TTP

🔍 Contexte Analyse technique publiée le 21 octobre 2026 sur le blog 0x0v1 par le chercheur Ovi, portant sur uCreator (nom interne vendeur : YingGai), une plateforme commerciale de surveillance Android de type « mass control » (群控), active depuis au moins 2014 et toujours en développement actif en 2026. 🧩 Architecture de la plateforme La plateforme est un framework productisé composé de plusieurs éléments : Un moteur VirtualApp/LSPatch/Pine pour l’injection in-process sans root Une bibliothèque de modules de hook par application cible Un plan de contrôle Redis et HTTP Une ferme de téléphones cloud pour le contrôle d’écran en direct Une console opérateur Windows Un backend Spring Cloud microservices avec Kafka et RocketMQ Les applications ciblées incluent : GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber, MoMo. ...

🛡️ Contexte Cet avis a été publié le 20 octobre 2026 par la CISA (Cybersecurity and Infrastructure Security Agency) sous la référence AA26-293A. Il détaille les activités récentes du groupe ransomware SafePay, actif depuis août 2024. 🌍 Périmètre de ciblage Le groupe SafePay cible des entreprises et infrastructures critiques dans plusieurs régions : Amérique du Nord Amérique du Sud Europe Australie 🔓 Vecteurs d’accès initial Les acteurs SafePay utilisent plusieurs méthodes pour pénétrer les réseaux : ...

📰 Source : Guerre di Rete (Substack), article de Marco Schiaffino publié le 25 octobre 2026. L’article dresse un panorama des attaques cyber ciblant les systèmes Operational Technology (OT) et leurs conséquences physiques réelles. 🧊 Incident France – octobre 2026 : Dans la nuit du 11 au 12 octobre 2026, des attaquants ont pris le contrôle à distance des systèmes de régulation frigorifique de centaines de supermarchés français. En activant et prolongeant les cycles de dégivrage jusqu’à 8 heures, ils ont provoqué des températures atteignant 50°C, entraînant la destruction de produits frais et surgelés pour des millions d’euros de dommages. Les systèmes étaient directement accessibles via Internet avec une protection insuffisante. ...

🔍 Contexte Publié le 25 octobre 2026 par Wiz Research, cet article documente la campagne Gheist, active depuis le 15 septembre 2026, qui abuse de tokens GitHub volés pour exfiltrer des secrets de dépôts à grande échelle. ⚙️ Mécanisme d’attaque Pour chaque dépôt accessible via un token compromis, l’outil : Crée une branche nommée ci-sync- suivi de 6 caractères aléatoires Commit un fichier .github/workflows/sync-check.yml avec le message ci: sync config Le workflow déclenché encode les secrets en base32 pour contourner le masquage natif de GitHub Télécharge les logs via l’API GitHub puis supprime l’exécution en quelques secondes Utilise le user agent gheist pour ses requêtes API L’exfiltration transite exclusivement par l’API GitHub, sans domaine C2 ni connexion sortante détectable. ...

🔍 Contexte Publié le 18 octobre 2026 sur le blog Objective-See par Patrick Wardle, cet article présente l’analyse technique complète de Heartbreaker, un ransomware macOS précédemment inconnu et non détecté, découvert sur VirusTotal par Megan Carney. L’échantillon avait été soumis en mai 2025 et reste, au moment de la publication, non détecté par tous les moteurs antivirus de VirusTotal. 🎯 Caractéristiques du malware Type : Ransomware métamorphique ciblant macOS (ARM64 / Apple Silicon) Langage : Rust, signé ad hoc, binaire Mach-O 64 bits Cible : Fichiers dans le répertoire ~/Downloads de l’utilisateur Extension ajoutée : .heartbreaker Chiffrement : AES-256-GCM avec une clé statique codée en dur (g_w\`:D2Xq6Yxez-5{#3mfd=VcB.Qhsub`), identique pour toutes les victimes Format des fichiers chiffrés : nonce 12 octets || ciphertext || tag GCM 16 octets Note de rançon : README.txt déposé sur le Bureau, demande de 0,003 BTC 🔄 Mécanisme métamorphique Heartbreaker embarque son propre code source Rust (main.rs, build.rs) via la macro include_str!. À chaque exécution, il : ...

🕵️ Contexte Rapport publié le 21 octobre 2026 par Cryptika (source originale : CyberSecurityNews.com), basé sur une analyse de la Threat Hunter Team de Symantec. L’article documente une campagne d’espionnage cyber attribuée à APT28 (alias Fancy Bear, Forest Blizzard, Swallowtail selon Symantec) ciblant des organisations de défense dans deux pays membres de l’OTAN non nommés. 🎯 Cibles identifiées Un chantier naval militaire dans un premier pays OTAN Une agence de forces de l’ordre dans un second pays OTAN Un fabricant de moteurs d’avions militaires dans ce même second pays OTAN 🔓 Vecteur d’accès initial L’intrusion au sein du chantier naval a débuté le 24 juillet 2026 par l’ouverture d’un document Word malveillant depuis le cache de pièces jointes Outlook. Une macro cachée a écrit plusieurs fichiers dans le profil utilisateur et déclenché la chaîne d’infection. ...

🔍 Contexte Source : Socket Research Team, publiée le 21 octobre 2026. Il s’agit d’une analyse technique détaillée d’une attaque supply chain ciblant le package PyPI LiteLLM, un proxy LLM recevant environ 23 millions de téléchargements hebdomadaires. 🎯 Nature de l’attaque La version LiteLLM 1.107.0 a été publiée avec des fichiers Python malveillants intégrés dans les wheels PyPI et les images Docker. Le scanner IA de Socket a détecté les sept wheels distribués sept minutes après leur publication (11:46:30 UTC le 21 octobre 2026). ...

📰 Source : Malwarebytes Threat Intel, publié le 21 octobre 2026, par Stefan Dasic (Sr. Malware Research Engineer, ThreatLabs). 🎯 Contexte : Quelques semaines après l’annonce officielle du partenariat Amazon/YouTube Shopping Affiliate Program (27 août), une vague de sites frauduleux a été détectée, exploitant cet événement réel pour leurrer les créateurs YouTube avec une fausse offre publicitaire « invitation-only » d’Amazon Music. 🕵️ Mécanisme d’attaque : Le site principal amazonyt[.]com se présente comme le « Amazon Artists Music — Creator Portal » Il affiche les vraies statistiques de la chaîne YouTube de la victime en interrogeant l’API publique YouTube (20 clés API Google intégrées avec rotation automatique) Un calculateur de gains fonctionnel est proposé pour renforcer la crédibilité La victime est invitée à « vérifier » sa chaîne via un bouton « Continue with Google » factice Ce bouton charge un iframe transparent depuis un second domaine : youtubechannelverification[.]com L’adresse visible dans la barre du navigateur reste amazonyt[.]com, masquant le domaine de collecte Le formulaire de connexion collecte email, mot de passe et codes MFA, transmis au serveur des attaquants En cas de succès, la victime est redirigée vers une page « offre débloquée » pour retarder toute suspicion 🌍 Ciblage : Le site est disponible en 9 langues (anglais, espagnol, indonésien, portugais, russe, ourdou, arabe, hindi, thaï), indiquant un ciblage international de créateurs de contenu. ...

📰 Source : Risky Business (Tom Uren), publié le 22 octobre 2026. Cet article de newsletter hebdomadaire couvre plusieurs incidents et tendances majeures en cybersécurité. 🕵️ Incident d’espionnage chez OpenAI Un employé d’OpenAI de nationalité saoudienne, Abdulrahman Alfozan, a été arrêté et inculpé par le Département de Justice américain (DoJ) pour avoir installé un dispositif d’écoute clandestin dans une salle de conférence du bureau de San Francisco d’OpenAI. Le dispositif utilisé était une carte microcontrôleur SEEED (valeur : 13,90 USD), dotée d’une caméra, d’un microphone et d’une connectivité Wi-Fi, dissimulée dans du papier toilette et branchée sur le port USB d’un téléviseur. Le dispositif aurait été modifié pour chiffrer les données afin d’entraver l’analyse forensique. ...

🔐 Contexte Le 21 octobre 2026, GitLab a publié des versions correctives critiques pour GitLab Community Edition (CE) et Enterprise Edition (EE) : 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 et 18.11.13. Ces versions corrigent 12 vulnérabilités de sécurité dont une critique de score CVSS 10.0. 🚨 Vulnérabilité critique : CVE-2026-110264 (CVSS 10.0) Integer Overflow dans le compilateur de Regular Expression (Onigmo) permettant à un utilisateur non authentifié d’exécuter du code arbitraire sur le serveur GitLab via une expression régulière spécialement forgée. ...