TTP

🔍 Contexte Rapport publié le 22 septembre 2026 par Gambit Security (Eyal Sela, Director of Threat Intelligence). L’équipe a récupéré le serveur de staging de l’opérateur et reconstruit la campagne. L’activité remonte à juillet 2026 et est toujours en cours au moment de la publication. 🎯 Description de la campagne Un acteur financièrement motivé exploite trois harnesses IA open source (Strix, Cairn, Hermes) pour attaquer des centaines de retailers en ligne de manière quasi-autonome. Entre le 10 et le 15 septembre 2026, 105 projets d’attaque ont été lancés et au moins 27 entreprises compromises. Le coût marginal par cible est de 25,46 $ en moyenne (de 3,13 $ à 79,31 $). ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

🔍 Contexte Source : AhnLab ASEC, publié le 17 septembre 2026. L’article documente la reprise active d’une campagne de proxyjacking menée par le groupe Larva-25012, actif depuis au moins 2025, ciblant principalement des systèmes en Corée du Sud. 🎯 Nature de l’attaque Une attaque de proxyjacking consiste à installer discrètement un Proxyware sur un système compromis afin de partager sa bande passante internet avec des tiers, générant des revenus pour l’acteur malveillant — mécanisme analogue au cryptojacking mais exploitant la bande passante plutôt que le CPU. ...

🗓️ Contexte Source : Microsoft On the Issues — Publication du 22 septembre 2026, par Steven Masada, Directeur juridique adjoint et Directeur général de la Digital Crimes Unit (DCU) de Microsoft. 🧩 Description de la menace EvilTokens est une plateforme cybercriminelle commerciale lancée en février 2026, combinant compromission de comptes, analyse de boîtes mail par IA, sélection de cibles et préparation à la fraude financière dans un service unique. En quelques mois, elle a été liée à plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations à travers le monde. ...

🔍 Contexte Publié le 22 septembre 2026 par Sławomir Rozbicki de CERT Polska, cet article constitue une analyse technique approfondie de la chaîne de vulnérabilités MikroTrick, affectant MikroTik RouterOS. Les patches ont été publiés le 3 septembre 2026 simultanément pour plusieurs branches maintenues : 7.25beta3, 7.24.2, 7.23.4 et 6.49.21. 🐛 Vulnérabilités impliquées CVE-2026-67279 — Transition d’état SSH invalide Le serveur SSH de RouterOS gérait incorrectement un rekey initié pendant la phase d’authentification. À la fin du rekey, le serveur passait inconditionnellement à la gestion des canaux sans avoir envoyé SSH_MSG_USERAUTH_SUCCESS, permettant à un client non authentifié d’ouvrir un canal de session. ...

🔍 Contexte Publié le 22 septembre 2026 par Team Cymru (Scott Fisher), cet article présente les résultats d’une investigation sur une infrastructure de relais massif ciblant les fournisseurs de modèles d’IA frontier (LLM) occidentaux. 🧩 Infrastructure découverte Team Cymru a identifié 10 867 serveurs relais confirmés (dits « transfer stations ») opérant via deux générations de logiciels open source : Claude Relay Service (CRS 1.x) — version dépréciée, 1 353 nœuds actifs sub2api (CRS v2.0) — version active, 9 456 nœuds, publiée sur GitHub par l’utilisateur Wei-Shaw en mandarin simplifié Ces outils permettent de mutualiser des comptes LLM (abonnements ou clés API) derrière une couche de relais, masquant l’IP réelle de l’utilisateur final. Le dépôt sub2api a été forké plus de 8 000 fois et son canal Telegram compte près de 7 000 abonnés. ...

🏛️ Contexte Le 19 septembre 2026, la Ludwig-Maximilians-Universität München (LMU) a publié une notification officielle de violation de données conformément à l’article 34 du RGPD. L’incident a été rendu public via le site institutionnel de l’université. 🎯 Nature de l’attaque Un accès non autorisé a été obtenu à un système informatique de la LMU contenant des données maîtres liées aux immatriculations étudiantes. L’attaquant aurait vraisemblablement exfiltré les données, bien qu’aucune modification ou manipulation des données n’ait été constatée. Les données restent disponibles côté LMU. ...

🔍 Contexte Publié le 21 septembre 2026 par PolySwarm (The Hivemind), cet article s’appuie sur des recherches de Proofpoint pour documenter l’émergence et la diffusion rapide de BlueMoon, un nouvel exploit kit d’espionnage observé pour la première fois fin août 2026. 🧰 Description de BlueMoon BlueMoon est un exploit kit chaînant trois vulnérabilités pour compromettre des systèmes Windows via le navigateur : CVE-2026-85046 : type-confusion dans le moteur V8 de Chromium (exploitation navigateur) CVE-2026-87491 : out-of-bounds write dans V8 (sandbox escape) CVE-2026-85880 : élévation de privilèges locale dans le noyau Windows (LPE) Les deux vulnérabilités V8 étaient des patch-gap zero-days : les correctifs existaient dans le code source Chromium upstream mais n’avaient pas encore été intégrés aux versions stables. CVE-2026-85046 a créé une fenêtre d’exploitation de près de quatre semaines. ...

🔍 Contexte Publié le 21 septembre 2026 par JFrog Security Research, cet article présente l’analyse complète d’une campagne de supply-chain npm active depuis mars 2026, baptisée « Equation of Compromise ». La campagne regroupe plusieurs incidents signalés séparément par d’autres vendeurs et cible principalement les développeurs quantitatifs et DeFi. 🎯 Mécanisme d’infection Le vecteur initial est un package npm malveillant (mathsbase) copiant la bibliothèque légitime mathjs. Le package embarque : lib/cjs/utils/event.js : loader AES-256-GCM lib/cjs/utils/graph.js : orchestrateur (stage 2, base64 chiffré) lib/cjs/utils/fraction.js : agent Slack (stage 3, base64 chiffré) lib/cjs/utils/bignumber/type.js : copie bundlée d’ethers.js v5.7.2 (~1,5 MB) Le déclencheur est cryptographiquement conditionnel : le payload ne se déchiffre que si la victime appelle math.lusolve() avec la matrice de Pascal 3×3 symétrique [[1,1,1],[1,2,3],[1,3,6]]. Le facteur LU de cette matrice sert de mot de passe pour dériver la clé AES via scryptSync. Toute autre matrice échoue à l’authentification GCM sans erreur visible. ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog d’ANY.RUN, cet article présente une analyse technique approfondie de CSuite, une opération de phishing et d’accès distant active de février 2026 au 3 septembre 2026, ciblant principalement des organisations américaines (60% des victimes identifiées) et européennes. 🎯 Description de la menace CSuite est une opération structurée autour d’un modèle fournisseur/affiliés : le fournisseur distribue l’hébergement, les outils d’accès distant et les domaines via des canaux de messagerie privés, chaque affilié gérant son propre endpoint d’exfiltration. ...