TTP

📰 Contexte Source : Clubic, publié le 8 avril 2026. L’article rapporte une cyberattaque contre KFC France, filiale française de la chaîne de restauration rapide, ayant conduit à une fuite de données personnelles de clients membres du programme de fidélité Colonel Club. 🎯 Nature de l’incident Des accès illégitimes au système d’information de KFC France ont été détectés. Ces accès ont permis aux attaquants de consulter et exfiltrer des données issues du programme de fidélité Colonel Club. ...

🔍 Contexte Publié le 6 avril 2026 par Unit 42 (Palo Alto Networks), cet article de recherche analyse l’évolution des menaces ciblant les environnements Kubernetes en 2025-2026. La télémétrie de l’éditeur révèle une augmentation de 282% des opérations liées au vol de tokens Kubernetes sur un an, avec le secteur IT représentant 78% des activités observées. 📊 Cas 1 : Vol de tokens et mouvement latéral dans une plateforme crypto Mi-2025, Unit 42 documente une intrusion dans une bourse de cryptomonnaies attribuée au groupe nord-coréen Slow Pisces (alias Lazarus, TraderTraitor). L’attaque suit le schéma suivant : ...

📅 Source et contexte : Article d’analyse prospective publié le 7 avril 2026 par Bruce Schneier sur son blog personnel, initialement paru dans CSO. L’article explore les implications de l’IA sur la cybersécurité dans un futur où les logiciels sont générés à la demande (« instant software »). 🔍 Tendances d’attaque identifiées : Les IA automatisent la découverte et l’exploitation de vulnérabilités, augmentant les capacités des attaquants peu sophistiqués Les logiciels open-source et leurs bibliothèques sont identifiés comme les cibles prioritaires (code source accessible) Les logiciels IoT (véhicules connectés, caméras, réfrigérateurs) et IoT industriel (réseaux électriques, raffineries, pipelines, usines chimiques) sont particulièrement exposés en raison de leur faible qualité et de leur nature legacy Les attaquants rechercheront des zero-days « nobody but us », utilisés de façon ciblée ou massive selon l’objectif Les attaques sociales (ingénierie sociale, vol de credentials, deepfakes) persistent indépendamment des vulnérabilités logicielles Les IA défensives elles-mêmes sont vulnérables : prompt injection, empoisonnement de données, manipulation des réseaux de partage 🛡️ Tendances défensives identifiées : ...

🗓️ Contexte Article publié le 10 avril 2026 par le Telegraph (Tim Wallace, Matthew Field, James Titcomb). Il rapporte les réactions institutionnelles britanniques et américaines face à la divulgation par Anthropic d’un nouveau modèle d’IA, Claude Mythos, jugé trop dangereux pour être rendu public. 🤖 Claude Mythos : capacités et risques Anthropic a annoncé que Claude Mythos est capable de découvrir des failles de sécurité inconnues dans des systèmes informatiques plus rapidement que tout humain. Le modèle a déjà identifié des milliers de vulnérabilités dans des navigateurs web et systèmes d’exploitation populaires. Anthropic a décidé de ne pas le rendre public en raison de ces capacités jugées dangereuses. ...

🔍 Contexte Cisco Talos a publié le 8 avril 2026 une analyse technique détaillée d’un cluster d’activité malveillante désigné UAT-10362, conduisant des campagnes de spear-phishing ciblées contre des organisations non gouvernementales (ONG) et des universités taïwanaises. La première attaque observée remonte à octobre 2025. 🎯 Vecteur d’infection et chaînes d’infection Deux chaînes d’infection distinctes ont été identifiées : Chaîne LNK : archive RAR protégée par mot de passe contenant un fichier LNK déguisé en document PDF, exploitant DLL sideloading via DismCore.dll (LucidPawn) et le binaire légitime DISM (index.exe). Utilisation de LOLBAS via Build.bat (Pester PowerShell framework). Chaîne EXE : archive 7-Zip nommée Cleanup(33665512).7z contenant un exécutable .NET se faisant passer pour Trend Micro Worry-Free Business Security Services, avec un timestamp de compilation falsifié (2065). Dans les deux cas, la persistance est établie via un fichier LNK dans le dossier Startup, et des documents leurres (directives gouvernementales taïwanaises) sont affichés pour distraire la victime. ...

🔍 Contexte Rapport technique publié le 6 avril 2026 par JUMPSEC, basé sur l’analyse d’un serveur C2 mal configuré, de 15 échantillons de malware et d’un nouveau payload PE. L’analyse s’inscrit dans la continuité des travaux de Symantec, Check Point, Malwarebytes et Recorded Future sur MuddyWater et CastleRAT. 🎯 Acteurs et relation MuddyWater (alias Seedworm, Mango Sandstorm, TA450, Static Kitten), groupe d’espionnage iranien opérant sous le Ministry of Intelligence and Security (MOIS), est identifié comme client de la plateforme MaaS TAG-150, développée par des cybercriminels russophones. Cette relation est confirmée par trois chaînes de preuves indépendantes. ...

🌐 Contexte Publié le 11 avril 2026 sur BleepingComputer, cet article relate les résultats de l’Opération Atlantic, une action internationale de répression de la fraude aux cryptomonnaies conduite le mois précédent sous la direction de la National Crime Agency (NCA) britannique. 🏛️ Acteurs impliqués L’opération a réuni plusieurs agences et organismes : NCA (Royaume-Uni) — agence coordinatrice U.S. Secret Service Ontario Provincial Police Ontario Securities Commission City of London Police Financial Conduct Authority Partenaires privés de l’industrie 🎯 Résultats de l’opération Plus de 20 000 victimes identifiées au Canada, au Royaume-Uni et aux États-Unis Plus de 12 millions de dollars en produits criminels présumés gelés Plus de 45 millions de dollars en cryptomonnaies volées identifiés et liés à des schémas de fraude mondiaux Plusieurs réseaux de fraude perturbés à travers le monde 🪤 Technique d’attaque principale Les fraudes reposent sur des attaques dites d’« approval phishing » : les escrocs trompent les victimes pour qu’elles leur accordent l’accès à leurs portefeuilles de cryptomonnaies, généralement via de faux schémas d’investissement. ...

🏛️ Contexte Le 7 avril 2026, le Département de Justice américain (DOJ) et le FBI ont publié un communiqué officiel annonçant la conclusion de l’Opération Masquerade, une opération technique autorisée par un tribunal visant à neutraliser un réseau de routeurs compromis sur le territoire américain. 🎯 Acteur de la menace L’opération cible l’Unité militaire 26165 du GRU (Direction principale du renseignement militaire russe), connue sous les alias APT28, Sofacy Group, Forest Blizzard, Pawn Storm, Fancy Bear et Sednit. Cette unité est classifiée comme acteur étatique russe. ...

🌐 Contexte Cet article est une publication de recherche de Proofpoint (Threat Insight), datée du 26 mars 2026, analysant la reprise des activités du groupe de menace TA416 (aligné Chine, aussi connu sous les noms RedDelta, Red Lich, Vertigo Panda, SmugX, DarkPeony) contre des cibles européennes et moyen-orientales. 🎯 Ciblage et contexte géopolitique Depuis mi-2025, TA416 a repris ses campagnes contre les missions diplomatiques et gouvernements européens, notamment ceux accrédités auprès de l’UE et de l’OTAN. Cette reprise coïncide avec le 25e sommet UE-Chine et des tensions accrues autour du commerce, de la guerre Russie-Ukraine et des exportations de terres rares. ...

📰 Source : Los Angeles Times — Article publié le 8 avril 2026, rédigé par Libor Jany et Richard Winton. Contexte Le bureau du procureur de la ville de Los Angeles (City Attorney’s Office) a été victime d’une violation de données majeure découverte le 20 mars 2026. L’intrusion a ciblé un outil tiers de transfert de documents utilisé pour transmettre des pièces de procédure (discovery) aux parties adverses dans les litiges civils. ...