TTP

🗓️ Contexte Publié le 12 août 2026 par Hudson Rock sur leur blog, cet article documente ce qui est présenté comme la plus grande attaque de supply chain IA de 2026. L’analyse s’appuie sur des recherches forensiques de Snyk, Trend Micro et Cycode, complétées par l’obtention indépendante par Hudson Rock d’une archive brute de 153 Go. 🎯 Mécanisme de l’attaque L’attaque a été orchestrée par le groupe TeamPCP selon une chaîne de compromission en plusieurs étapes : ...

🔍 Contexte Publié le 14 août 2026 par le chercheur Milánek sur le blog de Gen Digital, cet article présente l’analyse technique complète d’un backdoor Windows personnalisé découvert sur un unique poste de travail d’entreprise lors d’une chasse aux persistances WMI inhabituelles. 🎯 Cible et contexte de découverte Un seul hôte : poste de travail Windows 7 SP1 64 bits, joint à un domaine L’implant était déjà en place avant l’installation du logiciel de protection Aucun second stage ni tâche capturée Prévalence VirusTotal : zéro occurrence sur plus de 5 ans Aucun acteur connu identifié ⚙️ Mécanisme de persistance WMI Une souscription WMI nommée "Realtek" surveille Win32_LocalTime pour l’heure 19h50 et exécute un binaire nommé RtkNGUI64.exe (nom légitime du panneau audio Realtek) via le chemin court Progra~1. La persistance survit aux redémarrages mais ne s’active qu’une fois par soir. ...

📰 Source : ZDNet France — Article publié le 13 août 2026, auteur Louis Adam. L’incident a été annoncé par Bloctel à ses utilisateurs le 11 août 2026, quelques jours avant la fermeture définitive du service. 🔓 Nature de l’incident : Un tiers non autorisé a usurpé un compte professionnel de la plateforme Bloctel, lui permettant d’accéder à des fichiers contenant des numéros de téléphone d’usagers. La base de données principale de Bloctel n’a pas été compromise ; seuls les fichiers transitant via les accès entreprise ont été affectés. ...

🔍 Contexte Publié le 13 août 2026 par Pillar Security sur leur blog, cet article présente la découverte et la divulgation coordonnée d’une vulnérabilité critique d’authentification bypass dans le serveur MCP distant de DoltHub (CVE-2026-73554). 🐛 Description de la vulnérabilité La vulnérabilité affecte Dolt MCP versions 0.3.1 à 0.3.6 sur le transport HTTP distant lorsque l’authentification JWT est activée. Elle repose sur deux défauts combinés : Défaut 1 — Middleware JWT sans return : Un token JWT invalide déclenchait bien une réponse 401 Unauthorized via http.Error, mais en l’absence d’instruction return, l’exécution continuait vers le handler MCP (next.ServeHTTP). En Go, http.Error écrit la réponse sans interrompre le traitement. Défaut 2 — Validation de session par format uniquement : La bibliothèque mark3labs/mcp-go utilisée (via InsecureStatefulSessionIdManager) vérifiait uniquement que l’identifiant de session commençait par mcp-session- et se terminait par un UUID valide, sans vérifier que le serveur avait effectivement créé cette session. 💥 Impact Un attaquant non authentifié pouvait : ...

🗓️ Contexte Article publié le 16 août 2026 par Hudson Rock sur la plateforme Infostealers.com. Il documente une campagne d’exfiltration active ciblant les tenants Azure/Microsoft Entra de plusieurs grandes entreprises mondiales. 🎯 Acteur de la menace Un acteur opérant sous le pseudonyme “TheHatman” publie massivement sur des forums cybercriminels (dark web) des annuaires internes d’employés appartenant à des entreprises Fortune 500. Il revendique avoir téléchargé ces données directement depuis les portails Azure Tenant des organisations via des identifiants compromis. ...

🏛️ Contexte Le 12 août 2026, le Bundesamt für Verfassungsschutz (BfV) publie un avertissement officiel concernant des activités d’influence informationnelle étrangère détectées dans le contexte des élections régionales prévues en septembre 2026 (Saxe-Anhalt, Mecklembourg-Poméranie-Occidentale, Berlin, Basse-Saxe). 🎭 Campagne MATRYOSHKA Les activités observées sont attribuées à la campagne MATRYOSHKA, caractérisée par : Des courtes vidéos en anglais imitant la mise en page de médias allemands reconnus Des titres sensationnalistes et des affirmations tendancieuses Des narratifs de polarisation Est/Ouest en Allemagne La discrédit de politiciens aux niveaux fédéral, régional et communal 📅 Chronologie des opérations Fin juin 2026 : Diffusion sur X de publications manipulées avec les logos de médias connus. Exemples de faux titres : “Der Westen HASST den Osten – Deutschland war noch nie so nah am Bürgerkrieg” et “Baut die Mauer wieder auf!”. Les originaux des jours précédents étaient copiés, seuls les titres principaux étaient modifiés. Juillet 2026 : Nouvelles vagues de vidéos sur X contenant de fausses allégations contre des politiciens de Länder avec des élections imminentes. Août 2026 : Diffusion sous le hashtag #TimeToDivideGermany de contenus générés par IA promouvant une nouvelle partition de l’Allemagne, avec des vidéos manipulées de célébrités, du Brandenburger Tor et du drapeau fédéral. Critiques visant le Chancelier fédéral et les partis CDU, SPD, Bündnis 90/Die Grünen et Die Linke. Mars 2026 : Activités similaires détectées lors des élections régionales du Bade-Wurtemberg et de Rhénanie-Palatinat. ⚙️ Mécanisme de diffusion La campagne utilise une infrastructure en deux niveaux : ...

📰 Source : LeMagIT — Article publié le 11 août 2026, relatant une cyberattaque survenue le 29 juillet 2026 contre CEVA Logistics, filiale logistique du groupe CMA-CGM. 🎯 Nature de l’incident : Cyberattaque non revendiquée à ce jour, ayant affecté les systèmes informatiques de CEVA Logistics. Le vecteur d’attaque n’est pas précisé dans l’article. 🏭 Périmètre impacté : Au moins huit entrepôts européens de CEVA Logistics sont touchés, dont les centres de distribution de Tilburg et Waalwijk aux Pays-Bas. Ces sites gèrent les flux logistiques omnicanaux de plusieurs grandes entreprises clientes. ...

📰 Article technique publié le 29/07/2026 sur zerotracelab.com, rédigé par @5mukx, présentant une recherche offensive sur Chrome Remote Desktop (CRD) dans un contexte red team. 🔍 Contexte et découverte L’auteur, en cherchant à supprimer la bannière de notification de session CRD, a analysé les fichiers installés par l’application sous C:\Program Files (x86)\Google. En explorant le code source Chromium, il a identifié que la bannière de déconnexion est implémentée via une ressource Win32 de type RT_DIALOG (ID 110) stockée dans remoting_core.dll. ...

📰 Source : BleepingComputer — Article publié le 14 août 2026 par Sergiu Gatlan. 🎯 Contexte de l’attaque Le groupe Clop a revendiqué le vol de 89 Go de données appartenant à Shell, géant pétrolier britannique employant 85 000 personnes dans plus de 70 pays. Shell a confirmé l’ouverture d’une investigation sur un « incident potentiel ». Les données prétendument volées comprennent : Plans d’ingénierie Scans de rapports de tests de sites Photos d’installations Plans de projets 🔓 Vulnérabilité exploitée Les attaques exploitent CVE-2026-12569, une vulnérabilité critique de validation d’entrée incorrecte affectant les plateformes PTC Windchill et PTC FlexPLM (logiciels de gestion du cycle de vie des produits — PLM). PTC a commencé à publier des correctifs le 17 juin et a émis un avis privé invitant ses clients à rechercher des indicateurs de compromission. ...

📄 Source et contexte : Article de recherche présenté au 35e USENIX Security Symposium (12-14 août 2026, Baltimore), par des chercheurs de l’Université de Birmingham et de l’Université de Durham. Microsoft a assigné CVE-2026-23670 et publié un patch partiel en avril 2026. 🔬 Technique centrale : L’attaque Download More RAM est la première attaque d’aliasing mémoire réalisée uniquement par logiciel, sans accès physique à la machine. Elle repose sur la réécriture du contenu SPD EEPROM des barrettes RAM via le bus SMBus/I2C, en incrémentant les bits d’adressage de rangées (row address bits), ce qui amène le DIMM à déclarer deux fois sa capacité réelle. Les adresses supérieures deviennent alors des alias des adresses inférieures. ...