TTP

🔍 Contexte Source : Google Threat Intelligence Group (GTIG), publié le 15 mai 2026 sur le blog officiel Google Cloud. L’article présente une analyse détaillée d’une campagne d’extorsion active attribuée à UNC6671, un acteur opérant sous la marque BlackFile. 🎯 Acteur et ciblage UNC6671 est actif depuis début 2026 et a ciblé des dizaines d’organisations en Amérique du Nord, Australie et Royaume-Uni. Le GTIG le distingue formellement de ShinyHunters (UNC6240), bien qu’UNC6671 ait usurpé la marque ShinyHunters dans au moins un cas pour renforcer la crédibilité de ses menaces. ...

🏦 Contexte Source : SecurityWeek, publié le 15 mai 2026. American Lending Center (ALC) est un prêteur non bancaire basé en Californie, gérant un portefeuille de 3 milliards de dollars spécialisé dans les prêts aux petites entreprises garantis par le gouvernement américain. 🔓 Incident ALC a détecté une attaque par ransomware en juillet 2025. Une investigation forensique a établi que le threat actor a : Compromis le réseau interne de l’organisation Exécuté une attaque ransomware Accédé à des fichiers contenant des informations personnelles sensibles 📋 Données exposées Les informations potentiellement volées incluent : ...

📰 Source : BleepingComputer — Date de publication : 17 mai 2026 Un chercheur en sécurité connu sous les pseudonymes Chaotic Eclipse ou Nightmare Eclipse a publié un exploit proof-of-concept (PoC) pour une vulnérabilité zero-day Windows baptisée MiniPlasma, permettant une escalade de privilèges jusqu’au niveau SYSTEM sur des systèmes Windows 11 entièrement à jour (incluant les mises à jour Patch Tuesday de mai 2026). 🔍 Détails techniques La faille affecte le driver cldflt.sys (Cloud Filter driver) et plus précisément la routine HsmOsBlockPlaceholderAccess. Elle permet la création de clés de registre arbitraires dans la ruche .DEFAULT sans vérification d’accès appropriée, via une API non documentée CfAbortHydration. Cette vulnérabilité avait été initialement découverte et signalée à Microsoft en septembre 2020 par James Forshaw (Google Project Zero), assignée sous l’identifiant CVE-2020-17103 et supposément corrigée en décembre 2020. Le chercheur affirme que le correctif n’a jamais été réellement appliqué ou a été silencieusement révoqué. ...

🔍 Contexte Publié le 5 mai 2026 par Trend Micro (Numaan Huq et Andre Alves), ce rapport de recherche présente les résultats d’une analyse systématique des serveurs DICOM (Digital Imaging and Communications in Medicine) exposés sur Internet, réalisée entre novembre et décembre 2025 via l’outil de scan Shodan.io. 📊 Périmètre de l’exposition L’analyse a identifié 3 627 serveurs DICOM validés (3 542 adresses IP uniques) accessibles depuis l’internet public, répartis dans plus de 100 pays : ...

📰 Source : 20 Minuten (20min.ch) — Article publié le 17 mai 2026, confirmant une information initialement rapportée par Le Temps. 🎯 Incident : Le vendredi 16 mai 2026, l’opérateur de télécommunications suisse Salt a été victime d’une attaque DDoS (Distributed Denial of Service) ciblant son infrastructure réseau fixe. L’attaque a provoqué une interruption totale des services fixes (Festnetz) à l’échelle nationale suisse. ⏱️ Durée et impact : Durée officielle de l’interruption : environ 40 minutes Pour certains clients, la durée a été plus longue en raison d’une remise en service progressive Le réseau mobile n’a pas été affecté Les services fixes sont restés indisponibles même après la fin de l’attaque 🔧 Réponse de Salt : Selon la porte-parole Ana Biljaka, les équipes techniques ont réagi immédiatement et mis en place des mesures défensives pour limiter l’impact et restaurer le service. L’entreprise indique investir en continu dans la résilience de son réseau. ...

🗓️ Contexte Analyse publiée le 12 mai 2026 par SecurityWeek, basée sur un rapport technique d’Aryaka Threat Research Labs. L’article décrit en détail la campagne malveillante CRPx0, ciblant les systèmes Windows et macOS, avec des capacités Linux en cours de développement. 🎣 Vecteur d’infection initial La campagne repose sur un leurre d’ingénierie sociale : l’offre d’un accès gratuit à OnlyFans. Les victimes téléchargent une archive OnlyfansAccounts.zip contenant : Un fichier raccourci LNK (Onlyfans Accounts.lnk) Un fichier texte apparent (Accounts.txt) affichant de faux identifiants (« 50 working Onlyfans account ») En arrière-plan, le malware s’installe, établit la persistance et contacte son C2 pour collecter des données d’environnement. Il vérifie périodiquement l’existence de mises à jour et s’auto-met à jour. ...

🗓️ Contexte Publié le 16 mai 2026 sur Zero Day (zetter-zeroday.com) par Kim Zetter, cet article s’appuie sur une nouvelle analyse publiée simultanément par la Threat Hunter Team de Symantec et l’Institute for Science and International Security (ISIS), confirmant et approfondissant une découverte initiale de SentinelOne. 🦠 Le malware Fast16 Fast16 est un malware compilé le 30 août 2005, découvert en 2019 par Juan Andres Guerrero-Saade (SentinelOne) après avoir été mentionné dans des outils NSA divulgués par les Shadow Brokers en 2017. Un échantillon avait été uploadé sur VirusTotal en octobre 2017. ...

📰 Source : TechCrunch, publié le 15 mai 2026, par Zack Whittaker. Contexte Le chercheur indépendant en sécurité Anurag Sen a découvert que le système de check-in hôtelier Tabiq, développé par la startup japonaise Reqrea, exposait publiquement des données sensibles de clients. Il a alerté TechCrunch, qui a notifié l’entreprise et le JPCERT (équipe japonaise de coordination en cybersécurité). Nature de l’incident Type d’exposition : Mauvaise configuration d’un bucket Amazon S3 rendu publiquement accessible sans mot de passe Données exposées : passeports, permis de conduire, photos de selfie de vérification d’identité Volume estimé : plus d’1 million de documents clients Période couverte : fichiers datant de début 2020 jusqu’à mai 2026 Accès : tout utilisateur connaissant le nom du bucket (tabiq) pouvait consulter les données via un navigateur web Vecteur de compromission La cause est une misconfiguration : le bucket S3, privé par défaut, a été rendu public. Amazon a pourtant ajouté des avertissements supplémentaires après une série d’incidents similaires, rendant ce type d’erreur difficile à commettre accidentellement. ...

🔍 Contexte Source : The Hacker News, publié le 17 mai 2026. Grafana, éditeur de la plateforme d’observabilité Grafana Cloud, a divulgué publiquement une violation de sécurité impliquant le vol d’un token d’accès à son environnement GitHub. 🎯 Déroulement de l’incident Un token GitHub compromis a permis à un acteur non autorisé d’accéder à l’environnement GitHub de Grafana et de télécharger son code source. Grafana a découvert l’activité « récemment » sans préciser la date exacte ni la durée d’exposition. L’entreprise a immédiatement lancé une analyse forensique, invalidé les identifiants compromis et renforcé ses mesures de sécurité. ...

🗓️ Contexte Source : BBC News, publié le 12 mai 2026. L’article couvre les suites d’une cyberattaque par extorsion contre Instructure, éditeur de la plateforme d’apprentissage en ligne Canvas, découverte le 29 avril 2026 et revendiquée par le groupe Shiny Hunters. 🎯 Nature de l’attaque L’attaque a entraîné la compromission de 3,5 téraoctets de données appartenant à des étudiants et à des établissements d’enseignement. Les hackers ont affiché une note de rançon directement sur les écrans des utilisateurs connectés à Canvas, exigeant un paiement en bitcoin. Shiny Hunters affirme avoir compromis Canvas à trois reprises : une première fois divulguée par Instructure en septembre 2025, une seconde en avril 2026, et la troisième le 29 avril 2026. ...