TTP

📰 Source : The Record Media | Date : 9 septembre 2026 | Contexte : Action coordonnée du gouvernement américain contre une marketplace cybercriminelle d’envergure mondiale opérant via Telegram. 🎯 Nature de la menace Xinbi Guarantee est une plateforme illicite en langue chinoise créée en 2022, opérant sur Telegram. Elle constitue la deuxième plus grande marketplace illicite de l’histoire, avec au moins 24 milliards de dollars de transactions traitées selon la société de blockchain intelligence Elliptic. Elle est un pilier de la cybercriminalité en Asie du Sud-Est, notamment pour les arnaques de type pig butchering. ...

🗓️ Contexte Article publié le 7 septembre 2026 par Scott Helme (scotthelme.co.uk), chercheur en sécurité web. Il analyse techniquement la violation de données annoncée le 27 août 2026 par Manchester Airports Group (MAG), qui exploite les aéroports de Manchester, Stansted et East Midlands. 🎯 Nature de l’incident Le groupe FulcrumSec a revendiqué l’attaque en affirmant n’avoir effectué aucun hacking traditionnel : ils ont simplement lu une clé API Iterable server-side directement dans le code JavaScript public des sites des aéroports. L’auteur a vérifié et confirmé cette affirmation. ...

🏥 Contexte Source : HaveIBeenPwned (haveibeenpwned.com/Breach/McKesson), publié le 10 septembre 2026. McKesson, entreprise américaine spécialisée dans la santé et la distribution pharmaceutique, a été ciblée en août 2026 par une campagne d’extorsion de type “pay or leak” orchestrée par le groupe ShinyHunters. 🎯 Nature de l’incident Le groupe ShinyHunters a revendiqué l’exfiltration de données et, suite à l’absence de paiement présumée, a publié un corpus substantiel de données. Les données compromises incluent : ...

🔍 Contexte Publié le 4 septembre 2026 par la SOCRadar Threat Research Unit (STRU), cet article présente une analyse technique approfondie de PEEP, un toolkit de post-exploitation basé sur les navigateurs Chromium, découvert et analysé via la plateforme Extended Threat Intelligence (XTI) de SOCRadar. 🧩 Description de la menace PEEP est un Remote Access Tool (RAT) déguisé en extension Chrome nommée “Smart Bookmarks” (version 1.3.0). Il s’agit d’un dérivé opérationnel du framework open-source RedExt, enrichi de capacités supplémentaires : ...

🔍 Contexte Publié le 9 septembre 2026 par Sarah Reddish sur le blog Huntress, cet article présente l’analyse technique de deux incidents détectés par le SOC Huntress en août 2026. Les deux attaques partagent la même chaîne d’infection et les mêmes leurres visuels. 🎣 Vecteur initial et technique BiTB Les deux incidents débutent par un email de phishing (via Gmail pour l’incident 1, via AT&T Office@Hand/RingCentral pour l’incident 2). Les victimes sont redirigées vers des pages contrôlées par l’attaquant qui utilisent la technique Browser-in-the-Browser (BiTB) : une fausse fenêtre de navigateur est rendue dans le contenu de la page web (HTML/CSS/JavaScript), affichant un domaine Adobe légitime (get.adobe.com) dans une barre d’adresse factice, contournant ainsi les réflexes de vérification des utilisateurs. ...

🔍 Contexte Source : Barracuda Networks (fr.blog.barracuda.com), publié le 9 septembre 2026. Les chercheurs de Barracuda ont analysé une campagne de phishing innovante qui abandonne le modèle classique de la page hébergée sur un serveur au profit d’une architecture entièrement résidente dans le navigateur de la victime. ⚙️ Mécanisme d’attaque La chaîne d’attaque repose sur plusieurs composants enchaînés : Email DocuSign-themed envoyé à la victime avec une pièce jointe de type invitation calendrier (fichier .ics ou similaire), pointant vers un endpoint Microsoft OAuth légitime Un paramètre de redirection crafté route l’utilisateur vers Microsoft Teams Microsoft Teams charge une ressource externe hébergée sur cdn.bloom[.]io Le navigateur convertit ce contenu en blob URL (URL temporaire pointant vers du contenu stocké en mémoire locale) La blob URL rend la page de phishing localement dans le navigateur Des service workers, des iframes sandboxées et une infrastructure backend gèrent le workflow de phishing et la navigation de l’utilisateur Une configuration C2 cachée révèle que la page fait partie d’une plateforme de phishing managée, opérable et modifiable en temps réel 🎯 Caractéristiques distinctives Aucune page de phishing hébergée : le contenu malveillant n’existe que dans la session navigateur de la victime, rendant impossible le blocklist préalable Infrastructure Microsoft légitime tout au long de la chaîne (login.microsoftonline.com, Microsoft Teams), réduisant les signaux d’alerte visibles Contrôle dynamique via des mécanismes de messagerie navigateur, permettant aux opérateurs de modifier les destinations et comportements en temps réel Leurre de légitimité via la pièce jointe calendrier, imitant une communication professionnelle ordinaire 📌 Type d’article Il s’agit d’une analyse technique publiée par un éditeur de sécurité, visant à documenter une technique de phishing émergente et à sensibiliser les équipes de sécurité aux nouvelles méthodes d’évasion basées sur le navigateur. ...

🗓️ Contexte Publié le 6 septembre 2026 par Vulnerability-Lookup, ce rapport mensuel agrège les données de cinq catalogues KEV (CISA, CIRCL, ENISA/EU CSIRTs, Shadowserver, Previdian) ainsi que les sightings issus de MISP, Exploit-DB, GitHub, Nuclei, Metasploit et d’autres sources pour couvrir l’activité de vulnérabilités en août 2026. 📊 Chiffres clés 12 313 CVE publiées en août 2026 (+25,5 % par rapport à juillet), record mensuel absolu 43 008 sightings collectés sur 13 594 vulnérabilités distinctes 7 474 preuves de concept publiées (+23 % vs juillet) 103 vulnérabilités distinctes entrées dans au moins un catalogue KEV (vs 65 en juillet) 32 entrées CISA, 2 CIRCL, 7 ENISA, 35 Shadowserver, 88 Previdian 🤖 Tendance majeure : l’outillage IA/ML sous attaque Le fait marquant du mois est la concentration d’exploitations sur la pile IA/ML : ...

🔍 Contexte Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de REVSTEALER, un infostealer émergent suivi sous la référence interne REF2859. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l’été 2026. 📦 Distribution et vecteur d’attaque REVSTEALER est distribué principalement via ingénierie sociale ciblant les joueurs, notamment : 17 chaînes YouTube compromises promouvant de faux cheats et mod menus via des vidéos générées par IA Domaines malveillants associés : elitecheatsx[.]live et resight-cheats[.]net Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes ~4 700 échantillons identifiés sur VirusTotal via Retrohunt YARA sur un an Majorité des samples packés avec VMProtect ⚙️ Fonctionnalités principales Anti-analyse Système de scoring sandbox (10 vérifications pondérées) : si score ≥ 7, auto-terminaison Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks Exclusion CIS : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d’exceptions personnalisée Watermarking de payload : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer) Collecte de credentials 225 identifiants d’extensions Chromium (wallets crypto, gestionnaires de mots de passe) 51 applications wallet standalone Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA Bypass App-Bound Encryption (ABE) : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz) Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées Plateformes gaming ciblées Battle.net, EA Desktop, Steam, Roblox (via CryptUnprotectData), Minecraft (multiples launchers) Dead drop Polygon (EtherHiding) Chaque build contient une adresse C2 primaire et une adresse de smart contract Polygon En cas d’indisponibilité du C2 primaire : interrogation de jusqu’à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d’un C2 de fallback 🧩 Quatre modules C2 additionnels Module Capacité ProManager Vol de wallets/extensions, overlays de phishing, capture d’input, livraison de payload WinUpdate Remplacement d’adresses crypto dans le clipboard, vol de mnémoniques SoftManager Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré LockAppHost Déploiement XMRig, suspension de concurrents, persistance Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon. ...

📅 Source : Aikido Security (blog.aikido.dev), publié le 7 septembre 2026 par Charlie Eriksen. Contexte Le 19 mai 2026, une attaque de chaîne d’approvisionnement baptisée Shai-Hulud avait compromis des comptes mainteneurs npm pour publier 639 versions malveillantes de packages @antv en l’espace d’une heure. Le payload avait été rapidement analysé et fingerprinted par la communauté de sécurité npm. Réactivation après 111 jours Le 7 septembre 2026, quatre nouveaux packages npm ont été publiés par le même compte npm, portant le hash SHA256 identique (e37e3ddeeaaa9e0c4fdbcb829b4895a6521031c80053fc436625b61e6ee5b1a6) au payload original : ...

🏥 Contexte Source : The Record Media, publié le 9 septembre 2026. Veradigm, anciennement Allscripts, est une société américaine basée à Chicago spécialisée dans les dossiers mémédicaux électroniques, déclarant 594 millions de dollars de revenus en 2024. Elle a notifié les régulateurs d’une violation de données via un dépôt 8-K auprès de la SEC. 🔓 Détails de l’incident Des attaquants ont compromis l’environnement d’un fournisseur tiers de Veradigm et obtenu des identifiants d’accès à une API utilisée par ce fournisseur pour fournir des services au nom des clients de Veradigm. Ces identifiants ont permis de télécharger des copies de données personnelles de patients, incluant dans certains cas des numéros de sécurité sociale. Aucune donnée clinique ou médicale n’a été impliquée. ...