TTP

🔍 Contexte En mars 2026, l’équipe Threat Response Unit (TRU) d’eSentire a détecté EtherRAT dans l’environnement d’un client du secteur Retail. Ce backdoor Node.js est lié par Sysdig à un groupe APT nord-coréen via des recoupements avec les TTPs de la campagne “Contagious Interview”. 🎯 Vecteur d’accès initial L’accès initial a été réalisé via ClickFix, exploitant une technique d’exécution indirecte de commandes : pcalua.exe (LOLBin) est utilisé pour exécuter mshta.exe Récupération d’un script HTA malveillant “shep.hta” depuis le site compromis www-flow-submission-management.shepherdsestates.uk Obfuscation de la ligne de commande via le caractère ^ Dans d’autres incidents, TRU observe principalement des arnaques IT Support via Microsoft Teams suivies de l’utilisation de QuickAssist. ...

🔍 Contexte Source : TechCrunch, publié le 23 mars 2026. Des chercheurs en cybersécurité ont signalé la publication publique sur GitHub d’un kit d’exploit baptisé “DarkSword”, ciblant les utilisateurs d’iPhone fonctionnant sous des versions obsolètes d’iOS. 💣 Nature de la menace Le kit d’exploit DarkSword a été rendu publiquement accessible, ce qui signifie que des hackers et cybercriminels peuvent désormais l’utiliser librement pour compromettre des appareils Apple vulnérables. L’objectif déclaré est le déploiement de spywares sur les appareils ciblés. ...

🏦 Contexte Cet incident est rapporté via un dépôt 8-K auprès des régulateurs, publié le 20 mars 2026, concernant Heritage Financial Corporation, une institution bancaire américaine. L’incident a été détecté le 2 mars 2026. 🔍 Nature de l’incident L’entreprise a identifié un accès non autorisé à un serveur de partage de fichiers interne utilisé par ses employés, accompagné d’une exfiltration de fichiers susceptibles de contenir des informations personnelles. 🛡️ Réponse à l’incident Suite à la détection, les actions suivantes ont été engagées : ...

🏢 Contexte Source : Netzwoche.ch, publié le 25 mars 2026. L’entreprise d’ingénierie INP Schweiz, dont le siège est à Turgi (canton d’Argovie, Suisse), a communiqué publiquement sur un cyberincident survenu dans la nuit du 25 au 26 février 2026. 🔍 Déroulement de l’incident L’incident a été détecté le matin du 26 février 2026. En réponse immédiate, les systèmes ont été déconnectés du réseau à titre préventif. La restauration a été effectuée en collaboration avec des partenaires externes en sécurité informatique. Depuis le 28 février 2026, l’entreprise est de nouveau pleinement opérationnelle. L’incident n’a pas eu d’impact significatif sur les activités opérationnelles. 📤 Exfiltration de données Selon l’état actuel des connaissances, des données ont été exfiltrées lors de l’attaque. L’entreprise précise cependant que ces données ne comprennent pas de données sensibles clients, financières ou de ressources humaines. Un usage abusif des informations dérobées ne peut toutefois pas être exclu. ...

Violation de données chez Kaplan : 1,4 million de personnes touchées, SSN et permis de conduire exposés Source : The Record (Recorded Future News) — Date : 24 mars 2026 🧩 Contexte Kaplan, société américaine de services éducatifs (préparation aux examens SAT, ACT, GMAT, LSAT, MCAT), a notifié les régulateurs de plusieurs États américains d’une violation de données survenue à l’automne 2025. Le nombre de personnes affectées, initialement estimé à 230 941, a été révisé à la hausse à 1,4 million le 24 mars 2026 dans la notification transmise à l’Oregon. ...

🎯 Contexte Publié le 26 mars 2026 par SecurityWeek, cet article rapporte une revendication du groupe d’extorsion Lapsus$ concernant une intrusion chez AstraZeneca, géant pharmaceutique mondial. L’information est relayée par la firme de cybersécurité SocRadar. 🔓 Nature de l’incident Lapsus$ affirme avoir exfiltré plusieurs catégories de données sensibles appartenant à AstraZeneca : Code source applicatif Java : controllers, repositories, services, schedulers, fichiers de configuration, ressources Spring Boot Packages Angular et Python Informations d’infrastructure cloud : AWS, Azure, Terraform Credentials et secrets divers Informations GitHub Enterprise : rôles, détails de comptes utilisateurs Adresses email corporatives Données employés Chemins de projet liés à des assets de développement interne 🏗️ Infrastructure et technologies exposées Les données revendiquées couvrent des environnements multi-cloud (AWS, Azure) et des outils d’infrastructure-as-code (Terraform), ainsi que des dépôts de code internes, ce qui représente un risque significatif pour la chaîne de développement logiciel d’AstraZeneca. ...

Exploitation massive de PolyShell : 56% des boutiques Magento vulnérables ciblées Source : BleepingComputer / Sansec — Date : Mars 2026 Type : annonce d’incident Pays/Zone : Global Tags : Magento Adobe Commerce PolyShell skimmer WebRTC RCE XSS eCommerce 🧩 Contexte Une vulnérabilité critique baptisée PolyShell affecte Magento Open Source v2 et Adobe Commerce. Deux jours après sa divulgation publique, une exploitation de masse a débuté le 19 mars 2026. La société Sansec rapporte que 56,7% de l’ensemble des boutiques vulnérables ont déjà été ciblées. ...

🔍 Contexte Publié le 17 mars 2026 par Sansec (sansec.io), cet article présente une analyse technique détaillée d’une vulnérabilité critique baptisée PolyShell, affectant Magento Open Source et Adobe Commerce dans toutes leurs versions de production actuelles. 🚨 Vulnérabilité La faille réside dans l’API REST de Magento, au niveau du traitement des options de panier (cart item custom options). Trois contrôles critiques sont absents : Aucune validation de l’ID d’option soumis Aucune vérification du type d’option (file) Aucune restriction sur les extensions de fichier (.php, .phtml, .phar autorisées) La seule validation présente (getimagesizefromstring) est trivialement contournable via des fichiers polyglots (images GIF/PNG contenant du code PHP exécutable). ...

🌐 Contexte Source : Cyble (cyble.com), publié le 26 mars 2026. Ce rapport couvre la période juillet 2024 – juin 2025 et analyse la menace ransomware pesant sur le secteur de l’énergie et des utilities à l’échelle mondiale. 📊 Chiffres clés Sur la période analysée, le secteur énergétique a enregistré : 187 attaques ransomware confirmées 57 événements de fuite ou violation de données 37 incidents de vente d’accès réseau compromis sur des forums criminels Plus de 39 000 posts hacktivistes ciblant les infrastructures énergétiques 🎯 Groupes ransomware les plus actifs RansomHub : 24 incidents (12,8 %) Akira : 20 incidents (10,7 %) Play : 18 incidents (9,6 %) Qilin et Hunters/Lynx complètent le top 5, responsables collectivement de près de 50 % des incidents 🗺️ Distribution géographique L’Amérique du Nord concentre plus d’un tiers des attaques ransomware. L’Asie et l’Europe absorbent également des parts significatives des ventes d’accès compromis et des violations de données. ...

🔍 Contexte Source : Have I Been Pwned (HIBP), publié le 26 mars 2026. Sound Radix, entreprise spécialisée dans les outils de production audio, a auto-déclaré une violation de données auprès de HIBP. 📋 Détails de l’incident L’incident a été attribué à un accès non autorisé à une plateforme de support client. Les données exposées concernent les utilisateurs ayant interagi avec l’équipe de support. Données compromises : 📧 293 000 adresses e-mail uniques 👤 Noms des utilisateurs ⚠️ Possibilité d’exposition de mots de passe hachés 🛡️ Périmètre de l’incident Sound Radix a précisé qu’il n’existe aucune preuve d’accès à la base de données utilisateurs principale. Aucune donnée financière ou bancaire n’a été compromise. ...