TTP

📰 Source : The Register | Date : 9 avril 2026 | Contexte : Annonce officielle de Zephyr Energy plc, société pétrolière et gazière cotée à Londres, opérant dans la région des Rocheuses américaines. 🎯 Nature de l’incident Une filiale américaine de Zephyr Energy a été victime d’une fraude au virement bancaire (Business Email Compromise ou attaque similaire), dans laquelle un paiement destiné à un sous-traitant a été redirigé vers un compte bancaire contrôlé par les attaquants. Le montant détourné s’élève à environ 700 000 £. ...

🍎 Contexte Le 2 octobre 2026, Apple a publié sur son portail développeur une annonce officielle concernant des modifications à venir de la permission Full Disk Access (FDA) dans macOS. Cette permission, initialement conçue pour permettre aux applications de sauvegarde de fonctionner correctement, contourne largement les mécanismes de protection des données privées d’Apple. ⚠️ Problème identifié Apple indique que certains développeurs utilisent la permission Full Disk Access de manière abusive, exposant potentiellement l’intégralité des données présentes sur les systèmes des utilisateurs, notamment : ...

🔍 Contexte Publié sur GitHub (ThomasPoppelgaard/netscaler-ctx697096-checker), cet outil est un script POSIX shell en lecture seule destiné à vérifier l’exposition et la compromission des appliances Citrix NetScaler ADC / NetScaler Gateway face aux bulletins de sécurité CTX697096 (CVE-2026-88771 à CVE-2026-88778) et CTX697174 (CVE-2026-88779). ⚠️ Vulnérabilités couvertes CVE-2026-88771 et CVE-2026-88772 : exploitées activement dans la nature, inscrites au CISA KEV catalog CVE-2026-88779 (CVSS 8.7) : attaque SAML par requêtes craftées crashant les NetScalers patchés depuis le 2 octobre, dans le cadre d’attaques ciblées Versions corrigées pour CVE-2026-88779 : 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS, 13.1-37.282 FIPS/NDcPP Les appliances déjà patchées pour CTX697096 doivent être mises à jour une seconde fois 🛠️ Fonctionnalités du checker (v1.12) Vérification du build vs versions corrigées, détection des releases en fin de vie Analyse des préconditions de configuration pour chaque CVE (partitions admin incluses) Détection de problèmes potentiels lors de la mise à jour Avec --ioc : sweep complet des indicateurs de compromission publiés par Mandiant/GTIG, Unit 42, Arctic Wolf, watchTowr, CERT-EU, GreyNoise, Beazley Security, Elastic, PitScaler.com, etc. 🚨 IoCs et artefacts de compromission recherchés Webshells : .ctxs.receiver, LogonPoint/.local_journal, nsg64.deb, nsgclient18.deb, code PHP obfusqué Implants : nsmon.pl (Perl), agent Platypus (TENEX), SLAPSHOT (slapshot.py, whipd.py), WHIPSHOT Fichiers suspects : /.x, /s, lula, /var/1.py, update_c*.pl, themes/wt88771*, /var/tmp/.s, x.sh Backdoor : compte sec_monitor, EPA default group NO_AUTH, nsmon.pl en cron Réseau : 99 IPs attaquantes connues, domaines echvista.com, entretiensol.com, white-guard.pro, gsocket.io, pylrk.cc, oast.fun, dnsl.cc, gs.thc.org, webhook.site, dnshook.site Techniques d’injection : fake pitboss messages, ${IFS}, backticks, base64 en User-Agent, commandes FreeBSD fetch CVE-2019-19781 (NOTROBIN) : artefacts legacy également détectés 📋 Type d’article Il s’agit d’une publication d’outil open-source accompagnée d’une analyse technique détaillée des vulnérabilités, des techniques d’exploitation et des indicateurs de compromission associés aux CVE-2026-88771 à CVE-2026-88779 sur Citrix NetScaler. ...

🔍 Contexte Publié sur GitHub (x86byte/adm-zip_LPE-PoC), cet article est un advisory de sécurité accompagné d’un PoC fonctionnel pour la vulnérabilité CVE-2026-102282 affectant adm-zip, une bibliothèque JavaScript pure pour Node.js comptant plus de 20 millions de téléchargements hebdomadaires sur npm. 🐛 Description de la vulnérabilité La bibliothèque adm-zip supporte une option keepOriginalPermission permettant de restaurer les permissions POSIX enregistrées dans une archive ZIP. Dans les versions >= 0.5.10 et <= 0.6.0, le masque binaire utilisé dans headers/entryHeader.js était 0xfff (12 bits), préservant non seulement les permissions standard (0o777) mais aussi les bits spéciaux : ...

🔍 Contexte Publié le 02/10/2026 sur GitHub par Michalis Michalos (cyb3rmik3), ce dépôt open source met à disposition un jeu de test structuré destiné à évaluer la résistance des passerelles de sécurité email et des assistants IA face aux attaques par injection de prompt indirecte. 🎯 Objectif et structure du jeu de test Le jeu comprend 10 fichiers .eml organisés en matrice croisant 3 intentions d’attaque et 3 méthodes de livraison, plus un email bénin de contrôle : ...

🧩 Contexte Publié sur GitHub (https://github.com/g13net/lockjaw), cet article est la documentation officielle de Lockjaw v0.2.15, un framework de command-and-control (C2) open source à destination des équipes red team et des simulations adversariales. Le projet est en phase alpha et n’a pas encore fait l’objet d’une revue de code complète. 🏗️ Architecture Lockjaw repose sur une architecture multi-composants : Teamserver : écrit en Rust (Tokio/Axum/Rustls), gère les checkins agents, la distribution de tâches, les listeners et la persistance via SQLite. Intègre un pipeline de cross-compilation à la demande via Zig. Implant : écrit en Zig, ciblant x86_64-windows, sans dépendance externe au C-runtime. Stagers : assembleur x64 position-independent (PIC) et cradles PowerShell. Operator CLI : interface TUI asynchrone en Python 3 (prompt_toolkit). 🛡️ Techniques d’évasion Indirect Syscalls (Hell’s Gate + Halo’s Gate) : extraction des SSNs depuis ntdll.dll en mémoire via hachage DJB2, avec scanning des voisins pour récupérer les syscalls hookés. Ghost AMSI Bypass : neutralisation d’AMSI via Hardware Breakpoints (DR0/DR7) et Vectored Exception Handling, sans modification de la mémoire .text. IAT-Clean & Dynamic API Resolution : zéro import statique pour les APIs sensibles, résolution dynamique via parcours du PEB et hachage DJB2. Communications chiffrées RC4 : chiffrement symétrique de toutes les communications agent-teamserver. Self-Destruct : suppression du binaire via commande détachée asynchrone. 💉 Injection de processus Reflective Manual Mapping (migrate <pid> reflective) : mapping PE dans un processus distant via sections mémoire partagées (NtCreateSection + NtMapViewOfSection), sans NtAllocateVirtualMemory/NtWriteVirtualMemory. PoolParty Injection (migrate <pid> reflective_poolstomp) : exploitation des worker factories de thread pool (TpWorkerFactory) via NtSetInformationWorkerFactory, sans création de thread distant (contourne Sysmon Event ID 8). 📡 Transports HTTP/HTTPS : listener Axum/Rustls avec support du domain fronting via header Host personnalisé. DNS Tunneling : tunneling DNS covert via requêtes TXT autoritatives, payload encodé en Base32 + RC4 dans les sous-domaines. 🔧 Post-exploitation Exécution de Beacon Object Files (BOF) AMD64 en mémoire avec loader COFF intégré. Commandes de reconnaissance : ps, whoami, ipconfig, sc_enum, sc_query, pid. Gestion de fichiers : ls, cat, rm, upload, download. Exécution shell via cmd.exe /c sans fenêtre. 📌 Type d’article Il s’agit d’une publication de nouveaux outils offensifs open source, dont le but principal est de documenter les capacités et l’utilisation du framework C2 Lockjaw pour des opérations red team. ...

🛡️ Contexte Publié sur GitHub (https://github.com/NuGuardAI/nuguard), NuGuard est un toolkit open source de sécurité pour applications IA développé par NuGuardAI. Il cible les équipes de sécurité et d’ingénierie souhaitant évaluer la posture de sécurité de leurs agents et applications IA avant qu’un attaquant ne le fasse. 🔧 Fonctionnalités principales NuGuard couvre cinq étapes d’analyse : AI-SBOM (Software Bill of Materials) : génération d’un inventaire structuré de la pile IA (frameworks, SDKs, MCP servers, prompts, outils, guardrails, endpoints) Cognitive Policy : analyse des politiques comportementales de l’agent Static Analysis : analyse statique des risques structurels dans la pile IA et l’infrastructure logicielle Behavior : analyse comportementale sur une instance en sandbox Red-Team automatisé : catalogue de 100+ scénarios adversariaux couvrant l’injection de prompt, l’abus d’outils, l’exfiltration de données, etc. 🎯 Couverture technique Le toolkit supporte : ...

🗓️ Contexte Source : BankInfoSecurity / HealthInfoSec, publié le 30 septembre 2026. L’article rapporte une cyberattaque contre Qbusoft, éditeur polonais du logiciel médical Medyc, survenant quelques semaines après une attaque majeure contre MyDr, un autre éditeur de logiciels de dossiers médicaux. 🎯 Incident Qbusoft / Medyc L’attaque a débuté autour du 22-23 août 2026 via l’exploitation d’une vulnérabilité d’injection SQL dans l’interface applicative de Medyc. Une archive de base de données chiffrée a été exfiltrée hors de l’environnement du fournisseur. L’incident a été détecté dans la nuit du 8 au 9 septembre 2026. Les données compromises incluent : nom, prénom, adresse, numéro de téléphone, e-mail, numéro PESEL (identifiant national polonais unique). Bien que les champs sensibles aient été chiffrés, l’analyse forensique conclut que le déchiffrement était aisé compte tenu de la structure du code. Des scripts ciblant les tables de données médicales ont également été exécutés, rendant probable l’exfiltration de documentation médicale et de fiches d’hospitalisation. Le gouvernement polonais estime que jusqu’à 5 millions de personnes pourraient être affectées. 🏥 Incident MyDr (contexte) Attaque révélée en août 2026, impliquant le vol de 2,5 téraoctets de données. Environ 19 millions de Polonais touchés (près de la moitié de la population). Les numéros PESEL ont également été compromis. Plus de 50 plaintes et 2 000 notifications reçues par l’autorité de protection des données depuis le 17 septembre. 🕵️ Attribution Les chercheurs de la firme polonaise Zaufana Trzecia Strona (blog du 24 septembre 2026) attribuent les deux attaques (Medyc et MyDr) à un acteur se désignant lui-même “fingerprint”. Aucune attribution à un État ou acteur étatique n’a été établie pour ces incidents. ⚖️ Réponse institutionnelle Le Bureau central de lutte contre la cybercriminalité polonais mène une enquête englobant les deux incidents. L’Office polonais de protection des données personnelles a ouvert un audit. Le CSiRT CeZ (équipe de réponse aux incidents du secteur e-santé) et le ministère de la Santé ont diffusé des recommandations de sécurité aux fournisseurs de logiciels de santé le 16 septembre 2026. Le vice-Premier ministre Krzysztof Gawkowski a annoncé des conséquences en cas de manquement aux procédures de sécurité. 📌 Type d’article Article de presse spécialisée relatant deux incidents de violation de données dans le secteur de la santé en Pologne, avec des éléments d’analyse forensique et de réponse institutionnelle. ...

🔍 Contexte Publié sur GitHub (sims718718/UnifiedThreatHunting), cet article présente un Unified Threat Hunting Process développé par un Lead Threat Hunter pour construire un programme de threat hunting structuré et reproductible à partir de zéro. 🏗️ Structure du processus Le processus se décompose en 9 étapes séquentielles : Step 0 : Environment Context (profil SIEM, EDR, type d’environnement, vertical métier, rétention des logs) Step 1 : Triggering Event (CTI, incidents passés, red teaming, TTPs MITRE, exigences métier) Step 2 : Hypothesis Development (hypothèse SMART, méthode des hypothèses concurrentes de Heuer) Step 3 : Initial Assessment (sources internes/externes, couverture de détection existante) Step 4 : Feasibility Assessment (décision GO / NO-GO / CONDITIONAL) Step 5 : Define Scope & Objectives Step 6 : Formalize Hunt Plan (Epics/Stories/Tasks dans Jira) Step 7 : Execute Hunt Step 8 : Document Outcomes & Report & Iterate 📚 Frameworks sources Le processus est une synthèse explicite de : ...

🔍 Contexte Publié le 2 octobre 2026 sur Dark Reading par Nate Nelson, cet article relaie un rapport exclusif de Bay Area Labs (fondé par James Arnott) concernant une vulnérabilité critique découverte dans SConnect, un middleware d’authentification matérielle édité par le groupe Thales. 🎯 Produit concerné SConnect est une extension de navigateur (Chrome, Edge, App Store Apple) comptant plus d’1 million d’utilisateurs. Elle est utilisée pour l’authentification à : Le système bancaire mondial SWIFT (via les tokens USB 3SKey) Le portail d’identité nationale du Qatar (Tawtheeq) L’agence fiscale suédoise Skatteverket Divers portails bancaires et d’assurance 🐛 Détail technique de la vulnérabilité La vulnérabilité CVE-2026-18397 (CVSS 4.0 : 9.4/10 – critique) repose sur deux failles combinées : ...