TTP

🔍 Contexte Publié le 09/04/2026 sur GitHub (https://github.com/FightingLzn9/AgentMemshell), ce dépôt présente AgentMemshell, un outil offensif open-source dérivé du projet MemShellParty. ⚙️ Fonctionnalités L’outil est conçu pour : Injecter des memory shells (memshells) dans tous les processus Java via un mécanisme d’agent JVM Fonctionner sur tous les systèmes d’exploitation principaux (compatibilité multi-OS) Opérer sur toutes les versions du JDK Cibler des scénarios d’exécution de commandes sans retour (no-echo) dans des environnements Java 🎯 Middleware supporté Actuellement, seul Apache Tomcat est implémenté, avec un module nommé TomcatEcho. ...

📅 Source : SANS ISC Diary, publié le 09/04/2026 par Jesse La Grew. Analyse basée sur 496 562 mots de passe uniques collectés sur des honeypots DShield entre le 21/04/2024 et le 29/03/2026. 🔢 Patterns d’utilisation des chiffres dans les mots de passe Les séquences numériques les plus fréquentes soumises aux honeypots sont “123” et “1”. Des nombres inhabituels comme “100000”, “19”, “69” et “200” ont été identifiés comme des commandes ICMP déguisées en mots de passe, liées à des tentatives de DDoS ou stress testing. ...

🔍 Contexte Source : Help Net Security, publié le 31 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié des utilisateurs affectés par une campagne de compromission de comptes via des infostealers. 🎯 Nature de l’incident Des sessions de connexion à la plateforme Claude ont été compromises à la suite d’infections par des malwares de type infostealer. Anthropic a procédé au verrouillage préventif des comptes concernés et a communiqué directement avec les utilisateurs affectés par email. ...

📅 Source : Microsoft Security Research (Noam Kochavi, Sarah Wolstencroft), publié le 3 septembre 2026. Contexte Microsoft a identifié une campagne de phishing à très haut volume exploitant une technique d’obfuscation baptisée ASCII smuggling, initialement popularisée dans le domaine de la sécurité des modèles de langage (LLM) et des attaques par injection de prompts. La découverte est issue des travaux de recherche sur la protection contre les injections de prompts dans Microsoft Defender for Office 365. ...

🗓️ Contexte Publié le 3 septembre 2026 par The Cyber Express, cet article rapporte une attaque par récupération de mot de passe ciblant des centaines de milliers d’utilisateurs de la plateforme X (anciennement Twitter), ayant conduit à l’ouverture d’une enquête par le Département de Justice américain (DOJ). 🎯 Nature de l’attaque Des cybercriminels qualifiés de « sophistiqués » ont tenté d’exploiter le système de récupération de mot de passe de X, notamment les fonctionnalités de type « mot de passe oublié » et les formulaires de récupération de compte. L’objectif était de prendre le contrôle de centaines de milliers de comptes. ...

🔍 Contexte Rapport d’incident publié le 2 septembre 2026 par Unit 42 (Palo Alto Networks), décrivant une intrusion réelle dans laquelle un acteur humain a orchestré des agents IA autonomes pour compromettre un réseau d’entreprise dans le cadre d’une tentative de rançon. ⚡ Déroulement de l’attaque L’attaque s’est déroulée en moins de 10 heures, compressant ce qui aurait normalement nécessité deux semaines à plusieurs équipes red team humaines. L’acteur a utilisé des modèles IA frontier et des frameworks agentiques spécialisés pour automatiser l’ensemble de la chaîne d’intrusion : ...

🔍 Contexte Article publié le 2 avril 2026 (mis à jour le 8 avril) par Alessandro Brucato sur le blog de Tracebit. Il documente la campagne TeamPCP, une série d’attaques supply chain ciblant des outils open source largement utilisés dans les pipelines CI/CD, et présente une approche de détection par canary credentials. 📅 Chronologie de la campagne 19 mars : Compromission de plusieurs GitHub Actions du scanner Trivy (Aqua Security) 22 mars : Utilisation des credentials volés pour compromettre des dizaines de packages npm via un ver auto-propagant nommé CanisterWorm ; publication de versions malveillantes de Trivy sur Docker Hub 23 mars : Compromission des GitHub Actions et extensions OpenVSX du scanner KICS (Checkmarx) avec un malware similaire 24 mars : Compromission du package PyPI LiteLLM (deux versions malveillantes publiées) 27 mars : Compromission du package PyPI Telnyx (deux versions malveillantes publiées) 🦠 Comportement du malware Tous les incidents déploient le “TeamPCP Cloud Stealer”, un malware de collecte massive de credentials : ...

🔍 Contexte Publié le 3 septembre 2026 sur SecurityWeek par Ionut Arghire, cet article rapporte deux alertes distinctes émises par Cisco le même jour : l’une concernant des vulnérabilités non patchées dans son produit Cisco Secure Email, l’autre annonçant des correctifs pour des failles critiques dans IOS XR et les switches Nexus 9000 series. ⚠️ Vulnérabilités non corrigées – Cisco Secure Email (S/MIME) Deux failles de sévérité moyenne ont été publiquement divulguées sans correctif disponible : ...

🎯 Contexte Cette évaluation de campagne a été publiée le 31 juillet 2026 par Vesal Security, assemblée via la plateforme Vesal AI. Elle documente une opération d’automatisation massive ciblant le système de billetterie de la FIFA World Cup 2026, active entre mai 2024 et juillet 2026. 📊 Chiffres clés de l’opération 1 373 231 comptes FIFA créés par deux vendeurs d’automatisation (Firefly : 1 137 680 ; ConsolDes : 235 551) 710 521 candidatures réussies aux tirages de billets FIFA (Firefly : 652 430 ; ConsolDes : 58 091) 9 114 entrées confirmées par FIFA via emails (vue côté cible, via l’outil Gemini) 1 740 issues positives : 1 676 gains de tirage + 64 émissions de billets, pour 14 opérateurs distincts 🛠️ Six vendeurs impliqués Six vendeurs ont fourni des capacités liées à la Coupe du Monde : ...

🔍 Contexte Publié le 2 août 2026 par Resecurity, cet article constitue une analyse technique approfondie de la vulnérabilité CVE-2026-42897 et de la campagne d’exploitation associée menée par le groupe TA488 (également connu sous les noms Void Blizzard et Laundry Bear), acteur étatique russe. 🎯 Vulnérabilité CVE-2026-42897 CVE-2026-42897 est une vulnérabilité de type XSS stockée (Cross-Site Scripting) de sévérité élevée (CVSS 8.1) affectant Microsoft Exchange Server on-premises via Outlook Web Access (OWA). Elle résulte d’une insuffisance de sanitisation HTML dans le pipeline de rendu des emails : le contenu HTML malveillant est inséré directement dans le DOM authentifié sans neutralisation des gestionnaires d’événements JavaScript. ...