TTP

🗓️ Contexte Article publié le 7 août 2026 par PCMag (Michael Kan), relatant une violation de données touchant Framework Computer, fabricant de PC modulaires basé à San Francisco. 🔓 Nature de l’incident Un attaquant non identifié a exploité une vulnérabilité zero-day dans Metabase Cloud (versions 1.58 et supérieures), un outil de business intelligence basé sur l’IA utilisé par plus de 100 000 clients, dont McDonald’s, T-Mobile et Hugging Face. L’exploitation de cette faille a permis à l’attaquant d’accéder à l’instance Metabase de Framework Computer. ...

🔍 Contexte En juillet 2026, les chercheurs de Kaspersky ont identifié une campagne active du groupe hacktivist Head Mare exploitant une chaîne de vulnérabilités dans des serveurs TrueConf non patchés. L’analyse technique a été publiée le 7 août 2026 sur Securelist, relayée par BleepingComputer le 8 août 2026. ⚙️ Vecteur d’attaque et chaîne d’exploitation L’attaque repose sur l’exploitation de deux vulnérabilités critiques : KLCERT-26-057 : exécution de script malveillant dans l’environnement isolé TrueConf via le port TCP 4307 (ouvert par défaut), sans authentification KLCERT-26-058 : échappement du sandbox et exécution de commandes OS avec privilèges SYSTEM Une fois l’accès obtenu, les attaquants ont : ...

📅 Source : Kaspersky Securelist (https://securelist.ru), publié le 7 août 2026, mis à jour le 10 août 2026. 🎯 Contexte général En juillet 2026, les experts de Kaspersky ont découvert une nouvelle campagne du groupe APT Head Mare exploitant une chaîne de deux vulnérabilités inédites dans TrueConf Server (logiciel de vidéoconférence) pour compromettre des organisations russes dans les secteurs de l’instrumentation, de l’électronique, du transport, de l’énergie et de l’IT. ...

🔍 Contexte Publié le 9 août 2026 par le Genians Security Center (source : genians.co.kr), ce rapport de threat intelligence documente Operation GitPower, une campagne attribuée au groupe nord-coréen Kimsuky (opérant sous le Reconnaissance General Bureau). Il s’inscrit dans la continuité de la campagne FlowerPower (2023) et d’une campagne de 2024 déguisée en éditorial de Nouvel An. 🎯 Vecteurs d’accès initial Distribution de fichiers ZIP contenant des LNK malveillants déguisés en documents professionnels (formulaires d’honoraires, correspondances d’ambassade, notes de concept d’événements éducatifs internationaux) Spear phishing ciblant des professionnels en politique, diplomatie, sécurité, actifs virtuels et finance Les LNK contiennent des arguments de ligne de commande PowerShell obfusqués (~3 800 caractères) avec ~300 espaces consécutifs pour masquer le script 🤖 Usage de l’IA générative Depuis 2026, Kimsuky utilise des documents leurres générés par IA (PDF sur actifs virtuels, finance, développement de jeux) présentant une structure homogène et un style soigné Métadonnées révélatrices : auteur python-docx, créateur WPS 文字, timestamps de création identiques à la seconde près Expérimentation confirmée avec Ollama, GPT4All, Msty (LLM locaux), RAG et Cursor L’IA permet l’automatisation et la production à grande échelle d’attaques de social engineering ⚙️ Chaîne d’exécution technique LNK → décodage Base64 custom (table de caractères + opérations bitwise) → %TEMP%\poqpwoqwdjoweij.ps1 Téléchargement d’un PDF leurre depuis GitHub Raw Content (riudxkfngidruhkr.pdf) → ouverture pour tromper la victime Création de %AppData%\irujkdnjhgttrhdkfdu.ps1 + tâche planifiée (ZHUYHJGTYTFSUHIPOKLKHJHUYGVHGNFH) exécutée toutes les 30 minutes Téléchargement de scripts supplémentaires (priujghtjytfcghffgt.txt, bhjfjkfgrtwehjbfgcf.txt) depuis GitHub Collecte d’informations système (IP, OS, processus) → fichiers nommés <IP>-<MMDD_HHMM>-XXX-kkk.txt 🗄️ Infrastructure C2 Git-based Dépôts GitHub et GitLab publics utilisés comme C2 et canaux de distribution Payloads AsyncRAT chiffrés RC4 déguisés en fichiers image PNG (apple.png, fox.png, lion.png, rabbit.png, wolf.png) Outil rTom.exe_r utilisé avec les payloads AsyncRAT IP de test 169.254.33[.]137 (OPSEC failure) C2 opérationnel : 112.216.9[.]171 (Corée du Sud) Tokens d’accès GitHub (PAT) codés en dur dans les scripts (depuis révoqués) URLs construites par concaténation de chaînes ("ht"+"t"+"ps") pour contourner la détection 📌 Indicateurs nord-coréens Terminologie caractéristique : Arirang, 싸이트, 가입리력, 로출되였는지 ...

🗓️ Contexte L’article est publié le 7 août 2026 par le média luxembourgeois L’essentiel. Il rapporte un incident de cybersécurité affectant le site officiel mconcept.lu, propriété du ministère de la Mobilité du Luxembourg, destiné aux entreprises et administrations. 🔓 Nature de l’incident Une personne non autorisée a exploité une faille permettant la création d’un compte administrateur sur le site. Ce mécanisme a été identifié et désactivé par le ministère. L’incident a potentiellement permis un accès à des données transmises via le formulaire de contact du site. ...

🔍 Contexte Le 6 août 2026, Metabase (plateforme de business intelligence open source) a publié sur son blog officiel une alerte de sécurité urgente à destination de ses utilisateurs actifs, signalant un incident de sécurité récent affectant ses instances. 🎯 Nature de l’incident L’attaque cible l’endpoint /api/session/reset_password de l’API Metabase. Le pattern d’attaque identifié comprend les requêtes suivantes : POST /api/session/reset_password GET /api/user/current La session concernée est identifiée via le composant core_session. ...

🔍 Contexte Article publié le 9 août 2026 par TechCrunch (auteur : Zack Whittaker). Il couvre la présentation publique du projet noRecognition lors de la conférence Def Con à Las Vegas, par le chercheur en cybersécurité Bill Swearingen, co-fondateur du meetup SecKC à Kansas City. 🧠 Description du projet Swearingen a développé un modèle d’apprentissage par renforcement capable de générer des motifs visuels adversariaux qui, appliqués sur des vêtements ou des véhicules, neutralisent la détection algorithmique des caméras de surveillance. Le système ne bloque pas l’enregistrement vidéo mais perturbe la capacité de détection d’objets, de personnes et de visages par les algorithmes embarqués. ...

🔍 Contexte Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d’une série de recherches intitulée Turning Enterprise Update Servers Into Backdoor Factories. Il documente pas à pas l’utilisation de NotWSUSpicious, un outil Python open source disponible sur GitHub. ⚙️ Mécanisme d’attaque L’attaque repose sur une chaîne de compromission en plusieurs étapes : Prérequis : le serveur WSUS doit être configuré avec une base MSSQL externe et l’Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL. Coercition d’authentification : l’outil PetitPotam est utilisé pour forcer le compte machine du serveur WSUS (WSUS1$) à s’authentifier vers la machine de l’attaquant via MS-EFSRPC. Relais NTLM : Ntlmrelayx (Impacket) relaie l’authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS. Accès à la base SUSDB : via un proxy SOCKS (proxychains) et un mssqlclient.py modifié, l’attaquant accède à la base SUSDB. Création de fausses mises à jour : NotWSUSpicious.py génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique. 🛠️ Fonctionnement de NotWSUSpicious Génère deux GUIDs pour les mises à jour parent et enfant Calcule la taille, le hash SHA1 et le hash SHA256 du payload Injecte les métadonnées dans les procédures stockées WSUS (spImportUpdate, spSaveXmlFragment) Paramètres clés : URL d’hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible 📦 Outils impliqués NotWSUSpicious (outil custom, Python 3.11) PetitPotam (coercition MS-EFSRPC) Ntlmrelayx / Impacket v0.13.0 (relais NTLM + proxy SOCKS) mssqlclient.py modifié (gestion des procédures stockées multi-résultats) proxychains (tunneling via SOCKS) 📌 Type d’article Il s’agit d’une publication de recherche offensive à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l’exploitation des serveurs WSUS en environnement Active Directory d’entreprise. ...

📰 Source : autojournal.fr, publié le 6 août 2026. L’article rapporte une recrudescence de l’arnaque dite « quishing » (contraction de QR code et phishing) ciblant les bornes de recharge pour véhicules électriques en France. 🎯 Technique d’attaque : Les fraudeurs apposent physiquement un autocollant contenant un faux QR code par-dessus le QR code officiel de l’opérateur de borne. L’automobiliste qui scanne ce code est redirigé vers un site frauduleux imitant l’interface officielle de paiement, où il saisit ses coordonnées bancaires. La recharge ne s’effectue jamais, mais les données sont immédiatement exploitées pour des débits immédiats ou récurrents. ...

🔍 Contexte Publié le 7 août 2026 sur amibeingpwned.com, cet article présente une recherche présentée à DEF CON portant sur l’extension Connective signing, utilisée par plus de 2 millions d’utilisateurs principalement en Belgique. Cette extension est déployée par 8 des 10 plus grandes banques belges et plus de 60 agences gouvernementales belges, et supporte les signatures qualifiées eIDAS. L’éditeur, Nitro Software Belgium, est un Qualified Trust Service Provider (QTSP) inscrit sur la liste de confiance eIDAS de l’UE. ...