TTP

🔍 Contexte Publié le 27 avril 2026 par Osservatorio Nessuno, cet article présente l’analyse technique complète d’un spyware Android inconnu jusqu’alors, baptisé Morpheus (version 2025.3.0), vraisemblablement développé en Italie. L’infection initiale a été déclenchée via un SMS de phishing pointant vers le domaine assistenza-sim.it, avec une application se faisant passer pour l’opérateur Fastweb. 🎯 Mécanisme d’infection L’infection repose sur un modèle en deux étapes : Premier stage (dropper) : package com.android.cored (v0.9.23), fork de SimpleInstaller open-source, embarquant le second stage dans /assets/mobile-config.apk Second stage (agent) : package com.android.core (v2025.3.0), le spyware principal Le dropper contourne la restriction Android 13 Restricted Settings qui bloque normalement l’accès aux services d’accessibilité pour les apps sideloadées. ...

📰 Source : woodtv.com — Date de publication : 28 avril 2026 🏛️ La Kent District Library (KDL), réseau de bibliothèques publiques du comté de Kent (Michigan, États-Unis), a officiellement confirmé que la fermeture de l’ensemble de ses agences est consécutive à un événement ransomware. 🔍 L’organisation indique avoir récemment découvert l’incident et avoir immédiatement lancé une investigation pour déterminer la nature et l’étendue complète de l’attaque. Un email a été envoyé aux usagers de la KDL le lundi soir pour les informer de la situation. ...

📅 Source : Osservatorio Nessuno, publié le 27 avril 2026. Analyse technique d’un échantillon 2025 du spyware Android Spyrtacus version 8.71, attribué à la société italienne SIO S.p.A. 🎯 Méthode d’infection L’infection débute par un SMS de phishing contenant un lien raccourci tinyurl.com redirigeant vers une page imitant le site de l’opérateur mobile de la victime (ex : ho. mobile / ho-mobile.it). La victime est incitée à télécharger un APK malveillant se faisant passer pour l’application officielle de l’opérateur avec une fausse promo 5G. ...

🗓️ Contexte Source : Wired Italia, publié le 28 avril 2026. L’article fait le point sur l’avancement de l’affaire Paragon/Graphite en Italie, un scandale de surveillance impliquant des journalistes et des activistes ciblés par le spyware Graphite développé par la société israélienne Paragon Solutions. 📱 Victimes identifiées 29 avril 2025 : Apple envoie des notifications à des clients italiens les avertissant d’être ciblés par « un attaquant sophistiqué », sans préciser le nombre ni impliquer explicitement Paragon. Ciro Pellegrino, journaliste de Fanpage, reçoit en juin 2025 du Citizen Lab la confirmation de traces de Graphite sur son téléphone, « avec un haut degré de confiance ». Les analyses techniques déposées en février 2026 auprès des parquets de Rome et Naples révèlent des anomalies compatibles avec une activité de Graphite dans les bases de données WhatsApp liées à trois téléphones Android : ceux de deux activistes de Mediterranea et de Cancellato. 📄 Contrats et acteurs institutionnels Deux contrats entre Paragon et les autorités italiennes ont été identifiés, pour un montant total de 2 millions d’euros : Un contrat avec l’AISI (renseignement intérieur) Un contrat avec l’AISE (renseignement extérieur), jugé le plus significatif car permettant d’intercepter un plus grand nombre de cibles, y compris à l’étranger. L’enquête s’articule également autour de Giuseppe Del Deo, ex-directeur adjoint du DIS (Département des informations pour la sécurité), soupçonné d’avoir utilisé des bases de données et outils des services secrets « à des fins privées ». Le décret de perquisition du 17 avril 2026 mentionne un « produit israélien ». ⚖️ Renvoi de responsabilités Paragon affirme (via Haaretz, février 2025) avoir proposé aux autorités italiennes une vérification des faits et avoir résilié les contrats après leur refus. Le Copasir (comité parlementaire de surveillance des services secrets) conteste cette version, affirmant que la rupture était mutuelle et que la vérification pouvait être conduite de manière autonome. Les services de renseignement italiens eux-mêmes ont conseillé au Copasir de refuser le soutien de Paragon, jugeant cette proposition « inacceptable » car susceptible de compromettre l’image de l’intelligence italienne et d’exposer des données classifiées. Le Copasir a menacé de rendre publique l’audition de Paragon, sans jamais le faire. Le Copasir a conclu que le journaliste Cancellato n’avait pas été espionné par les services secrets via Graphite, et ne s’est jamais penché sur le cas de Ciro Pellegrino. 🔍 Type d’article Article de presse spécialisée à visée investigative, documentant l’état d’avancement des enquêtes judiciaires et parlementaires italiennes sur l’utilisation du spyware Graphite par des entités étatiques italiennes. ...

🔍 Contexte Publié le 29 avril 2026 par Wiz (Benjamin Read, Merav Bar, Shay Berkovich, Gili Tikochinski), cet article documente une opération de supply chain active baptisée “Mini Shai Hulud”, attribuée avec haute confiance au groupe TeamPCP. 🎯 Mécanisme d’attaque Des versions malveillantes de packages npm légitimes de l’écosystème SAP ont été publiées avec un script preinstall injectant setup.mjs, exécuté automatiquement lors de npm install. Ce dropper télécharge le runtime Bun puis exécute un payload obfusqué (execution.js), permettant l’exécution de code attaquant avant la fin de l’installation. ...

🔍 Contexte Publié le 29 avril 2026 sur le blog de Xint (xint.io), cet article est une divulgation publique coordonnée de CVE-2026-31431, surnommé « Copy Fail », découvert par le chercheur Taeyang Lee (Theori) avec l’assistance de l’outil d’analyse automatisée Xint Code. La vulnérabilité a été signalée à l’équipe de sécurité du noyau Linux le 23 mars 2026 et corrigée en mainline le 1er avril 2026. 🐛 Nature de la vulnérabilité Copy Fail est un bug logique dans le template AEAD authencesn du noyau Linux, combiné à deux mécanismes : ...

📰 Source : RTS Info, publié le 28 avril 2026. Opération judiciaire et policière menée en Suisse en lien avec le groupe criminel organisé nigérian Black Axe. 🎯 Contexte de l’opération Dix hommes âgés de 32 à 54 ans ont été interpellés simultanément lors de perquisitions dans des locaux résidentiels et des entrepôts répartis dans le canton de Zurich et cinq autres cantons suisses. L’opération a été dirigée par le ministère public du canton de Zurich, avec le soutien des polices cantonale et municipale de Zurich, d’Europol et de la police criminelle de Bavière. ...

🔍 Contexte Article de recherche publié le 28 avril 2026 par Ax Sharma (Manifold Security). L’analyse porte sur 30 skills publiés sur la plateforme ClawHub par un auteur unique nommé imaflytok, totalisant environ 9 800 téléchargements. ⚙️ Mécanisme technique Les skills utilisent un protocole maison appelé Open Agent Discovery Protocol (OADP) dont tous les endpoints pointent vers onlyflies.buzz/clawswarm. Le vecteur d’infection repose sur : Un commentaire HTML caché dans un fichier AGENTS.md créé dans le workspace de l’agent au premier lancement L’agent lit ce fichier à chaque démarrage de session et envoie une requête d’enregistrement vers https://onlyflies.buzz/clawswarm/api/v1/agents/register Le serveur retourne un ID et un secret stockés dans ~/.config/clawswarm/credentials.json Un fichier HEARTBEAT.md déclenche un check-in toutes les 4 heures pour récupérer des tâches Le skill clawswarm-wallet génère une clé privée Hedera (HBAR) et l’envoie au serveur Le skill oadp-beacon propage les marqueurs OADP dans d’autres fichiers du workspace Le hostname de la machine est exfiltré lors du ping d’enregistrement 🎯 Objectif de la campagne Les skills fournissent une utilité réelle (gestion de cron, variables d’environnement, initialisation de workspace) pour passer les inspections superficielles. En réalité, ils constituent un funnel d’acquisition pour un réseau d’agents économiques centré sur le token $FLY (créé le 30 décembre 2024), avec un groupe Telegram de 32 membres publiant des rapports de suivi de baleines Hedera. ...

🔍 Contexte Arctic Wolf Labs publie le 27 avril 2026 un rapport d’analyse technique détaillé d’une intrusion active débutée le 23 janvier 2026, ciblant une entreprise Web3/cryptomonnaie nord-américaine. L’attaque est attribuée avec haute confiance à BlueNoroff, sous-groupe financièrement motivé du Lazarus Group nord-coréen (RGB/DPRK), dans le cadre de la campagne dite “fake conference” / SnatchCrypto. 🎭 Vecteur initial : ingénierie sociale sophistiquée L’attaquant a usurpé l’identité d’un responsable juridique d’un cabinet Fintech/Crypto/iGaming via Calendly, en programmant une réunion cinq mois à l’avance. L’invitation Google Meet générée a été modifiée pour substituer le lien légitime par une URL typosquattée Zoom (ex: uu03webzoom[.]us). Plus de 80 domaines typosquattés Zoom et Teams ont été identifiés sur la même infrastructure entre fin 2025 et mars 2026. ...

🗓️ Contexte Publié le 28 avril 2026 par The Cyber Security Hub sur LinkedIn, cet article rapporte la confirmation par Microsoft de l’exploitation active de CVE-2026-32202, une vulnérabilité affectant le composant Windows Shell, initialement corrigée lors du Patch Tuesday d’avril 2026. 🔍 Détails de la vulnérabilité CVE-2026-32202 : score CVSS 4.3, classée comme « protection mechanism failure » permettant des attaques de spoofing via le réseau Nécessite une interaction utilisateur (ouverture d’un fichier malveillant) Permet l’accès à des informations sensibles partielles, sans modification de données ni perturbation de disponibilité Découverte par Maor Dahan (Akamai), identifiée comme remédiation incomplète de CVE-2026-21510 Le 27 avril 2026, Microsoft a révisé son advisory pour corriger la classification d’exploitabilité, le vecteur CVSS et le statut d’exploitation. ...