🎯 Nature de l’incident En mai 2026, Baker Distributing a été ajouté au site d’extorsion « pay or leak » du groupe ShinyHunters. Début juin 2026, le groupe a publiquement diffusé les données qu’il affirme avoir extraites de l’infrastructure SharePoint et Salesforce de l’entreprise. ...

🔍 Contexte Publié le 3 juin 2026 par Vincent Li (FortiGuard Labs), cet article présente l’analyse technique détaillée de C0XMO, un nouveau variant du botnet Gafgyt découvert en mars 2026. La cible initiale était une entreprise technologique japonaise, mais l’adresse IP source de l’attaque a été tracée en Allemagne. 🎯 Vecteur d’infection initial Le malware se propage en exploitant CVE-2021-27137, un stack buffer overflow dans le service UPnP des firmwares DD-WRT antérieurs au changeset 45723. La vulnérabilité est déclenchée via des requêtes M-SEARCH malformées envoyées sur le port UDP 1900, exploitant une mauvaise gestion des valeurs ST:uuid: surdimensionnées par le parseur SSDP. ...