TTP

🔍 Contexte Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de REVSTEALER, un infostealer émergent suivi sous la référence interne REF2859. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l’été 2026. 📦 Distribution et vecteur d’attaque REVSTEALER est distribué principalement via ingénierie sociale ciblant les joueurs, notamment : 17 chaînes YouTube compromises promouvant de faux cheats et mod menus via des vidéos générées par IA Domaines malveillants associés : elitecheatsx[.]live et resight-cheats[.]net Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes ~4 700 échantillons identifiés sur VirusTotal via Retrohunt YARA sur un an Majorité des samples packés avec VMProtect ⚙️ Fonctionnalités principales Anti-analyse Système de scoring sandbox (10 vérifications pondérées) : si score ≥ 7, auto-terminaison Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks Exclusion CIS : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d’exceptions personnalisée Watermarking de payload : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer) Collecte de credentials 225 identifiants d’extensions Chromium (wallets crypto, gestionnaires de mots de passe) 51 applications wallet standalone Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA Bypass App-Bound Encryption (ABE) : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz) Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées Plateformes gaming ciblées Battle.net, EA Desktop, Steam, Roblox (via CryptUnprotectData), Minecraft (multiples launchers) Dead drop Polygon (EtherHiding) Chaque build contient une adresse C2 primaire et une adresse de smart contract Polygon En cas d’indisponibilité du C2 primaire : interrogation de jusqu’à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d’un C2 de fallback 🧩 Quatre modules C2 additionnels Module Capacité ProManager Vol de wallets/extensions, overlays de phishing, capture d’input, livraison de payload WinUpdate Remplacement d’adresses crypto dans le clipboard, vol de mnémoniques SoftManager Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré LockAppHost Déploiement XMRig, suspension de concurrents, persistance Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon. ...

📅 Source : Aikido Security (blog.aikido.dev), publié le 7 septembre 2026 par Charlie Eriksen. Contexte Le 19 mai 2026, une attaque de chaîne d’approvisionnement baptisée Shai-Hulud avait compromis des comptes mainteneurs npm pour publier 639 versions malveillantes de packages @antv en l’espace d’une heure. Le payload avait été rapidement analysé et fingerprinted par la communauté de sécurité npm. Réactivation après 111 jours Le 7 septembre 2026, quatre nouveaux packages npm ont été publiés par le même compte npm, portant le hash SHA256 identique (e37e3ddeeaaa9e0c4fdbcb829b4895a6521031c80053fc436625b61e6ee5b1a6) au payload original : ...

🏥 Contexte Source : The Record Media, publié le 9 septembre 2026. Veradigm, anciennement Allscripts, est une société américaine basée à Chicago spécialisée dans les dossiers mémédicaux électroniques, déclarant 594 millions de dollars de revenus en 2024. Elle a notifié les régulateurs d’une violation de données via un dépôt 8-K auprès de la SEC. 🔓 Détails de l’incident Des attaquants ont compromis l’environnement d’un fournisseur tiers de Veradigm et obtenu des identifiants d’accès à une API utilisée par ce fournisseur pour fournir des services au nom des clients de Veradigm. Ces identifiants ont permis de télécharger des copies de données personnelles de patients, incluant dans certains cas des numéros de sécurité sociale. Aucune donnée clinique ou médicale n’a été impliquée. ...

🗓️ Contexte Publié le 5 septembre 2026 sur le blog officiel de Mathspace (mis à jour le 8 septembre 2026), cet article constitue une communication officielle post-incident de la plateforme éducative australienne Mathspace, détaillant les circonstances, l’étendue et les mesures prises à la suite d’une violation de données confirmée le 3 septembre 2026. 🔍 Déroulement de l’incident Des attaquants ont exploité une vulnérabilité critique dans l’installation auto-hébergée de Metabase, un outil de reporting interne utilisé par Mathspace. Cette faille permettait d’obtenir un accès administrateur sans authentification légitime. ...

🔍 Contexte Publié le 13 août 2026 et mis à jour le 4 septembre 2026 sur le blog officiel de Trezor, cet article annonce une violation de données survenue chez ShipMonk, prestataire logistique tiers de Trezor, découverte le 10 août 2026. 📋 Nature de l’incident Un acteur non autorisé a accédé aux systèmes de ShipMonk contenant des données clients de Trezor. L’incident a exposé les informations suivantes : Nom complet Adresse email Numéro de téléphone Adresse de livraison Numéro de commande 👥 Périmètre des victimes Au total, 80 689 clients sont affectés, répartis comme suit : ...

📅 Contexte : Le 8 septembre 2026, Johannes Ullrich (SANS Internet Storm Center) publie l’analyse du Patch Tuesday mensuel de Microsoft, qui établit un nouveau record absolu avec 973 vulnérabilités corrigées, dont 113 classées critiques. Ce volume dépasse largement le précédent record de 664 vulnérabilités fixé en juillet 2026. 🔴 Vulnérabilités exploitées activement : CVE-2026-81963 – Windows Update Stack Elevation of Privilege : CVSS 7.8, sévérité « Important ». Flaw d’improper link resolution avant accès fichier, permettant à un attaquant local authentifié à faibles privilèges d’élever ses droits jusqu’au niveau SYSTEM via un abus de link-following. Affecte Windows 11 et Windows Server 2025 (y compris Server Core). ...

🔬 Contexte Publié le 8 septembre 2026 par la société de recherche offensive Calif (calif.io), cet article présente WeWorm, décrit comme le premier ver zero-click capable de se propager automatiquement via les appels WeChat sur iOS et Android. La recherche a été couverte par le New York Times. 🐛 La vulnérabilité Le bug est une corruption mémoire (memory corruption) dans la pile VoIP de WeChat. Il permet une exécution de code à distance (RCE) déclenchée uniquement par un appel entrant, sans que la victime n’ait besoin de décrocher ou d’interagir avec son téléphone. Les détails techniques complets sont retenus dans l’attente d’une présentation en conférence. ...

📰 Source : Security Affairs (Pierluigi Paganini), publié le 3 septembre 2026. L’article s’appuie sur un rapport de DomainTools et une investigation menée par un consortium international de médias (The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare, FRONTSTORY.PL). 🏫 Contexte : Plus de 2 000 documents internes de l’Université Technique d’État de Moscou Bauman (MSTU Bauman) ont été analysés. Ces fichiers couvrent des dossiers académiques et administratifs jusqu’en 2025. Un utilisateur DarkForums connu sous le pseudonyme “Losyash” est suspecté d’avoir partagé les données, sans confirmation définitive. ...

🔍 Contexte Source : ITrust (https://www.itrust.fr), publiée le 2 septembre 2026. L’analyse fait suite à une alerte EDR déclenchée mi-juillet 2026 chez un client, bloquant une communication réseau issue d’une exécution PowerShell. Le CERT ITrust a rétro-ingénié la chaîne complète malgré le blocage de l’attaque. 🎯 Vecteur initial : ClickFix + PowerShell La compromission débute par un mail de phishing exploitant la technique ClickFix (social engineering simulant un crash technique). Une commande PowerShell est exécutée entièrement en mémoire (fileless), téléchargeant et exécutant du code arbitraire depuis une URL distante. Le paramètre ?sid=1785227193742-lf6op6dy dans l’URL constitue un mécanisme de tracking par victime. Une polymorphie anti-signature est assurée par des commentaires aléatoires rendant chaque instance unique. ...

🏨 Contexte Source : Blick.ch, publié le 6 septembre 2026. L’hôtel quatre étoiles Schweizerhof situé à Lenzerheide (Suisse) a émis une mise en garde à destination de sa clientèle concernant une campagne d’escroquerie en cours. 🎯 Nature de l’attaque Des hackers ciblent les systèmes de réservation de l’établissement hôtelier et exploitent les données clients pour mener des attaques de type fraude par messagerie instantanée. Les attaquants utilisent WhatsApp pour envoyer des messages frauduleux aux clients de l’hôtel dans le but de leur soutirer de l’argent. ...