TTP

🔍 Contexte Publié le 29 juillet 2026 sur l’AWS Security Blog par CJ Moses (CISO Amazon Integrated Security), cet article présente les conclusions de l’Amazon Threat Intelligence sur une série d’attaques de supply chain open source attribuées à un acteur lié à la Corée du Nord (DPRK). 🎯 Campagnes identifiées Amazon Threat Intelligence a relié plusieurs compromissions de packages NPM populaires au même acteur : Mars 2025 : compromission du package typo-crypto (campagne test à faible volume) Septembre 2025 : compromission des packages debug et chalk Mars 2026 : compromission du package axios (>100 millions de téléchargements hebdomadaires) Dans chaque cas, l’acteur a utilisé du social engineering pour compromettre un mainteneur de confiance, puis a publié une mise à jour contenant du code malveillant. ...

📰 Source : SecurityWeek, article publié le 30 juillet 2026 par Eduard Kovacs. 🏢 Contexte : Analog Devices, Inc. (NASDAQ : ADI) est une entreprise américaine basée dans le Massachusetts, comptant environ 24 000 employés et générant 12 milliards de dollars de revenus annuels. Elle conçoit et fabrique des puces analogiques, mixtes et de traitement du signal numérique pour les secteurs industriel, automobile et des communications. 🔓 Incident principal : L’entreprise a détecté un accès non autorisé à certains de ses systèmes le 23 juin 2026. Une investigation menée avec l’aide d’experts en sécurité externes a confirmé que des fichiers ont été volés. La nature exacte des données compromises n’a pas été divulguée. L’incident a fait l’objet d’un dépôt auprès de la SEC (Securities and Exchange Commission). ...

📰 Source : ithinkdiff.com (via Financial Times), publié le 2 août 2026 Contexte Apple a discrètement modifié son système de soumission de rapports de sécurité en juin 2026, en limitant le nombre de rapports actifs qu’un chercheur peut avoir ouverts simultanément. Cette décision fait suite à une augmentation massive de soumissions assistées par IA, dont un grand nombre décrivaient des vulnérabilités inexistantes (hallucinations). Élément déclencheur La startup italienne de cybersécurité Bynario a utilisé ChatGPT pour identifier plus de 50 vulnérabilités potentielles dans la dernière version de macOS en seulement trois semaines, dont une chaîne d’exploitation d’élévation de privilèges (privilege escalation exploit chain). Bynario n’a pas pu soumettre toutes ses découvertes en raison de la nouvelle limite imposée par Apple. ...

🎯 Contexte Publié le 2 août 2026 par Abnormal AI, ce rapport technique est basé sur l’analyse du logiciel opérateur ARToken et la rétro-ingénierie de son API backend. Il documente une plateforme Phishing-as-a-Service (PhaaS) observée pour la première fois en juillet 2026, ciblant des utilisateurs Microsoft 365. 🔍 Description de la menace ARToken abuse du flux OAuth 2.0 device-authorization grant (suivi par Microsoft sous le nom Storm-2372) pour dérober des tokens d’accès et de rafraîchissement sans jamais afficher de fausse page de connexion. La cible s’authentifie sur la vraie page Microsoft (login.microsoft.com/device), ce qui rend l’attaque transparente aux contrôles anti-phishing classiques et contourne le MFA. ...

🗓️ Contexte Source : Romania Journal — 30 juillet 2026. L’article rapporte une attaque ransomware ciblant l’Administration nationale des pénitentiaires de Roumanie (ANP), institution publique gérant le système carcéral roumain. 🎯 Nature de l’incident L’attaque a entraîné la compromission de plusieurs postes de travail et serveurs appartenant à l’ANP. En réponse, les autorités ont procédé à la mise hors ligne de plusieurs services numériques critiques à titre préventif afin de limiter la propagation. ...

🔍 Contexte Le 29 juillet 2026, The Hacker News (auteur : Ravie Lakshmanan) rapporte la publication par Broadcom de mises à jour de sécurité d’urgence corrigeant 5 vulnérabilités affectant plusieurs produits VMware : vCenter, ESX, Workstation et Fusion. 🚨 Vulnérabilités critiques Trois failles sont classées critiques : CVE-2026-47874 (CVSS 9.8) — Contournement d’authentification dans VMware vCenter : un acteur malveillant disposant d’un accès réseau à vCenter peut contourner l’authentification et obtenir un accès non autorisé au système. CVE non précisé (CVSS 9.8) — Directory traversal dans vCenter permettant l’exécution de code arbitraire via un accès réseau. CVE-2026-47876 (CVSS 9.3) — Écriture hors limites dans l’adaptateur réseau virtuel VMXNET3 de VMware ESX, permettant à un acteur disposant de privilèges administratifs locaux sur une VM d’exécuter du code sur l’hôte ESX. Broadcom qualifie cette vulnérabilité d’évasion de machine virtuelle (VM escape). ⚠️ Vulnérabilités de sévérité modérée CVE non précisé (CVSS 7.6) — Lecture hors limites dans VMware ESX pouvant entraîner une divulgation d’informations ou un déni de service (DoS). Sur Workstation et Fusion, l’impact est limité à la divulgation d’informations. CVE non précisé (CVSS 2.7) — Journalisation insuffisante dans VMware ESX permettant à un administrateur malveillant d’effectuer des opérations sans qu’elles soient enregistrées. 🛠️ Versions corrigées Pour les failles critiques vCenter (CVSS 9.8) : ...

🔍 Contexte Publié le 30 juillet 2026 par Unit 42 (Palo Alto Networks), ce rapport documente une campagne offensive autonome pilotée par intelligence artificielle, attribuée à un acteur sinophone opérant sous les alias knaithe et KnYuan, basé à Zhuhai, Chine. 🤖 Infrastructure offensive IA L’acteur a déployé DeepSeek comme moteur de raisonnement au sein du framework Hermes Agent (NousResearch), configuré avec des compétences offensives personnalisées : godmode : jailbreaking LLM web-terminal-exploitation : exploitation WebSocket non authentifiée fofa-cyberspace-search : énumération d’actifs via FOFA L’orchestration s’effectuait via Telegram (C2). L’acteur a également testé Claude Code, Codex (GPT-5.4), Qwen Code, GLM, Kimi et MiniMax, routant les outils occidentaux via un proxy tiers (code.newcli[.]com) pour réduire la traçabilité. ...

🔍 Contexte Le 28 juillet 2026, Huntress publie un advisory de menace documentant une campagne active de credential stuffing ciblant les équipements SonicWall VPN et firewall, détectée par le SOC Huntress à partir du 25 juillet 2026 à 18:02:21 UTC. 🎯 Nature de l’attaque L’attaque est décrite comme large, opportuniste et automatisée. Les acteurs de la menace ne ciblent pas une organisation spécifique mais valident systématiquement des identifiants contre des portails d’accès distant SonicWall pour compromettre un maximum de comptes. Aucune activité post-compromission de type « hands-on-keyboard » n’a été observée. ...

📅 Source : Sophos Threat Intelligence Blog — publié le 28 juillet 2026 🎯 Contexte Sophos a suivi une campagne de voice phishing (vishing) via Microsoft Teams, identifiée sous le cluster STAC4749, active entre février et juin 2026 et ciblant des dizaines d’organisations en Amérique du Nord. 🔗 Vecteur d’accès initial Les attaquants ont utilisé un ensemble cohérent de domaines cloud à thématique IT et de personas fictifs pour tromper les victimes et obtenir un accès distant à leurs systèmes via Teams. ...

🗓️ Contexte Le 30 juillet 2026, le site Security Affairs (Pierluigi Paganini) rapporte que la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la vulnérabilité CVE-2026-20316 au catalogue Known Exploited Vulnerabilities (KEV). Cisco a confirmé une exploitation active de cette faille en juillet 2026. 🔍 Détails de la vulnérabilité Produit affecté : Cisco Secure Firewall Management Center (FMC) Software CVE : CVE-2026-20316 Score CVSS : 5.3 Type : Vulnérabilité de credentials statiques (hardcodés) dans l’interface web Impact : Permet à un attaquant distant non authentifié de se connecter via un compte intégré à faibles privilèges et d’accéder à des informations sensibles Condition aggravante : La faille peut être combinée avec d’autres vulnérabilités Cisco FMC pour réaliser une élévation de privilèges Réduction de la surface d’attaque : Si l’interface de gestion FMC n’est pas exposée sur Internet public 🛠️ Détection de compromission Les administrateurs peuvent vérifier une exploitation en exécutant en mode expert : ...