TTP

🗓️ Contexte Publié le 17 septembre 2026 sur le blog officiel de Rust (rust-lang.org), cet article émane de l’équipe crates.io et du groupe de travail sécurité. Il alerte sur une campagne active ciblant des membres prominents de la communauté Rust et des propriétaires de crates populaires. 🎯 Nature de l’attaque Les attaquants utilisent des appels vidéo frauduleux comme vecteur d’infection, en se présentant sous des prétextes légitimes (offre d’emploi, projet, opportunité contractuelle). Deux techniques sont employées : ...

🔍 Contexte Analyse publiée par Checkmarx Zero le 17 septembre 2026, portant sur une campagne de supply chain npm active ciblant les développeurs JavaScript via un paquet malveillant nommé indexed-btree, qui imite le paquet légitime sorted-btree. 🎯 Technique d’attaque principale Contrairement aux attaques classiques, ce paquet n’utilise aucun script preinstall/postinstall. Le code malveillant est dissimulé directement dans la méthode prototype BTree.prototype.set, déclenchée lors de l’utilisation normale de la bibliothèque. Cette approche contourne les restrictions introduites par npm v12 sur les lifecycle scripts. ...

🔍 Contexte Analyse publiée le 18 septembre 2026 par K7 Computing Labs (https://labs.k7computing.com), suite à l’investigation d’un système présentant des alertes fréquentes liées à des exécutions PowerShell. L’analyse a révélé une chaîne d’infection multi-étapes reposant massivement sur l’obfuscation, le stockage de payloads dans le registre, la livraison covert de données, des mécanismes de persistance, la neutralisation des contrôles de sécurité et l’exécution en mémoire. 🧩 Phase 1 : Exécution PowerShell via le registre et livraison PNG Le vecteur initial est un script PowerShell (vstdfehze.ps1) exécuté avec -executionPolicy Bypass qui récupère dynamiquement un payload encodé depuis la clé de registre HKLM:\Software\uf42a9660377\vstdfehzr. Le script : ...

🔍 Contexte Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix. 🎯 Vecteur d’infection et chaîne d’exécution L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI : ...

🔍 Contexte Publié le 19/09/2026 sur GitHub (S3cur3Th1sSh1t/claudemessaging), ce dépôt de recherche documente en détail le protocole de messagerie inter-sessions de Claude Code, l’outil d’IA d’Anthropic. Il cartographie les quatre couches de défense du système, identifie plusieurs observations comportementales et publie un outil offensif nommé ccforge.py. 🏗️ Architecture du système de messagerie Claude Code permet à des sessions sur la même machine de communiquer via : Named pipes Windows : \\<host>\pipe\LOCAL\cc-msg-<hash> Unix sockets Linux/macOS : /run/user/<uid>/cc-socks/<pid>.sock et /tmp/cc-socks-<uid>/<pid>.sock Le modèle de confiance repose sur quatre couches : ...

🔍 Contexte Le 18 septembre 2026, l’équipe de recherche PWN.AI publie une divulgation technique complète d’une chaîne d’exploitation baptisée Click2Shell, affectant WordPress Core dans toutes les versions antérieures à 7.1.1. La vulnérabilité a été signalée le 22 août 2026 et corrigée le 17 septembre 2026 dans la version 7.1.1. 🧩 Mécanisme de la vulnérabilité principale (WordPress Core) Le fichier wp-admin/js/theme.js utilise la valeur du paramètre theme de l’URL /wp-admin/theme-install.php à deux endroits avec des interprétations divergentes : ...

📰 Source : FrenchBreaches — publié le 18 septembre 2026. L’article rapporte deux incidents de sécurité distincts ayant touché Brevo (anciennement Sendinblue), entreprise française de marketing et CRM basée à Paris. 🔓 Incident principal — 14 septembre 2026 : attaque via clé API Cloudflare Des attaquants ont obtenu une clé API Cloudflare disposant de permissions importantes appartenant à Brevo. Cette clé a été utilisée pour créer un Cloudflare Worker malveillant, permettant de modifier du contenu distribué via le CDN sans toucher directement les serveurs d’origine. L’activité malveillante a duré environ cinq heures et demie. ...

📰 Source : RTL info avec Belga — Date de publication : 17 septembre 2026 La Fédération francophone de Gymnastique (FfG) a confirmé avoir été victime d’une cyberattaque survenue le 14 septembre 2026, entraînant une fuite de données touchant la base de données des adhérents, soit environ 200 000 personnes. 🔓 Vecteur d’accès : Les attaquants sont passés par un ancien serveur de la fédération, laissé accessible et non sécurisé. ...

🔍 Contexte Publié le 17 septembre 2026 par l’Institut national de test pour la cybersécurité (NTC) suisse, ce rapport présente les résultats d’une analyse de sécurité approfondie menée sur environ un an portant sur des installations photovoltaïques répandues en Suisse. 🧪 Périmètre des tests Onze produits numériques de huit fabricants ont été évalués : 7 onduleurs 4 systèmes de gestion de l’énergie ⚠️ Résultats clés Plus de 50 constats identifiés au total 7 constats critiques et 6 constats élevés 5 produits sur 11 présentaient au moins un constat élevé ou critique Pour 4 produits, le NTC a obtenu le contrôle complet de l’appareil 🔓 Schémas de vulnérabilités identifiés Absence d’authentification sur les interfaces de commande locales permettant de modifier la puissance injectée jusqu’à zéro Mots de passe par défaut (lacunes dans l’authentification et le contrôle d’accès) Identifiants de maintenance identiques pour l’ensemble du parc d’appareils Chiffrement absent ou insuffisant des communications via les interfaces locales Interfaces non désactivables ⚡ Risque systémique identifié Le risque principal ne réside pas dans un appareil individuel mais dans la concentration des installations sur les clouds d’un petit nombre de fabricants. Un attaquant compromettant le cloud d’un fabricant pourrait déclencher simultanément la même manipulation sur des milliers d’installations, avec un impact potentiel sur la stabilité du réseau électrique suisse. Les fabricants conservent généralement un accès de maintenance privilégié à l’ensemble de leur parc d’appareils. ...

🎯 Contexte Publié le 17 septembre 2026 par 404 Media, cet article documente une démonstration pratique d’une faille de sécurité dans les systèmes de distribution musicale numérique, permettant à n’importe qui de publier du contenu sur la page officielle d’un artiste sans son consentement. 🔍 Mécanisme de la faille Le journaliste a exploité une faille dans le processus de distribution numérique pour publier un titre généré par IA sur la page Spotify vérifiée du groupe punk brooklynois Lathe of Heaven, ainsi que sur ses pages Apple Music, Tidal et Amazon Music. Le titre Riding High a été créé via le générateur de musique IA Udio, à partir d’un simple prompt textuel. ...