TTP

📰 Source : Cryptika (relayant CyberSecurityNews.com), publié le 25 août 2026. 🎯 Contexte : Une campagne de distribution de malware exploite l’engouement autour de GTA 6 pour piéger des utilisateurs Windows cherchant une démo ou un accès anticipé au jeu. La campagne a été identifiée et documentée par Malwarebytes. 🕵️ Mécanisme d’attaque : Des sites frauduleux imitant l’identité visuelle de Rockstar Games apparaissent dans les résultats de recherche Google. Ces sites proposent de faux boutons « Download » ou « Play Now » délivrant un exécutable malveillant (gta6_installer.exe, 1,1 Mo). Le fichier est un Vidar information stealer, dont le premier échantillon a été observé le 19 août 2026, un jour après la diffusion de nouveaux leaks de gameplay. 💾 Capacités du malware : ...

🔍 Contexte Publié le 21 août 2026 par le SOCRadar Threat Research Unit (STRU), cet article présente la découverte de l’abus de bannières FTP comme Dead Drop Resolvers (DDRs), une technique observée depuis début juillet 2026 et toujours active au moment de la publication. L’investigation a conduit à l’identification de deux RATs inédits : E4del et PINHOLE. 📡 Technique de livraison : FTP Banner comme DDR Les acteurs malveillants intègrent des commandes malveillantes directement dans les bannières de réponse initiale du protocole FTP (port 21). Des fichiers LNK (probablement distribués par phishing) récupèrent ces commandes, qui déclenchent ensuite le téléchargement de charges utiles via WebDAV ou PowerShell. Des leurres en espagnol (ex. : « Voucher ») ont été identifiés. La technique a été détectée via des recherches FOFA sur le port 21. ...

🌐 Contexte Article publié le 22 août 2026 sur le blog personnel de l’auteur (lina.sh). Il s’agit d’un post-mortem technique détaillant une découverte de sécurité DNS affectant l’infrastructure téléphonique ENUM (e164.arpa) de plusieurs territoires britanniques à vocation militaire. 🔍 Découverte initiale L’auteur scannait les zones déléguées de e164.arpa (système ENUM permettant le routage d’appels téléphoniques via DNS) et a identifié trois zones de codes pays abandonnées : 0.9.2.e164.arpa → +290 (Sainte-Hélène) 6.4.2.e164.arpa → +246 (Territoire britannique de l’océan Indien / Diego Garcia) 7.4.2.e164.arpa → +247 (Île de l’Ascension) Ces trois zones étaient déléguées aux nameservers ns6.icb.co.uk et ns.enum.org.uk. Le premier ne résolvait plus, et le second (ns.enum.org.uk) avait expiré. L’auteur l’a racheté pour 5€, obtenant ainsi le contrôle total des réponses DNS pour ces trois zones. ...

🔍 Contexte Publié le 21 août 2026 par Kaspersky (Securelist), cet article présente la découverte en juin 2026 d’un nouveau malware Android ciblant des autoradios embarqués (head units) de marque DoFun. Il s’agit du premier cas documenté de malware spécifiquement conçu pour ce type de dispositif. 🎯 Vecteur d’infection Le malware est distribué via TWCore (com.tw.core), une application système légitime responsable des mises à jour du firmware. TWCore reçoit des instructions via un broker MQTT hébergé sur cardoor[.]cn, qui lui ordonne de télécharger et d’installer des APK malveillants. Le champ installNotExists permet l’installation d’applications absentes du dispositif à l’origine. ...

🏥 Contexte Source : BleepingComputer, publié le 21 août 2026. L’Hospital for Sick Children (SickKids), hôpital pédiatrique de Toronto (Canada), a divulgué un incident de cybersécurité ayant entraîné un accès non autorisé à des données personnelles d’employés actuels, anciens et de candidats à l’emploi. 🔓 Nature de l’incident L’incident est attribué à une vulnérabilité dans une application logicielle tierce utilisée par SickKids et d’autres organisations. Ni le nom du fournisseur, ni celui de l’application, ni le CVE associé n’ont été communiqués publiquement. La formulation de l’hôpital suggère une campagne plus large ciblant d’autres utilisateurs du même produit. ...

🗞️ Contexte Article publié par The Telegraph le 22 août 2026, révélant une cyberattaque sans précédent attribuée à des hackers affiliés à l’Iran contre une centrale électrique britannique. ⚡ Incident principal Des hackers liés au régime iranien ont réussi à mettre hors service une centrale électrique britannique pendant quatre jours. Il s’agit de la première fois qu’un groupe affilié à l’Iran parvient à fermer une telle installation au Royaume-Uni. L’identité précise de la centrale n’a pas été divulguée par les autorités britanniques pour des raisons de sécurité. ...

📄 Contexte : Publié le 24 août 2026 dans les actes du 35e USENIX Security Symposium (Baltimore, MD), cet article de recherche de l’Université du Massachusetts Amherst présente une attaque pratique contre les paiements sans contact EMV, baptisée ZombieCard. 🔍 Vulnérabilité centrale : L’attaque exploite le fait que l’expiration d’une carte bancaire n’est pas une propriété cryptographique intrinsèque de la carte, mais un contrôle de politique distribué entre le terminal POS, le réseau de paiement et l’émetteur. Dans Visa Kernel 3 (EMV), le champ ApplicationExpirationDate (#5F24) utilisé par le terminal pour sa vérification locale n’est pas inclus dans la signature SDAD (SignedDynamicApplicationData), ce qui le rend modifiable en transit sans invalider les vérifications cryptographiques. ...

🏛️ Contexte Source : Communiqué officiel du Département de Justice américain (DOJ), publié le 18 août 2026. Un acte d’accusation révisé (S2) en 14 chefs d’accusation a été descellé, ciblant 17 membres du Mabna Institute, une société iranienne fondée vers 2013 à Téhéran. Neuf des 17 accusés avaient déjà été inculpés dans un premier acte de mars 2018. 🎯 Acteurs et commanditaires Fondateurs : Gholamreza Rafatnejad et Ehsan Mohammadi Commanditaire principal : Islamic Revolutionary Guard Corps (IRGC), ainsi que d’autres entités gouvernementales et universitaires iraniennes Le Mabna Institute opérait comme une structure de hacking-for-hire, employant des contractuels dont Behzad Mesri (alias « Skote Vahshat »), Keyvan Fayaz (alias « Achilles », « The Joker », « bc.monster »), Mojtaba Galekuhi, Arman Kahzadian, Saber Shahbazi Ballojeh, et d’autres 🏫 Campagne universitaire Cibles : plus de 100 000 comptes de professeurs dans le monde Compromis : ~8 000 comptes de professeurs dans 144 universités américaines et 178 universités étrangères (Australie, Canada, Chine, Allemagne, Israël, Japon, Royaume-Uni, etc.) Période : 2013 – décembre 2017 au minimum Volume volé : 31,5 téraoctets de données académiques et propriété intellectuelle Technique principale : spearphishing pour obtenir des identifiants, puis accès non autorisé aux systèmes universitaires Revente : données revendues via deux sites web — Megapaper.ir (opéré par Falinoos Company, contrôlée par Abdollah Karima) et Gigapaper.ir — à des universités et institutions iraniennes 🏢 Campagnes secteur privé et gouvernemental Victimes : au moins 42 entreprises privées américaines, 11 entreprises étrangères (Allemagne, Italie, Suisse, Suède, Royaume-Uni), 5 agences gouvernementales fédérales et étatiques américaines, 2 ONG Entités nommées : Département du Travail américain, Federal Energy Regulatory Commission, État d’Hawaï, État d’Indiana, Nations Unies, UNICEF Cas HBO : Behzad Mesri, avec Houshyar, Hashemloo, Fayaz, Ballojeh et Kahzadian, a piraté les systèmes de Home Box Office (HBO), volé des données propriétaires et tenté une extorsion de ~6 millions USD en Bitcoin Techniques : password spray attacks, accès non autorisé, exfiltration de données — coûts de remédiation dépassant 20 millions USD pour les victimes ⚖️ Charges et sanctions Les 17 accusés font face à 14 chefs d’accusation incluant : ...

🔍 Contexte Publié le 19 août 2026 par Truffle Security Co. sur leur blog de recherche « The Dig », cet article présente les résultats d’une campagne de re-vérification massive de clés AWS exposées publiquement, menée en coordination avec le lancement de leur outil TruffleHog AWS Analyze. 📊 Périmètre de l’étude Les scanners de TruffleHog ont identifié 64 024 paires de clés AWS uniques issues de 431 875 findings publics collectés entre août 2022 et août 2026, provenant de : ...

🔍 Contexte Publié le 20 août 2026 sur Malwarebytes, cet article rapporte la découverte par le chercheur Jeremiah Fowler d’une base de données cloud non sécurisée contenant plus de 9 millions de fichiers images (environ 450 Go), exposée sans aucune authentification requise. 🏢 Entité concernée La base de données a été attribuée à ClarityCheck, une société enregistrée aux États-Unis proposant un service de recherche inversée d’images permettant d’identifier des personnes à partir de photos et de retrouver leurs noms, profils sociaux et présence en ligne. ...