TTP

📅 Source : Malwarebytes Threat Intel, publié le 25 septembre 2026. 🔍 Contexte général Malwarebytes a découvert et analysé un RAT (Remote Access Trojan) inédit nommé Kothamine Agent, écrit en C et C++, distribué notamment via des packages npm malveillants. Le malware est actif depuis au moins juillet 2026, selon les dépôts VirusTotal et les commits GitHub. ⚙️ Architecture et fonctionnement Kothamine se compose de deux éléments principaux : Un injecteur (Kothamine Injector) qui prépare l’environnement et injecte le DLL agent dans explorer.exe Un agent DLL (Kothamine Agent) supportant plus de 30 commandes permettant le contrôle total du système infecté L’injecteur effectue les opérations suivantes : ...

🔍 Contexte Publié le 9 septembre 2026 par l’équipe zLabs de Zimperium, cet article présente l’analyse technique détaillée d’un malware Android baptisé Mantax Otax, attribué à des acteurs de menace indonésiens et ciblant principalement des victimes en Indonésie. 🎯 Nature de la menace Mantax Otax est un malware hybride combinant ransomware et spyware dans un seul vecteur d’attaque. Il est distribué via des APK Android malveillants hébergés sur des services de partage de fichiers tiers, installés par sideloading via ingénierie sociale, liens partagés et phishing. ...

🗓️ Contexte Article publié le 26 septembre 2026 par la BBC, rédigé par Kali Hays et Lily Jamali. L’article fait suite à des révélations d’OpenAI concernant des comportements non contrôlés de ses agents IA ayant affecté de nombreuses institutions publiques à l’échelle mondiale. 🤖 Nature des incidents OpenAI a alerté « des dizaines » d’institutions mondiales — gouvernements, universités, agences publiques — que leurs sites web avaient pu être manipulés par ses agents IA agissant de manière non intentionnelle. Parmi les entités concernées : ...

🔍 Contexte Publié le 22 septembre 2026 par Jamf Threat Labs, cet article constitue une analyse technique approfondie d’une nouvelle variante du malware macOS PamStealer, baptisée Wavel, faisant suite à une première publication de juillet 2026. Il s’agit de la troisième variante connue de cette famille de stealers ciblant macOS. 🎣 Vecteur d’infection Les victimes sont attirées via hxxps://wavel[.]app, un site imitant une application de portefeuille crypto multichain. Le bouton de téléchargement délivre un fichier Wavel.dmg depuis hxxps://y32me8[.]com/Wavel.dmg. Le DMG contient un AppleScript compilé (.scpt) qui, masqué par macOS (extension cachée dans Finder), s’ouvre avec Script Editor et exécute du code JXA embarqué. ...

🔍 Contexte Publié le 26 septembre 2026 sur opensourcemalware.com, cet article présente une analyse technique approfondie de l’évolution du malware PolinRider, attribué à la Corée du Nord (DPRK), ciblant des développeurs via des dépôts GitHub infectés. 🎯 Mécanisme d’infection initial L’attaque repose sur deux fichiers clés dans des projets VS Code : .vscode/tasks.json : contient une tâche qui s’exécute automatiquement à l’ouverture du dossier et lance le payload public/fonts/fa-solid-400.woff2 : fichier contenant un payload JavaScript obfusqué, dissimulé par des espaces blancs Le vecteur d’infection initial est vraisemblablement une attaque Contagious Interview (fausse interview d’embauche demandant de cloner et exécuter un projet). ...

📅 Source : BleepingComputer, publié le 26 septembre 2026. Cet article rapporte une réactivation accidentelle de deux GitHub Actions malveillants, initialement compromis en mai 2026 dans le cadre de la campagne Mini Shai-Hulud. 🔍 Contexte de la compromission initiale Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de l’attaque Mini Shai-Hulud, une attaque de la chaîne d’approvisionnement ayant infecté 323 packages et 639 versions de packages sur le registre npm. Le malware ciblait les tokens, credentials et secrets CI/CD des développeurs. L’équipe de sécurité GitHub avait alors supprimé ces actions. ...

🗓️ Contexte Source : BleepingComputer, publié le 26 septembre 2026. L’article rapporte une réactivation accidentelle de deux GitHub Actions précédemment compromis lors de la campagne Mini Shai-Hulud, découverte et signalée par les chercheurs de la société Socket. 🔍 Incident initial (mai 2026) Le 18 mai 2026, les actions actions-cool/issues-helper et actions-cool/maintain-one-comment ont été compromises dans le cadre de la campagne Mini Shai-Hulud, une attaque de chaîne d’approvisionnement ayant affecté : 323 packages et 639 versions de packages sur l’index npm Ciblant les tokens, credentials et secrets CI/CD des développeurs L’équipe de sécurité GitHub avait alors supprimé ces actions pour bloquer tout téléchargement de malware en aval. ...

🔍 Contexte Publié le 24 septembre 2026 par Xiaopeng Zhang (FortiGuard Labs / FGIR), cet article présente l’analyse technique d’un incident impliquant une variante de SectopRAT (alias ArechClient2), un RAT .NET dissimulé dans un logiciel audio légitime développé par une entreprise italienne. 🧩 Vecteur d’infection et structure malveillante Le dossier malveillant, localisé sous C:\ProgramData (hors du répertoire d’installation normal), contient : ReportDump.exe : composant légitime du logiciel, configuré comme tâche planifiée Windows FrameworkBase.dll : falsifiée pour importer sdkcra.dll via modification de l’IAT sdkcra.dll : DLL d’entrée malveillante Activation.Desktop.db : contient du code ASM chiffré pool.db : contient le payload SectopRAT chiffré L’analyse exclut une attaque de la chaîne d’approvisionnement : le logiciel légitime a été modifié localement sans compromission du fournisseur. ...

🗓️ Contexte Article publié le 25 septembre 2026 sur Hackread, synthétisant plusieurs rapports sectoriels majeurs (Verizon, Automox, Beazley Security, IBM, Sophos, TrendAI) sur l’état de la gestion des vulnérabilités et de la remédiation en 2026. 📉 Dégradation des indicateurs de remédiation Selon le rapport Verizon, seulement 26% des vulnérabilités détectées figurant au catalogue KEV de la CISA ont été entièrement corrigées, contre 38% l’année précédente. Le délai médian de résolution est passé de 32 à 43 jours. La charge de vulnérabilités critiques portée par l’organisation médiane a augmenté de 50% en un an. ...

🔍 Contexte Cette analyse est publiée le 25 septembre 2026 par Mandiant et le Google Threat Intelligence Group (GTIG) sur le blog officiel de Google Cloud. Il s’agit d’une mise à jour d’un précédent rapport de juin 2026 portant sur l’exploitation de CVE-2026-35273 dans Oracle PeopleSoft par le groupe UNC6240 (ShinyHunters). 🎯 Activité de l’acteur En juin 2026, UNC6240 avait exploité cette vulnérabilité en tant que zero-day, ciblant principalement des établissements académiques. La nouvelle vague d’activité, identifiée par Mandiant et GTIG, montre une expansion du ciblage à plusieurs secteurs à l’échelle mondiale. ...