TTP

📰 Source : TechXplore / Phys.org — Article publié le 19 juillet 2026, basé sur un preprint arXiv (DOI: 10.48550/arxiv.2607.06595) des chercheurs George Torres, Sharad Shrestha et Satyajayant Misra de la New Mexico State University. 🎯 Contexte Les agents LLM dotés de mémoire persistante à long terme (ex. : assistants personnels basés sur ChatGPT, Gemini) sont désormais capables d’agir de manière autonome : gestion d’emails, prise de rendez-vous, mise à jour de code. Cette mémoire persistante introduit de nouvelles surfaces d’attaque. ...

🔍 Contexte Publié en juillet 2026 sur GitHub (optimuslabs-io/grokpatrol), cet article décrit un incident actif impliquant le Grok Build CLI, un outil de développement associé à xAI, qui a été découvert en train d’exfiltrer silencieusement des dépôts git complets vers Google Cloud Storage. 🚨 Nature de l’incident Un collecteur en arrière-plan intégré au Grok Build CLI procédait à l’upload de dépôts git vers le bucket gs://grok-code-session-traces/, en dehors du système de permissions des appels d’outils. Ce comportement se déclenchait même dans les sessions où l’accès aux fichiers avait été refusé au modèle. ...

🎯 Contexte Source : BleepingComputer, publié le 19 juillet 2026. Kaspersky a documenté une campagne active baptisée HelloNet, ciblant des organisations russes via l’abus du mécanisme de mise à jour du logiciel ViPNet, suite de produits de sécurité réseau développée par InfoTeCS et certifiée pour usage gouvernemental en Russie. 🔍 Vecteur d’attaque Les attaquants ont placé un fichier malveillant (wtsapi32.dll, nommé HelloInjector) dans le répertoire local du système de mise à jour ViPNet. Ce fichier est chargé latéralement (DLL sideloading) au démarrage du système via le processus légitime itcsrvup64.exe. HelloInjector injecte ensuite dans svchost.exe pour obtenir des privilèges élevés et assurer la persistance au redémarrage. Kaspersky ne précise pas le vecteur d’accès initial ni ne confirme une compromission de l’infrastructure de mise à jour ViPNet elle-même. ...

🔍 Contexte Le 20 juillet 2026, l’équipe Threat Intelligence de Group-IB publie une analyse technique détaillée d’un nouveau malware baptisé HOLLOWGRAPH, attribué avec un haut niveau de confiance au framework Cavern. L’opération cible des entités israéliennes dans le cadre d’une campagne d’espionnage ciblée. 🦠 Description du malware HOLLOWGRAPH est une DLL compilée en .NET NativeAOT qui implémente uniquement deux commandes (get et send). Il exploite l’API Microsoft Graph via une boîte mail Microsoft 365 compromise (domaine .co.il) pour établir un canal C2 dissimulé dans le trafic légitime Microsoft. ...

📰 Source : embracethered.com — Article de Johann publié le 19 juillet 2026, analysant la divulgation d’incident de Hugging Face et le rapport Sysdig sur JADEPUFFER. 🎯 Contexte de l’incident Hugging Face a divulgué une intrusion entièrement pilotée par un agent IA autonome. Le point d’entrée initial (beachhead) a été établi via un dataset malveillant exploitant deux vecteurs d’exécution de code dans le pipeline de traitement : un remote-code dataset loader et une injection de template dans la configuration d’un dataset. ...

🗓️ Contexte Le 16 juillet 2026, Hugging Face publie un post-mortem détaillé d’une intrusion détectée plus tôt dans la semaine sur une partie de son infrastructure de production. L’incident est notable car il constitue l’un des premiers cas documentés d’attaque conduite de bout en bout par un framework d’agent IA autonome. 🔓 Vecteur d’accès initial et déroulement de l’attaque L’intrusion a débuté via le pipeline de traitement de datasets, en abusant de deux chemins d’exécution de code : ...

📰 Source : Yahoo News / National Security News — Date de publication : 14 juillet 2026 Contexte Une enquête publiée en mars 2026 par National Security News révèle que le Corps des Gardiens de la Révolution Islamique (IRGC) aurait exploité les failles structurelles du protocole SS7 (Signaling System 7, datant des années 1970) pour conduire des opérations de géolocalisation contre du personnel militaire américain déployé dans le Golfe Persique. ...

📅 Source et contexte : Article technique publié le 20 juillet 2026 sur le blog officiel de Mozilla (hacks.mozilla.org), en complément d’une mise à jour sur le projet Distilled. Il s’inscrit dans le cadre d’une réflexion sur la tension entre protection de la vie privée des utilisateurs et lutte contre les abus de bots sur le web ouvert. 🔍 Problème identifié : Les mécanismes anti-abus actuels (CAPTCHAs, fingerprinting passif, murs d’inscription) échouent doublement : les protections de vie privée des navigateurs démantèlent les signaux passifs utilisés par les systèmes anti-abus, tandis que les IA génératives résolvent les CAPTCHAs plus vite et plus fiablement que les humains. Les sites migrent vers des mécanismes plus invasifs (email, login fédéré, désactivation du VPN), aggravant le compromis vie privée / accès. ...

🔍 Contexte Source : Symantec Threat Hunter Team, publiée le 16 juillet 2026 sur security.com. L’article révèle la découverte d’une nouvelle famille de ransomware, Spirals, utilisée dans une attaque de double extorsion contre une entreprise de services IT en Asie du Sud en juin 2026. 🎯 Cible et impact La victime est une entreprise de services IT localisée en Asie du Sud. L’attaque a suivi un schéma de double extorsion, combinant chiffrement des données et menace de divulgation. Le payload a été déployé sur l’ensemble du réseau en moins de 24 heures après la compromission initiale. ...

🔍 Contexte Publié le 16 juillet 2026 par l’équipe Red Team d’Okta sur sec.okta.com, cet article présente la découverte d’une vulnérabilité de type Denial of Service (DoS) dans OpenSSL, baptisée HollowByte. 🧩 Mécanisme technique La vulnérabilité exploite le comportement de la machine à états TLS lors du traitement du message ClientHello. Les versions vulnérables d’OpenSSL allouent un buffer de réception basé sur la taille déclarée dans l’en-tête du message (3 octets du header de 4 octets), sans validation préalable du payload : ...