TTP

🗞️ Contexte Article publié le 1er avril 2026 par The Register, basé sur une étude de la société de cybersécurité ESET portant sur le secteur manufacturier britannique. 📊 Chiffres clés de l’étude ESET 78% des fabricants britanniques déclarent avoir subi au moins un incident cyber au cours des 12 derniers mois Plus de la moitié signalent des pertes de revenus directes Dans plus de la moitié des incidents les plus graves, les pertes ont dépassé £250 000 Presque tous les répondants ont constaté un impact opérationnel direct La majorité des interruptions durent plusieurs jours, parfois près d’une semaine 1 fabricant sur 5 dispose d’une visibilité limitée ou nulle sur les menaces cyber Près de la moitié des répondants identifient les attaques assistées par IA comme la principale menace pour l’année à venir, devant le phishing et les ransomwares Seulement 22% des entreprises placent la cybersécurité au niveau exécutif Plus d’un cinquième des entreprises adoptent encore une posture réactive plutôt que préventive 🏭 Incident de référence : Jaguar Land Rover L’article cite l’attaque contre Jaguar Land Rover comme exemple emblématique : l’entreprise a été contrainte d’arrêter sa production, avec des perturbations s’étendant sur plusieurs semaines et un impact économique global estimé à £1,9 milliard, en incluant les fournisseurs, les retards et la perte de production. ...

🔍 Contexte Article technique publié le 26 mars 2026 par Paul Meyer (Edgeless Systems) sur le blog katexochen.aro.bz. L’auteur décrit la reproduction complète de l’attaque BadAML contre la plateforme Contrast (runtime Kubernetes basé sur des CVMs) et la mise en place d’une mitigation. 🎯 Description de l’attaque BadAML BadAML est une attaque exploitant les tables ACPI fournies par l’hôte pour obtenir une exécution de code arbitraire à l’intérieur de VMs confidentielles (CVMs), contournant leurs garanties d’isolation mémoire. ...

🔍 Contexte Publié le 2 avril 2026 par Rapid7, cet article accompagne la sortie d’un whitepaper technique dédié à de nouveaux variants du backdoor BPFDoor, un implant Linux furtif utilisé dans des campagnes d’espionnage attribuées à des acteurs chinois. L’analyse couvre sept variants inédits (désignés F à L) identifiés lors de recherches en cours. 🧬 Variants identifiés Variant F : Se dissimule sous /var/run/user/0 pour éviter les logs auditd liés à chmod Effectue un wipe complet des file descriptors et du timestomping Utilise un filtre BPF de 26 instructions avec de nouveaux magic bytes Deux ensembles de magic bytes distincts selon les samples Variant G : ...

🔍 Contexte Publié le 30 mars 2026 par Check Point Research, cet article détaille la découverte d’une vulnérabilité d’exfiltration de données dans l’environnement d’exécution de code de ChatGPT (OpenAI). La faille a été corrigée par OpenAI le 20 février 2026 après signalement par CPR. 🧩 Mécanisme de la vulnérabilité L’environnement d’exécution Python de ChatGPT (Data Analysis / Code Execution) est censé être isolé d’internet. Cependant, CPR a découvert que la résolution DNS restait disponible malgré le blocage des connexions sortantes directes. Cette caractéristique a permis de construire un tunnel DNS entre le runtime isolé et un serveur contrôlé par l’attaquant : ...

🗓️ Contexte Source : BleepingComputer, article de Lawrence Abrams publié le 31 mars 2026. L’article rapporte une violation de l’environnement de développement interne de Cisco, directement liée à l’attaque supply chain ayant compromis le scanner de vulnérabilités Trivy. 🔓 Vecteur d’intrusion Les attaquants ont exploité un plugin GitHub Action malveillant introduit lors de la compromission de Trivy pour dérober des identifiants CI/CD de Cisco. Ces credentials ont ensuite permis l’accès à l’environnement de build et de développement de l’entreprise, impactant des dizaines d’appareils, dont des postes de travail de développeurs et des machines de laboratoire. ...

🗓️ Contexte Source : TRM Labs, publiée le 3 avril 2026. Cet article couvre l’attaque survenue le 1er avril 2026 contre Drift Protocol, le plus grand exchange décentralisé de contrats perpétuels sur la blockchain Solana. TRM Labs qualifie cet incident de plus grand hack DeFi de 2026 et attribue l’attaque à des hackers nord-coréens. 🎯 Nature de l’attaque L’attaque repose sur une combinaison de trois vecteurs : Ingénierie sociale : manipulation des signataires du multisig du Security Council de Drift pour leur faire pré-signer des transactions apparemment routinières mais contenant des autorisations administratives cachées Manipulation d’oracle : création d’un token fictif — CarbonVote Token (CVT) — avec 750 millions d’unités mintées, quelques milliers de dollars de liquidité sur Raydium, et du wash trading pour simuler un prix proche de 1 USD, trompant les oracles de Drift Exploit de gouvernance : exploitation d’une migration du Security Council vers une configuration 2/5 sans timelock, réalisée le 27 mars 2026, supprimant la dernière ligne de défense du protocole 📅 Chronologie 11 mars 2026 : début du staging on-chain ; retrait de 10 ETH depuis Tornado Cash 12 mars 2026 (~00h00 GMT / 09h00 heure de Pyongyang) : déplacement des ETH et déploiement du token CVT 23-30 mars 2026 : création de comptes « durable nonce » sur Solana pour pré-signer des transactions 27 mars 2026 : migration du Security Council vers une configuration zero-timelock 1er avril 2026 : exécution de l’exploit en 12 minutes via 31 transactions de retrait drainant USDC et JLP 2 avril 2026 : confirmation officielle par Drift Protocol ; la majorité des fonds bridgés vers Ethereum en quelques heures 💰 Impact 285 millions USD de fonds utilisateurs dérobés Plus grand hack DeFi de 2026 Deuxième plus grand exploit de l’histoire de Solana (derrière le hack Wormhole de 2022 : 326 M$) Le token DRIFT a chuté de plus de 40% Dépôts et retraits suspendus par le protocole Vitesse et volume de blanchiment supérieurs à ceux de l’exploit Bybit de 2025 🔍 Attribution TRM Labs attribue l’attaque à des hackers nord-coréens sur la base d’indicateurs on-chain, notamment l’heure d’activité initiale (09h00 heure de Pyongyang) et les méthodes employées. L’enquête est en cours. ...

🔍 Contexte Publié le 27 mars 2026 sur le blog personnel d’Abdullah Islam, cet article constitue une analyse technique approfondie d’une campagne attribuée au groupe APT Mustang Panda (lié à la Chine), ciblant des entités gouvernementales, diplomatiques et des ONG. L’échantillon analysé a été observé pour la première fois le 17 mars 2026. 🎯 Vecteur d’infection initial La chaîne d’infection débute par un fichier ZIP de spear-phishing nommé Energy_Infrastructure_Situation_Note_Tehran_Province_2026.zip, suggérant un ciblage lié à l’infrastructure énergétique iranienne. Un fichier LNK malveillant déclenche silencieusement un script PowerShell en fenêtre cachée (-w H). ...

🔍 Contexte Publié le 31 mars 2026 par Check Point Research, ce rapport documente l’opération TrueChaos, une campagne d’espionnage ciblée contre des entités gouvernementales en Asie du Sud-Est, exploitant une vulnérabilité zero-day dans le client TrueConf, une plateforme de vidéoconférence on-premises. 🐛 Vulnérabilité : CVE-2026-3502 CVSS score : 7.8 La faille réside dans l’absence de vérification d’intégrité et d’authenticité dans le mécanisme de mise à jour du client TrueConf Un attaquant contrôlant le serveur TrueConf on-premises peut remplacer le paquet de mise à jour légitime par un exécutable arbitraire Le client fait confiance au serveur sans validation, permettant la distribution et l’exécution de fichiers malveillants sur tous les endpoints connectés Correctif disponible dans TrueConf Windows client version 8.5.3 (mars 2026) ⚔️ Déroulement de l’attaque L’attaquant compromet le serveur TrueConf on-premises d’un département IT gouvernemental Il remplace le paquet de mise à jour (trueconf_client.exe) par une version weaponisée Un lien est envoyé aux cibles pour déclencher le client TrueConf et afficher une invite de mise à jour Le paquet malveillant (construit avec Inno Setup) installe légitimement la version 8.5.2 tout en déposant : poweriso.exe (binaire bénin) 7z-x64.dll (implant malveillant) dans c:\programdata\poweriso\ DLL side-loading via poweriso.exe pour charger 7z-x64.dll 🛠️ Post-exploitation Reconnaissance : tasklist, tracert 8.8.8.8 Téléchargement via FTP depuis 47.237.15[.]197 d’un loader iscsiexe.dll dans update.7z Bypass UAC via iscsicpl.exe (SysWOW64) et DLL search-order hijacking Modification du PATH utilisateur : HKCU\environment Persistance via HKCU\Software\Microsoft\Windows\CurrentVersion\Run\UpdateCheck pointant vers PowerISO.exe Déploiement final d’un implant Havoc communiquant avec l’infrastructure C2 de l’acteur 🎯 Attribution Check Point Research attribue avec confiance modérée cette opération à un acteur à nexus chinois, sur la base de : ...

🗞️ Contexte Article publié le 26 mars 2026 par Lorenzo Franceschi-Bicchierai sur TechCrunch. Il synthétise les observations de chercheurs en sécurité de Google, iVerify et Lookout concernant deux outils de hacking iOS récemment documentés et désormais fuités en ligne. 🎯 Campagnes documentées Au cours du dernier mois, des chercheurs ont documenté plusieurs campagnes de hacking à grande échelle ciblant des victimes dans le monde entier via : Des sites web compromis ou des pages frauduleuses (drive-by download) Les outils Coruna et DarkSword, utilisés de manière quasi-indiscriminée contre des utilisateurs n’ayant pas mis à jour leur iOS Les acteurs identifiés incluent des espions russes et des cybercriminels chinois. ...

🗓️ Contexte Article publié le 2 avril 2026 par 404 Media, basé sur les conclusions de plusieurs chercheurs en sécurité ayant analysé l’application TeleGuard, une messagerie se revendiquant sécurisée, chiffrée de bout en bout et « Swiss made », téléchargée plus d’un million de fois. 🧩 Contexte TeleGuard, application de messagerie chiffrée développée par la société suisse Swisscows et téléchargée plus d’un million de fois, se présente comme une solution end-to-end encrypted, Swiss made, sans stockage de données. Des chercheurs en sécurité anonymes ainsi que la société Trail of Bits ont identifié plusieurs défauts cryptographiques majeurs rendant le chiffrement inefficace. Ni TeleGuard ni Swisscows n’ont répondu aux demandes de commentaires. ...