TTP

🔍 Contexte Publié le 22 septembre 2026 par Sergiu Gatlan sur BleepingComputer, cet article rapporte l’avertissement officiel de D-Link concernant deux vulnérabilités zero-day critiques affectant ses routeurs DIR-822A (modèles legacy dual-band Wi-Fi), pour lesquelles aucun patch n’est disponible au moment de la publication. 🚨 Vulnérabilités identifiées CVE-2026-86296 — Stack-based Buffer Overflow (CVSS max) Composant affecté : serveur DHCP (udhcpcd/serverpacket.c, fonction strcpy) Type : Stack-based buffer overflow via manipulation de paquets DHCP craftés Conditions d’exploitation : sans authentification, sans interaction utilisateur, depuis le réseau local Impact : crash du daemon DHCP ou exécution de code à distance (RCE) PoC public : disponible (publié par le chercheur découvreur) CVE-2026-86510 — Out-of-Bounds Write (critique, en cours d’investigation) Composant affecté : parseur de messages de contrôle L2TP Type : écriture hors limites (out-of-bounds write) Conditions d’exploitation : privilèges basiques requis, dispositifs configurés en L2TP ou L2TPv6 WAN Impact : corruption mémoire arbitraire PoC public : disponible 📋 Contexte de divulgation Les deux vulnérabilités ont été découvertes et rapportées par le même chercheur en sécurité, qui a également publié les PoC avant la disponibilité d’un correctif. D-Link est en cours d’investigation pour CVE-2026-86510 et travaille sur des patches pour les deux failles. ...

🔍 Contexte Publié le 21 septembre 2026 par l’équipe TDR de Sekoia, cet article détaille la découverte et l’analyse technique d’Exvicy, un nouveau framework de distribution de malware de type ClickFix vendu en Malware-as-a-Service (MaaS) sur le forum cybercriminel russophone Exploit.IN. 🧵 Origine de la découverte L’équipe TDR a identifié Exvicy à partir d’une capture d’écran du panneau d’administration partagée sur Exploit.IN par le threat actor @Exvicy. En pivotant sur une paire de nameservers Cloudflare visible dans cette capture (randy.ns.cloudflare.com / stevie.ns.cloudflare.com), les analystes ont identifié 5 domaines enregistrés depuis mi-mai 2026, puis localisé l’infrastructure active de l’opérateur. ...

🔍 Contexte Le 16 septembre 2026, Helpfeel Inc. (siège à Kyoto, Japon) a publié un avis officiel sur son site corporate concernant une violation de données majeure affectant son service de partage d’images Gyazo. L’incident a été détecté le 11 septembre 2026. 💥 Nature de l’attaque Un tiers non identifié a exploité une vulnérabilité sur le serveur d’upload d’images de Gyazo pour obtenir un accès non autorisé aux systèmes et exécuter des commandes arbitraires. L’attaquant a ensuite accédé à la base de données de Gyazo, entraînant l’exfiltration de données utilisateurs et de métadonnées d’images. ...

📅 Source : Huntress Blog — publié le 17 septembre 2026 (https://www.huntress.com/blog/new-settra-ransomware-variant) 🔍 Contexte Settra est un variant ransomware apparu pour la première fois en juin 2026. Selon les rapports publics disponibles, les attaquants exploitent des VPN ou des identifiants compromis pour l’accès initial. Huntress a investigué deux incidents impliquant ce ransomware depuis juillet 2026. ⚙️ Méthodes opérationnelles observées Dans les deux intrusions analysées, un schéma opérationnel très similaire a été relevé : ...

🔍 Contexte Rapport publié le 17 septembre 2026 par la LastPass Threat Intelligence, Mitigation, and Escalation (TIME) Team en partenariat avec Delphos Labs. L’investigation a débuté le 13 août 2026 suite à la détection d’une fausse organisation GitHub usurpant l’identité de LastPass Authenticator. 🎯 Nature de la campagne Campagne de type Malware-as-a-Service (MaaS) utilisant GitHub comme réseau de distribution. Le kit albinofennel[.]com héberge des pages d’impersonation dynamiques pour au moins 40 marques simultanément. La campagne est active depuis plusieurs mois et présente des chevauchements avec la campagne BoryptGrab documentée par Trend Micro en mars 2026. ...

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...

📰 Source : BleepingComputer — Date : 22 septembre 2026 Le chercheur en sécurité Abdelhamid Naceri (alias Nightmare Eclipse) a publié un nouveau proof-of-concept (PoC) zero-day nommé BigDiskBuster, ciblant Microsoft Defender. Cet exploit empêche l’antivirus de recevoir ses mises à jour de signatures et de plateforme, laissant les systèmes protégés par une version figée de Defender tant que l’outil tourne en arrière-plan. 🔍 Caractéristiques techniques : Fonctionne sur toutes les versions Windows supportées Doit s’exécuter en arrière-plan pour maintenir le blocage Similaire à UnDefend, un précédent zero-day publié en avril 2026 permettant à des utilisateurs standard de bloquer les mises à jour de définitions Le PoC est décrit comme « un peu buggé » et nécessite une réécriture 📋 Contexte de la campagne de divulgation : Depuis avril 2026, Naceri a publié une dizaine de zero-days dans le cadre d’un différend avec Microsoft suite à son licenciement allégué en mars 2025. Les exploits publiés incluent : ...

🗞️ Contexte Source : Ars Technica, publié le 22 septembre 2026, par Dan Goodin. L’article rapporte la découverte et la divulgation publique d’une vulnérabilité zero-day dans Muse, le nouvel assistant IA de Meta, par le chercheur en sécurité macOS Patrick Wardle (fondateur de l’Objective-See Foundation). 🔍 Description de la vulnérabilité Muse est un assistant IA macOS disposant d’accès extraordinairement privilégiés : WhatsApp, email, calendrier, réseaux sociaux, microphone, caméra, localisation, écriture sur disque. Le zero-day repose sur deux décisions de conception défaillantes : ...

🛠️ Contexte Publié le 17/09/2026 sur GitHub (https://github.com/crypt0p3g/adnullenum), adnullenum est un outil open-source de reconnaissance Active Directory conçu pour fonctionner en session nulle (null session), c’est-à-dire sans aucune accréditation. Il s’appuie sur les named pipes \samr et \lsarpc accessibles via SMB sur le port 445. 🔍 Fonctionnalités principales L’outil effectue en une seule passe les opérations suivantes : Énumération des utilisateurs, ordinateurs et groupes du domaine (avec séparation des comptes machine $) Détail complet par utilisateur : description, groupes, timestamps de mot de passe et de connexion, flags de compte, restrictions de connexion Politique de domaine et de mots de passe/verrouillage Informations LSA/DNS : nom DNS, forêt, GUID de domaine, SID, relations d’approbation (trusts) RID cycling via SAMR ou LSA (fallback optionnel avec --lsa-fallback) pour contourner les restrictions d’énumération directe Flagging automatique des comptes intéressants : AS-REP roastable, mot de passe non requis, délégation non contrainte, mot de passe dans la description, etc. 📁 Sorties structurées Chaque exécution génère un dossier horodaté contenant : ...

🌐 Contexte Publié le 18 septembre 2026 par un consortium d’agences gouvernementales (NPA, NCO Japon, FBI, DC3 USA, ASD/ACSC Australie, BND et BfV Allemagne), cet advisory conjoint expose les activités du groupe nord-coréen WaterPlum, également connu sous le nom de Contagious Interview. 🎯 Acteur et attribution WaterPlum est attribué à la Corée du Nord et opère sous le 313e Bureau général du Département de l’industrie des munitions, subordonné au Comité central du Parti des travailleurs de Corée. Le groupe combine des opérations de cyberattaques ciblant les professionnels IT et des activités de travailleurs IT nord-coréens infiltrant des entreprises légitimes. ...