TTP

📰 Source : Hackread.com (article exclusif de Waqas, publié le 28 septembre 2026) Contexte Le groupe ShinyHunters a contacté exclusivement Hackread.com pour clarifier ses intentions après son attaque revendiquée du 22 septembre 2026 contre le portail FBI Jobs (apply.fbijobs.gov). Le groupe avait alors défacé le portail et affirmé avoir compromis d’autres systèmes du FBI. Vecteur d’accès initial revendiqué Selon ShinyHunters, l’accès initial a été obtenu via une zero-day Oracle PeopleSoft sur le portail apply.fbijobs.gov. Le groupe affirme ensuite avoir effectué un mouvement latéral vers d’autres services, notamment l’infrastructure AWS GovCloud. ...

📰 Source : BleepingComputer, publié le 28 septembre 2026, par Bill Toulas. 🎯 Contexte de l’incident Times Car, service de location et de mobilité automobile japonais opéré par Times Mobility (groupe Park24), a confirmé le 28 septembre 2026 une violation de données massive affectant environ 6,6 millions de comptes membres actuels et anciens, ainsi que des membres du programme de comptes entreprises Times Business Service. 📅 Chronologie Début septembre 2026 : accès non autorisé par un tiers aux systèmes de Times Car 25 septembre 2026 : annonce publique initiale de l’incident 26 septembre 2026 : blocage de l’accès non autorisé 28 septembre 2026 : confirmation de l’exfiltration de données personnelles 📋 Données exposées Les informations compromises incluent : ...

🔍 Contexte : Le 29 septembre 2026, CloudSEK Global Threat Intelligence publie un rapport d’analyse technique (Part 2 de la série GTI-TOPHIT) documentant une opération de cryptojacking GPU en cours contre la marketplace vast.ai. La découverte fait suite à l’investigation de 85 packages npm malveillants publiés sous le scope @prime0, tous balisant vers 69.48.229.140:8080. 🎯 Découverte du panel : Le même hôte expose sur le port 80 une application FastAPI se présentant comme VHX Harvester v0.1.0. Une misconfiguration critique laisse 17 endpoints sans authentification, dont /agent/code.tar.gz qui sert le code source complet de l’agent C2 (13 574 octets, 8 modules Python) avec des credentials par défaut codés en dur, permettant un accès total au panel. ...

🗓️ Contexte Source : The Record (Recorded Future News), publié le 28 septembre 2026, par Daryna Antoniuk. L’article couvre une cyberattaque ayant visé Qbusoft, éditeur de la plateforme cloud de gestion médicale Medyc, utilisée par des prestataires de santé polonais. 🔍 Déroulement de l’incident En fin août 2026, un attaquant a exploité une vulnérabilité d’injection SQL dans l’interface applicative de Medyc. L’intrusion a permis l’exfiltration d’une archive chiffrée de base de données hors des systèmes de Qbusoft. La détection a eu lieu dans la nuit du 9 septembre 2026. ...

📰 Source : Guerre di Rete (Substack), article de Chiara Crescenzi, publié le 27 septembre 2026. L’article analyse le concept émergent d’ambassade de données (data embassy), une enclave légalement protégée permettant à un État de maintenir ses infrastructures numériques critiques sur territoire étranger via des accords bilatéraux. 🌍 Contexte géopolitique Selon Daniel Nieto (Senior Director Analyst, Gartner), l’instabilité géopolitique croissante, les cybermenaces et les risques de concentration des données poussent les gouvernements vers des stratégies de souveraineté dispersée, séparant données, applications et infrastructures de leur localisation physique tout en maintenant la souveraineté juridique. ...

🔍 Contexte Source : KitGuru (kitguru.net), publié le 23 septembre 2026. ASUS a notifié par email ses clients enregistrés sur son eshop d’un incident de sécurité impliquant un accès non autorisé à une partie de son environnement de boutique en ligne. 📋 Nature de l’incident ASUS a identifié un accès non autorisé à une partie de l’environnement ASUS eShop. Les données potentiellement compromises incluent : Informations de contact clients (noms, coordonnées) Enregistrements de commandes Aucune donnée financière n’a été touchée : aucune carte de paiement, compte bancaire ou autre information financière n’est impliquée. ...

📅 Source et contexte : Article publié le 23 septembre 2026 par Varonis Threat Labs (blog.varonis.com). Les chercheurs ont découvert AvisLoader sur un serveur de staging exposé, accompagné d’un leurre ClickFix, d’outils annexes et de son panneau de commande. 🎯 Vecteur d’infection : L’attaque débute par un leurre ClickFix hébergé sur Cloudflare Workers, se faisant passer pour une demande de signature DocuSign. Une fausse boîte de dialogue « Manual verification » invite l’utilisateur à coller une commande dans un terminal. Cette commande récupère et exécute du code depuis une adresse trycloudflare.com (Cloudflare Quick Tunnel), contournant le flux de téléchargement normal du navigateur. ...

📰 Cet article publié le 23 septembre 2026 sur le blog ShevArezo.fr est une rétrospective détaillée de l’incident CCleaner de 2017, reconstituée à partir des analyses publiées par Cisco Talos, Avast et Kaspersky. 🎯 Contexte de l’attaque CCleaner, logiciel de nettoyage Windows édité par Piriform (société britannique rachetée par Avast en juillet 2017), comptait plusieurs milliards de téléchargements cumulés. Sa large base d’utilisateurs en a fait une cible de choix pour une attaque par chaîne d’approvisionnement (supply chain attack). ...

🛡️ Contexte Le 21 septembre 2026, BleepingComputer rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) a émis une alerte concernant l’exploitation active de trois vulnérabilités du noyau Linux, ajoutées séparément à son catalogue KEV (Known Exploited Vulnerabilities) la semaine précédente. Les agences fédérales américaines ont reçu l’ordre d’appliquer les correctifs disponibles avant la fin de la journée même. 🔍 Vulnérabilités concernées CVE-2025-39964 (critique) : Race condition dans l’interface de socket cryptographique AF_ALG du noyau Linux. Permet des écritures concurrentes corrompant l’état par socket, pouvant provoquer des crashs ou altérer des résultats cryptographiques. Cette faille existait dans le noyau depuis 14 ans. Découverte par la société STAR Labs, qui a démontré une élévation de privilèges et une évasion de conteneur dans le programme kernelCTF de Google. ...

🔍 Contexte Publié le 28 septembre 2026 par Sina Kheirkhah de watchTowr Labs, cet article présente l’analyse technique détaillée de CVE-2026-88771, une vulnérabilité d’injection de commandes pré-authentification affectant Citrix NetScaler ADC et NetScaler Gateway, exploitée activement en zero-day avant la publication de tout correctif. 🧩 Vulnérabilité principale : CVE-2026-88771 Type : Injection de commandes (Command Injection) pré-authentification CVSS 4.0 : 9.5 (Critique) Configuration affectée : Configuration par défaut Exploitation in the wild : Confirmée avant tout patch Composant vulnérable : Script Perl ns_monuploadd_err.pl Le script Perl utilisait des backticks pour exécuter des commandes shell en interpolant directement des données issues des fichiers de logs, sans validation. Un attaquant pouvait injecter une entrée malveillante dans les logs via une requête HTTP (champ login, User-Agent, paramètres de requête), qui était ensuite exécutée en tant que root lors du traitement par le script. ...