TTP

🏛️ Contexte Source : The Record (Recorded Future News), publié le 18 août 2026. L’article couvre l’ouverture du procès d’un développeur ukrainien de 52 ans devant le Tribunal de district de Zurich, accusé d’avoir participé à une opération ransomware internationale entre décembre 2018 et mai 2020. 👤 Accusé et charges L’identité du défendeur n’a pas été divulguée publiquement par les autorités suisses. Il est accusé d’avoir été un développeur clé pour un groupe cybercriminel non nommé ayant : ...

🔍 Contexte Publié le 18 août 2026 par Justin Timothy (Principal Consultant, GRIT) sur le blog de GuidePoint Security, cet article présente les conclusions de l’équipe GRIT suite à plusieurs interventions en réponse à incidents impliquant une entité inconnue se présentant sous le nom “Ransom Busters LTD”. 🎭 Modus Operandi de Ransom Busters Des victimes d’attaques ransomware non encore rendues publiques ont reçu des emails non sollicités de “Ransom Busters LTD”, adressés aux adresses email de domaine de l’entreprise, demandant à contacter le CEO ou la direction IT. Le message type affirmait : ...

🗓️ Contexte Source : BleepingComputer, publié le 19 août 2026 (mise à jour le 20 août 2026). Sakura Internet, fournisseur japonais majeur de services cloud, hébergement web, VPS, data centers et calcul GPU, a divulgué une intrusion dans son système de gestion des ventes contenant des informations contractuelles et d’adhésion clients. 🔍 Déroulement de l’incident Date de l’intrusion : 9 août 2026 L’incident a été découvert lors de l’investigation d’une brèche distincte sur le service Sakura Rental Server La brèche secondaire (Rental Server) était moins grave : connexions non autorisées sur 583 comptes, accès aux systèmes clients et installation de malware sur les systèmes de Sakura L’investigation a révélé une exposition bien plus large : jusqu’à 1 360 563 comptes membres potentiellement compromis 💥 Impact Aucune exfiltration de données confirmée à ce stade Les mots de passe sont stockés sous forme hachée Le système compromis ne contient pas d’informations de carte bancaire Les identifiants abusés ont été invalidés et le malware supprimé Aucune perturbation opérationnelle ou de service signalée 🏛️ Contexte stratégique Sakura Internet est un fournisseur sélectionné pour le programme Government Cloud japonais, ce qui en fait une entité stratégique nationale réduisant la dépendance aux hyperscalers étrangers. ...

🏛️ Contexte Le Bureau national de sécurité de la République slovaque (Národný bezpečnostný úrad / NBÚ) a publié le 14 août 2026 une alerte officielle de cybersécurité concernant plusieurs types de radars routiers à caméra. Cette alerte a été émise à la demande du Ministère de l’Intérieur de la République slovaque, conformément à la loi n° 69/2018 sur la cybersécurité. 🎯 Produits concernés Trois gammes de produits sont explicitement visées : ...

📰 Source : CybersecurityNews.com, basé sur un rapport de Check Point Research, publié le 18 août 2026. Contexte Une campagne malveillante nommée StopAndProtect a été découverte, transformant des milliers de sites WordPress piratés en infrastructure C2 (command-and-control) distribuée. L’opération combine ransomware à double extorsion et vol de données ciblant des entreprises à l’échelle mondiale. Vecteur d’infection Le vecteur initial repose sur des leurres CAPTCHA frauduleux injectés dans des sites WordPress vulnérables. Les visiteurs sont invités à copier-coller une commande PowerShell malveillante dans leur terminal, déclenchant une chaîne d’infection multi-étapes. ...

🔍 Contexte Publié le 18 août 2026 par Check Point Research (auteur : Jaromír Hořejší), cet article présente une analyse technique approfondie de l’opération StopAndProtect, identifiée pour la première fois mi-mai 2026. L’opération combine chiffrement de fichiers (ransomware) et vol de données silencieux, en abusant de milliers de sites WordPress compromis comme infrastructure d’attaque. 🎯 Vecteur d’infection La chaîne d’infection repose sur la technique de social engineering ClickFix (fausse CAPTCHA) déployée sur des sites WordPress piratés : ...

🔍 Contexte Publié le 20 août 2026 par Cisco Talos, cet article constitue une analyse technique approfondie des outils et tactiques de UAT-10147, un acteur d’intrusion sinophone hautement capable ciblant des serveurs IIS et Linux exposés sur Internet. L’article fait suite à une précédente publication Talos documentant l’utilisation de workflows d’exploitation assistés par IA par ce même acteur. 🎯 Acteur et ciblage UAT-10147 est décrit comme un groupe cybercriminel sinophone opérant un écosystème de post-exploitation multiplateforme. L’acteur combine fraude SEO (monétisation via manipulation de référencement) avec des techniques avancées de persistance et d’évasion. Des artefacts de développement (chemins PDB) lient certains composants à un individu référencé sous le pseudonyme “xshen” (x神). Le QuasarRAT déployé contient un Campaign ID avec une chaîne dérogative en chinois ciblant des personnes vietnamiennes, suggérant un ciblage géographique spécifique du Vietnam. ...

🗓️ Contexte Source : BleepingComputer, publié le 17 août 2026. L’article rapporte la divulgation publique d’une vulnérabilité zero-day dans Microsoft Defender, nommée ShieldBreak, par le chercheur en sécurité Nightmare Eclipse, sans notification préalable à Microsoft. 🔍 Détails de la vulnérabilité Nom : ShieldBreak CVE : CVE-2026-69414 Composant affecté : Microsoft Malware Protection Engine (Microsoft Defender) Type : Élévation de privilèges (Privilege Escalation) Impact : Permet à un attaquant local avec des permissions limitées d’obtenir des privilèges SYSTEM Condition : Microsoft Defender doit être activé Taux de succès du PoC : 100% 🖥️ Systèmes vulnérables Windows 11 25H2 (y compris canal Canary) Windows Server 2025 Windows 10 et éditions serveur correspondantes (vulnérables mais non testées dans le PoC) 🔗 Lien avec RoguePlanet ShieldBreak est décrit comme un bypass du patch de RoguePlanet (CVE-2026-50656), une autre faille d’escalade de privilèges dans Defender divulguée en juin 2026 et patchée en juillet 2026. Le chercheur affirme que Microsoft n’a pas correctement corrigé RoguePlanet. ...

🔍 Contexte Publié le 11 août 2026 par Socket (socket.dev), cet article de recherche documente une campagne d’extensions Chrome malveillantes à grande échelle, analysée par l’équipe Socket Threat Research. La campagne cible principalement des russophones cherchant à contourner la censure internet en Russie. 📊 Ampleur de la campagne 737 extensions publiées depuis au moins 40 comptes développeurs Chrome Web Store 274 extensions usurpent l’identité de 66 marques VPN légitimes (Proton VPN, NordVPN, Surfshark, ExpressVPN, AmneziaVPN, AntiZapret, Cloudflare 1.1.1.1, etc.) 75 486 installations au total, dont 58 318 sur les 516 extensions encore actives au moment de la collecte 520 des 522 packages analysés configurent un proxy SOCKS5 sur le port 1082 redirigeant l’intégralité du trafic navigateur ⚙️ Mécanismes techniques Détournement de trafic : Chaque extension configure chrome.proxy.settings en mode fixed_servers avec un proxy SOCKS5 unique, sans chiffrement, sans credentials, avec une liste de bypass limitée aux adresses loopback uniquement. ...

📅 Source : SecurityWeek, publié le 18 août 2026 par Ionut Arghire. Apple a annoncé le lundi 18 août 2026 une série de mises à jour de sécurité couvrant macOS Tahoe 26.6.2, iOS 26.6.1, iPadOS 26.6.1, iOS 18.7.10 et iPadOS 18.7.10, corrigeant un grand nombre de vulnérabilités dont la majorité affecte le moteur de navigateur WebKit. 🔧 macOS Tahoe 26.6.2 : 28 correctifs de sécurité au total 21 vulnérabilités dans WebKit pouvant entraîner des crashs de Safari, de la corruption mémoire et des divulgations de données sensibles 7 correctifs supplémentaires dans Audio, ImageIO, IOGPUFamily et Kernel pouvant mener à : divulgation d’informations utilisateur, déni de service (DoS), exécution de code arbitraire, corruption mémoire, arrêt système, divulgation ou corruption de mémoire kernel 📱 iOS 26.6.1 et iPadOS 26.6.1 : ...