TTP

🔍 Contexte Publié le 2 septembre 2026 par Gen Digital (blog de recherche), cet article documente une campagne de fraude baptisée Phantom Deal, découverte après qu’un membre de l’équipe juridique de Gen a été ciblé par une tentative d’escroquerie de type BEC/fraude M&A. 🎭 Mécanisme d’attaque L’attaque débute par un message WhatsApp usurpant l’identité d’un cadre interne de Gen basé à Dublin, avec photo et numéro irlandais authentiques. Une seconde identité, se faisant passer pour un professionnel de PwC, entre ensuite en jeu. La cible est invitée à fournir une adresse email personnelle. ...

🔍 Contexte Publié le 3 septembre 2026 par Huntress (blog officiel), cet article détaille une campagne active observée fin août 2026 impliquant des clients ScreenConnect compromis et modifiés, utilisés pour propager une chaîne d’attaque multi-étapes à travers des organisations non liées. 🎯 Vecteur initial et propagation Les incidents débutent tous par de l’ingénierie sociale : Abus de Quick Assist (outil Windows légitime) dans le cadre de faux supports techniques Phishing conduisant au téléchargement de ScreenConnect.ClientSetup.msi Recherche d’un formulaire Geek Squad menant à l’exécution de ScreenConnect.Client.exe Une fois le client ScreenConnect malveillant installé, il exécute wscript.exe de manière répétée pour lancer quatre fichiers VBScript (1.vbs, 2.vbs, 3.vbs, 4.vbs). Le comportement vermiforme repose sur des clients ScreenConnect modifiés qui, lors de nouvelles connexions Host, transfèrent et exécutent automatiquement ces quatre scripts sur les endpoints nouvellement connectés. ...

🗓️ Contexte Publié le 2 septembre 2026 par la SHARE Foundation, organisation serbe de défense des droits numériques, cet article présente les résultats d’une enquête de forensique numérique menée en collaboration avec le Citizen Lab (Université de Toronto) et le Security Lab d’Amnesty International. 🎯 Victimes et ciblage Au moins 14 personnes en Serbie ont été ciblées par des spywares avancés depuis début 2026, constituant la plus grande vague documentée de ce type dans le pays. Les cibles incluent : ...

🔍 Contexte Publié le 1er septembre 2026 sur le blog Microsoft Security, cet article de recherche documente une campagne active de distribution de malwares suivie par Microsoft Defender Experts. La campagne est associée avec une confiance modérée à l’acteur Silver Fox (alias Yinhu / 银狐), sans attribution à un État-nation. 🎯 Ciblage et portée Les victimes sont principalement des utilisateurs sinophones et des opérations chinoises de multinationales, réparties dans les secteurs suivants : ...

🗓️ Contexte Source : Reuters, publié le 3 septembre 2026. Thomson Reuters a notifié publiquement un incident de cybersécurité affectant sa plateforme C-Track, un système de gestion de dossiers judiciaires utilisé par des tribunaux aux États-Unis et au Canada. 🔍 Déroulement de l’incident L’incident a été détecté le 30 juin dans 11 États américains, les Îles Vierges américaines et le Canada. L’investigation de Thomson Reuters a révélé qu’un tiers non autorisé avait obtenu certains fichiers C-Track en mars. Les chefs de justice de trois tribunaux ontariens ont publié une déclaration confirmant l’utilisation de la plateforme pour la gestion numérique des dossiers judiciaires. 📂 Données affectées Des dossiers judiciaires ont été compromis. Les données exposées incluent des noms et informations personnelles. 🏛️ Périmètre Plateforme concernée : C-Track (gestion de dossiers judiciaires) Juridictions touchées : 11 États américains, Îles Vierges américaines, Canada (Ontario) 📌 Nature de l’article Il s’agit d’une annonce d’incident basée sur une notification officielle de Thomson Reuters et une déclaration des autorités judiciaires canadiennes. L’objectif est d’informer sur la nature, le périmètre et les données affectées par la compromission. ...

📰 Source : The Record Media | Date : 2 septembre 2026 | Contexte : Publication d’un rapport de la société russe de cybersécurité F6 sur un nouveau groupe ransomware pro-ukrainien. 🎯 Acteur de la menace Le groupe VantaCore est identifié comme un probable rebranding du groupe Thor, une opération pro-ukrainienne ayant mené au moins 12 attaques en 2025. VantaCore opère selon un modèle Ransomware-as-a-Service (RaaS), fournissant malware et infrastructure à des affiliés. Le groupe cible exclusivement des organisations russes et aurait au moins 7 victimes connues, détectées dès août 2026, bien que le site de fuite ait été créé début juin 2026. ...

📰 Source : Communiqué officiel du Département de Justice américain (USAO-CDCA), publié le 1er septembre 2026. 🌐 Contexte général Une opération internationale coordonnée a permis de démanteler le botnet Sality, un réseau malveillant actif depuis 2003, impliqué dans le vol de cryptomonnaies et des cyberattaques contre des victimes aux États-Unis et à l’étranger. L’opération a mobilisé des acteurs gouvernementaux et privés aux États-Unis, en Bulgarie, en Hongrie et en Roumanie. ...

🔍 Contexte Publié le 31 août 2026 par l’équipe de recherche de Socket (socket.dev), cet article documente la découverte de 13 packages Composer malveillants sur Packagist, répartis sous cinq namespaces vendeurs (vsmov, vsphim, haiau009, chilltvcms, ophimcms), ciblant les sites de streaming vietnamiens basés sur OphimCMS et KKPhim (CMS PHP/Laravel open source). 🎯 Mécanisme de livraison Les acteurs de la menace ont forké des thèmes légitimes sous leurs propres namespaces, en trojanisant les assets front-end JavaScript embarqués. Tout site installant l’un de ces thèmes sert du JavaScript malveillant à chaque visiteur. Deux branches d’attaque coexistent : ...

🔍 Contexte Publié le 27 août 2026 par Socket Threat Research (source : socket.dev), cet article présente les résultats d’une investigation sur 19 extensions de navigateur malveillantes (18 Chrome, 1 Edge) publiées au cours des six derniers mois. La campagne, baptisée “Superior” par Socket, est tracée jusqu’en février 2024 et recoupe des recherches antérieures de DomainTools et Secure Annex. 🎯 Méthode d’infection Les extensions suivent toutes le même schéma de publication : ...

🔍 Contexte Publié le 27 août 2026 par CloudSEK (en partenariat avec TRM Labs), cet article inaugure la série « Caught in 4K » dédiée à l’exposition des opérations ransomware. Un répertoire Linux mal configuré, accessible sans authentification sur le port 8888, a permis à CloudSEK d’accéder à l’intégralité du poste de travail d’un affilié du groupe Aurora ransomware. 🎯 Victimologie L’opérateur a compromis plus de vingt organisations dans neuf pays entre avril et juillet 2026, dont quatre ont été listées sur le site de fuite d’Aurora. Les secteurs touchés incluent : ...