TTP

🔍 Contexte Le 29 juin 2026, watchTowr Labs publie une analyse technique approfondie de CVE-2026-8037, une vulnérabilité de type Remote Code Execution (RCE) pré-authentifiée affectant Progress Kemp LoadMaster, un équilibreur de charge et contrôleur de livraison d’applications (ADC) largement déployé en périphérie des réseaux d’entreprise. 🎯 Produits et versions affectés La vulnérabilité affecte les versions suivantes lorsque l’API est activée : Kemp LoadMaster GA v7.2.63.1 et antérieures Kemp LoadMaster LTSF v7.2.54.17 et antérieures Progress a publié un avis le 4 juin 2026 qualifiant la faille de « Command Injection Remote Code Execution Vulnerability ». ...

📰 Source : MacRumors (reuters.com cité), publié le 29 juin 2026 Contexte Tata Electronics, fabricant indien et partenaire d’assemblage d’Apple, a été victime d’une cyberattaque ayant entraîné le vol et la publication de documents confidentiels Apple sur le dark web. L’incident a été divulgué par Tata Electronics la semaine précédant la publication de l’article. Nature de l’attaque Acteur malveillant identifié : World Leaks (groupe de ransomware/extorsion) Plus de 200 000 fichiers exfiltrés et partagés sur le dark web Les fichiers circulent depuis au moins le 10 juin 2026 Les données volées concernent également Tesla Données compromises Informations sur l’iPhone 18 Pro et l’iPhone 18 Pro Max : liste de fournisseurs, pièces, images des appareils Documents détaillés sur les conceptions et spécifications de composants Emails, journaux d’événements, documents provenant de TSMC et Qualcomm Informations sur des iPhones plus anciens Au moins 6 fichiers listant des centaines de composants iPhone 18 Pro (puces, batterie, caméra) Fichiers portant des filigranes « confidential » Apple et des noms de code internes Images des iPhones lors de tests de chute Liens entre fournisseurs et pièces iPhone (information non divulguée publiquement par Apple) Réponse des parties Tata Electronics : restriction des accès internes aux systèmes sensibles, recrutement d’un consultant mondial pour un audit forensique Apple : exprime sa préoccupation, mène une investigation et collabore avec Tata sur des mesures de sécurité à long terme Reuters indique que l’incident pourrait mettre en danger la relation commerciale Apple-Tata Type d’article Article de presse spécialisée relatant une annonce d’incident de sécurité impliquant une chaîne d’approvisionnement, basé sur des informations Reuters. ...

📄 Source et contexte : Ce document est le rapport annuel « La Sécurité de la Suisse 2026 » publié par le Service de renseignement de la Confédération (SRC), clôturé en mai/juin 2026. Il couvre l’ensemble des menaces pesant sur la Suisse dans les domaines du terrorisme, de l’espionnage, de la prolifération et des infrastructures critiques, avec une dimension cyber significative. 🌐 Environnement stratégique et cybermenaces : Le rapport identifie la Russie comme la menace la plus sérieuse et la plus aiguë pour la sécurité européenne. La Russie a fortement intensifié son conflit hybride en Europe, incluant des cyberattaques, des actes de sabotage physique et des activités d’influence. Des cyberattaques contre des cibles à l’étranger s’effectuent également à travers des infrastructures suisses. La Chine représente également une menace hybride croissante, combinant instruments économiques, technologiques et cyber. ...

🗂️ Contexte Ce document est une notification officielle de violation de données publiée sur le portail de l’Attorney General de Californie (oag.ca.gov), datée du 26 juin 2026. Il s’agit d’une lettre adressée par Nissan Americas à ses anciens et actuels employés, signée par Leon Martinez, Vice-Président et Chief Human Resources Officer de Nissan Americas. 🎯 Nature de l’incident Oracle a informé Nissan qu’un cyber-événement avait compromis son logiciel Oracle PeopleSoft, utilisé pour la gestion des ressources humaines, de la paie et des dossiers du personnel. L’attaque a exploité une vulnérabilité inconnue dans Oracle PeopleSoft et aurait impacté des centaines d’entreprises et institutions. Nissan Americas précise avoir été spécifiquement ciblé dans cet incident. ...

📅 Source : Censys Blog, publié le 26 juin 2026, par Aidan Holland (Senior Security Researcher, Censys ARC). Contexte AsyncRAT est un cheval de Troie d’accès distant (RAT) open-source pour Windows, publié en janvier 2019 par le développeur NYAN-x-CAT sur GitHub. Il constitue la racine d’une famille de malwares ayant engendré environ 40 variants nommés à travers trois générations de forks successifs. Arbre généalogique de la famille La lignée s’organise ainsi : ...

📅 Source et contexte : Article publié le 25 juin 2026 par la Microsoft Defender Security Research Team sur le blog officiel Microsoft Security. Il documente une campagne d’intrusion active depuis avril 2026, non attribuée à un acteur connu, ciblant des organisations du secteur hôtelier en Europe et en Asie. 🎯 Vecteur d’accès initial : La campagne repose sur la distribution d’archives ZIP à thème photo (photo-<random>.zip) contenant des fichiers LNK déguisés en images PNG (IMG-*.png.lnk en Wave 1, PHOTO-*.png.lnk en Wave 2). Les liens vers ces archives sont relayés via des emails de phishing exploitant l’infrastructure Calendly (sous-domaine em1618.calendly.com) et les redirections Google (share.google), une technique qualifiée d’authentication laundering permettant de passer les contrôles SPF, DKIM et DMARC. Les leurres sont rédigés en japonais, danois et néerlandais et exploitent des thèmes liés aux plaintes clients, infestations de punaises de lit, et alertes sanitaires. ...

📰 Contexte Source : UA.NEWS, publié le 26 juin 2026. L’article relate la fermeture annoncée de Telega, une application de messagerie russe non officielle présentée comme un clone de Telegram, dont la fermeture est prévue pour le 1er juillet 2026. 🕵️ Nature de la menace Derrière l’apparence d’une application de messagerie grand public, Telega constituait en réalité un système de surveillance massif conçu par les services de renseignement russes pour exercer un contrôle total sur la vie numérique des citoyens, avec des fuites de données vers le FSB. ...

🔍 Contexte Publié le 24 juin 2026 par Hillel Pinto (XM Cyber), cet article présente une nouvelle technique d’escalade de privilèges macOS permettant à un compte utilisateur standard de désactiver des solutions de sécurité d’entreprise (EDR, MDM) sans droits administrateur, sans exploit noyau et sans déclencher d’alertes. ⚙️ Mécanisme technique L’attaque repose sur une chaîne d’exploitation en plusieurs étapes : Exploitation du cache CDHash noyau : un binaire signé légitime est lancé pour peupler le cache de confiance du noyau, puis la structure du bundle applicatif est modifiée pour injecter un payload NIB (Interface Builder) malveillant. Héritage du contexte de confiance : le code malveillant s’exécute dans l’espace mémoire du composant signé légitime, héritant de ses credentials de confiance noyau, ce qui lui permet de communiquer avec les daemons privilégiés sans authentification. Bridge Objective-C via JXA : pour contourner les limitations d’AppleScript, un bridge multi-étapes est construit : chargement de OSAKit.framework, transition vers JavaScript for Automation (JXA), accès au bridge Objective-C, manipulation de malloc/free, dispatch_block_create, objc_msgSend, et spoofing de structures Block_layout. Méthodes XPC exposées exploitées : runProcessWithCommand:, terminateAppsAndAgents:, ceaseSystemExtensionWithReply: 🎯 Produits impactés CrowdStrike Falcon Sensor : déchargement complet du capteur depuis un compte UID 502, terminaison de la surveillance des processus et de la visibilité réseau. → Détection et prévention ajoutées, bounty payé. Kandji MDM Agent : désactivation permanente via une chaîne XPC en deux phases, suppression des gardes EDR et terminaison de l’extension Endpoint Security Framework (ESF). → CVE-2026-39118 assigné, bounty payé, correctif déployé. 🛠️ Outil associé Le chercheur a développé XPC Hunter, un framework open-source automatisé de découverte des surfaces d’escalade de privilèges XPC sur toutes les applications macOS installées. Sa présentation est prévue à Black Hat US en août 2026. ...

🔍 Contexte Le 16 juin 2026, l’équipe Microsoft Edge Extensions Security a publié une analyse technique détaillée de la campagne StegoAd, un portmanteau de steganography et adware. Active depuis au moins 2021, cette campagne a atteint sa phase la plus sophistiquée entre mars 2024 et avril 2026, impactant environ 2,6 millions d’utilisateurs via 119 extensions malveillantes publiées sur le Microsoft Edge Add-ons Store. 🎯 Nature de la menace StegoAd est une plateforme de monétisation et de vol de credentials opérée par un acteur non nommé utilisant plus de 90 comptes développeurs jetables. Les extensions se font passer pour des outils légitimes (bloqueurs de publicités, VPN, téléchargeurs vidéo, traducteurs) tout en embarquant des charges utiles malveillantes activées après un délai de dormance de 3 à 5,5 jours. ...

🗓️ Contexte Publié le 29 juin 2026 par The Register, cet article rapporte la divulgation publique non coordonnée d’exploits zero-day par un chercheur anonyme se faisant appeler bikini, via un dépôt GitHub nommé exploitarium (depuis supprimé). 🎯 Nature de l’incident Le chercheur a publié du code d’exploitation fonctionnel pour des vulnérabilités zero-day affectant 15 produits logiciels et projets open source, sans notification préalable d’aucun éditeur ni mainteneur. Deux de ces vulnérabilités font l’objet d’une exploitation active au moment de la publication. ...