TTP

🗓️ Contexte Le 20 août 2026, Wiz Research publie une analyse technique d’une attaque de chaîne d’approvisionnement ciblant l’écosystème Rust via le registre officiel crates.io. L’article s’appuie également sur des données de Google Threat Intelligence. 🎯 Vecteur d’attaque Trois crates Rust légitimes ont été compromises par la publication de versions malveillantes : arrayref@0.3.10 (présent dans >35% de tous les environnements, ¾ des environnements Rust) internment@0.8.7 append-only-vec@0.1.9 Ces versions ajoutent une dépendance typosquattée (proc-macro1, imitant le légitime proc-macro2 avec 154M+ téléchargements). Le script de build build.rs de proc-macro1 exécute la charge malveillante au moment de la compilation (cargo build), sans interaction utilisateur supplémentaire. ...

🔍 Contexte Publié le 20 août 2026 par Jiří Vinopal (Check Point Research), cet article présente la première rétro-ingénierie complète du driver BTR.sys (Windows Defender Boot-Time Removal), un composant légitime signé Microsoft embarqué dans MpEngine.dll. L’analyse a débuté lors d’une investigation de réponse à incident où le driver avait été initialement confondu avec un artefact malveillant en raison de ses caractéristiques inhabituelles. ⚙️ Fonctionnement de BTR.sys Origine : embarqué comme ressource PE (BOOTTIMETOOL) dans MpEngine.dll, déposé sur disque avec un nom aléatoire ([a-z]{8}.sys) uniquement lors d’actions de remédiation nécessitant un redémarrage Configuration : lue depuis un Alternate Data Stream (ADS) (:changelist) chiffré par RC4 avec une clé de 256 octets codée en dur dans la section .rdata, identique sur toutes les versions Intégrité : vérifiée par un CRC-32 modifié (~CRC32, sans inversion finale), non cumulatif par structure Comportement : driver « one-shot » — charge, exécute les transactions, génère un rapport, puis se décharge immédiatement en retournant 0xC0000056 (STATUS_DELETE_PENDING) 🗂️ Structure de transaction (format propriétaire) Global Header (24 octets) : magic 0xFEE1DEAD, version 0x00000002, CRC, TransID Global Payload : chemin Unicode du fichier de feedback (rapport d’exécution) Item Header (16 octets) : DataSize, ActionID, CRC Item Data : variable selon l’ActionID 🔑 Action IDs weaponisables Opérations fichiers : ...

📅 Source : Blog officiel Cloudflare, publié le 19 août 2026. Cet article présente les résultats d’une réévaluation interne des attaques Spectre distantes sur la plateforme Cloudflare Workers, menée en 2024 et début 2025, suite à l’émergence de nouvelles techniques de stabilisation de ces attaques depuis l’évaluation initiale de 2021. 🔬 Contexte technique : Cloudflare Workers exécute du JavaScript non fiable sur le edge en mutualisant des milliers de tenants dans un même processus OS via des isolats V8. En 2021, Cloudflare avait déployé Dynamic Process Isolation (DyPrIs) comme défense principale. Les chercheurs ont identifié une limitation dans l’implémentation de DyPrIs et ont construit un proof-of-concept fonctionnel en environnement de production. ...

🔍 Contexte En août 2026, l’équipe Threat Response Unit (TRU) d’eSentire publie une analyse technique détaillée de campagnes observées fin juillet 2026, combinant deux services Malware-as-a-Service (MaaS) : ErrTraffic et Cruciferra. 🎯 Vecteur d’accès initial Les victimes atterrissent sur des sites WordPress compromis contenant un inject JavaScript obfusqué généré par ErrTraffic. Ce script : Est encodé en base64 et chiffré par XOR à un octet Résout son domaine C2 via un smart contract Polygon (méthode getDomain, RPC eth_call) Charge dynamiquement le code source JavaScript du leurre ClickFix Le leurre ClickFix copie une commande PowerShell malveillante dans le presse-papiers et incite la victime à l’exécuter via Windows Key + X -> I. ...

🔍 Contexte Article publié le 22/08/2026 sur le blog personnel de l’auteur (lina.sh). Il s’agit d’un post-mortem technique détaillant une découverte de sécurité DNS réalisée par un chercheur indépendant sur l’infrastructure ENUM (e164.arpa), un système de routage téléphonique via DNS issu des années 2000. 🧩 Mécanisme de la vulnérabilité Le chercheur a scanné les zones déléguées de e164.arpa à la recherche de zones abandonnées. Il a identifié trois zones pays : ...

🔍 Contexte Publié le 20 août 2026 par IBM X-Force (auteurs : Agnes Ramos-Beauchamp, Joshua Chung, Golo Mühr, Joe Fasulo), cet article présente une analyse technique approfondie des opérations de l’acteur ITG27 (anciennement Hive0154, aussi connu sous les noms Mustang Panda, Stately Taurus, Camaro Dragon, Twill Typhoon, Earth Preta, etc.), réalisée en collaboration avec Deception.Pro. 🎯 Ciblage et contexte géopolitique Depuis au moins 2024, ITG27 conduit des campagnes d’espionnage alignées sur les intérêts stratégiques de la Chine. En mai 2026, X-Force a identifié une campagne ciblant le gouvernement indien et le secteur énergétique, exploitant la thématique géopolitique de la coopération hydroélectrique (rivière Brahmaputra, projets de barrages en Arunachal Pradesh). Les leurres imitaient le Ministère des Affaires Étrangères du Népal. ...

🔍 Contexte Publié le 21 août 2026 par Dmitry Kalinin sur Securelist (Kaspersky), cet article documente la découverte en juin 2026 d’un malware Android multi-étapes ciblant les autoradios embarqués (head units) basés sur Android, représentant le premier cas documenté d’infection via la chaîne de mise à jour spécifique à ce type d’équipement. 🎯 Vecteur d’infection Le vecteur d’infection repose sur l’application légitime TWCore (package com.tw.core), responsable de la collecte d’analytics et des mises à jour logicielles sur les autoradios DoFun. TWCore reçoit des messages via un broker MQTT hébergé sur cardoor.cn, contenant des instructions pour télécharger et installer des APK. Un champ installNotExists permet d’installer des applications absentes du firmware d’origine, sans vérification d’intégrité suffisante. ...

📰 Source : ICT Journal | Date de publication : 21 août 2026 | Lieu : Martigny-Combe, Valais, Suisse 🔓 La commune de Martigny-Combe (Valais) a détecté le 18 août 2026 un accès non autorisé à la messagerie professionnelle de son secrétariat communal. Cet accès a permis à un tiers malveillant d’envoyer un message frauduleux à des contacts de l’administration. ⚠️ L’incident pourrait avoir entraîné la divulgation de données personnelles contenues dans la messagerie compromise. Les risques identifiés par la commune incluent : ...

📰 Source : Generation-NT | Date de publication : 20 août 2026 | Date de l’incident : détecté ~12 août 2026, confirmé le 19 août 2026 🏢 Contexte : La Mutuelle générale de prévoyance (MGP), organisme comptant 480 000 membres, a officiellement reconnu une intrusion critique dans ses systèmes. L’attaque a été rendue possible par la compromission d’un prestataire technique tiers, vecteur d’entrée désormais classique dans les incidents de type supply chain. ...

🔍 Contexte Cet article est publié le 18 août 2026 sur le blog AmberWolf par David Cash. Il présente une recherche en vulnérabilité et divulgation responsable portant sur l’abus du mécanisme Mobile Device Management (MDM) natif de Windows. 🎯 Technique décrite : NachoMDM La technique baptisée NachoMDM consiste à weaponiser (armer) les fonctionnalités MDM intégrées à Windows afin d’atteindre deux objectifs offensifs : Contournement de l’UAC (User Account Control) Exécution de code avec des privilèges SYSTEM via une inscription MDM malveillante 🏢 Contexte d’exploitation Dans les environnements d’entreprise modernes, le MDM est utilisé pour : ...