TTP

🔍 Contexte Cet article est un post-mortem publié le 18 juin 2026 par l’équipe Huntress sur leur blog officiel. Il détaille une attaque de type supply chain ayant compromis Klue, une plateforme d’intelligence marché, et impacté plusieurs de ses clients dont Huntress. 🗓️ Chronologie de l’incident 11 juin 2026 : Début de la compromission de Klue via un comportement anomal sur un système d’intégration 12 juin : Klue détecte des connexions réseau inhabituelles vers des IPs malveillantes 13 juin : Klue désactive les accès distants, supprime le code de vol de tokens et émet une alerte générale aux clients 16 juin : Des emails d’extorsion avec l’objet “top secret email” arrivent dans les boîtes de certains employés Huntress 17 juin : Huntress confirme la compromission de ses données Salesforce et Gong ⚙️ Vecteur et mécanisme d’attaque Le threat actor a exploité un credential longtemps inutilisé mais toujours actif, créé à l’origine par Klue pour prototyper une intégration tierce abandonnée. À partir de ce point d’entrée, l’acteur a : ...

🔍 Contexte Publié le 17 juin 2026 par Zscaler ThreatLabz (chercheurs Shruti Dixit et Manisha Ramcharan Prajapati), cet article documente une campagne ClickFix observée en mars 2026 utilisant des sites web générés par IA pour distribuer un nouveau RAT bancaire nommé SmartRAT. Trend Micro a également analysé ce malware sous le nom Banana RAT avec un vecteur d’attaque différent. 🎯 Vecteur d’infection Les acteurs malveillants ont enregistré le domaine typosquatté cartaobb[.]com imitant le domaine légitime cartaobrb[.]com[.]br d’une banque brésilienne populaire. La page frauduleuse, vraisemblablement générée par un outil de création de sites web IA, présente : ...

🔍 Contexte Le 12 juin 2026, watchTowr Labs (Piotr Bazydlo et Yordan Ganchev) publie une analyse technique approfondie de CVE-2026-20253, une vulnérabilité critique (CVSS 9.8) affectant Splunk Enterprise et permettant une exécution de code à distance sans authentification préalable. 🎯 Vulnérabilité La faille réside dans le PostgreSQL Sidecar Service de Splunk Enterprise, un composant installé et activé par défaut sur les déploiements Splunk Enterprise sur AWS (versions 10 et supérieures). Ce service expose une API HTTP interne (127.0.0.1:5435) accessible via proxy depuis l’interface web principale de Splunk (port 8000), sans aucun contrôle d’authentification. ...

🎯 Contexte Source : Symantec (security.com), publiée le 16 juin 2026. L’article rapporte une attaque ransomware menée par le groupe DragonForce contre une grande entreprise de services américaine, avec une présence sur le réseau estimée entre un et deux mois. 🛠️ Technique d’attaque principale Les attaquants ont utilisé un backdoor personnalisé baptisé Backdoor.Turn, développé en Go, qui constitue selon Symantec la première utilisation connue de l’infrastructure TURN de Microsoft Teams pour masquer du trafic C2 dans la nature. ...

📰 Source : BleepingComputer — Date de publication : 17 juin 2026 Le chercheur en sécurité Bob Diachenko a découvert un serveur exposé contenant une base de données massive de credentials Fortinet/FortiGate VPN, incluant noms d’utilisateur, adresses e-mail et mots de passe en clair. L’ensemble, baptisé “FortiBleed”, couvre 73 932 URLs de firewalls répartis dans 194 pays et 21 632 domaines uniques. 🎯 Organisations impactées : parmi les entités identifiées figurent Chevron, Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Sinopec, State Grid, Siemens, Lenovo, PwC, Accenture, Oracle, ainsi que des agences gouvernementales et des opérateurs d’infrastructures critiques. ...

🔍 Contexte Source : SOCRadar, publié le 17 juin 2026. Fortinet a divulgué plusieurs vulnérabilités critiques affectant FortiSandbox, son appliance d’analyse de fichiers suspects et de sandboxing. Deux failles ont été publiées en avril 2026 et une troisième en juin 2026. 🚨 Vulnérabilités identifiées Trois CVE sont concernés, tous avec un score CVSS de 9.8 : CVE-2026-39813 : Vulnérabilité de path traversal dans l’API JRPC de FortiSandbox. Permet à un attaquant non authentifié d’envoyer des requêtes HTTP forgées pour contourner l’authentification et escalader ses privilèges. Affecte FortiSandbox 5.0.0–5.0.5 et 4.4.0–4.4.8. Correctif : 5.0.6 ou 4.4.9. ...

🔍 Contexte Publié le 18 juin 2026 par Group-IB, cet article présente les résultats d’une investigation sur une campagne de phishing baptisée GitBait, ciblant au moins 12 institutions financières opérant au Mexique, active depuis environ trois ans. 🎯 Description de la campagne La campagne repose sur une architecture entièrement serverless combinant : GitHub Pages comme plateforme d’hébergement des pages de phishing L’API SheetBest pour l’exfiltration des credentials vers des Google Sheets contrôlées par les attaquants Un bot Telegram comme méthode d’exfiltration alternative pour certaines cibles Les pages de phishing imitent visuellement les portails de banque en ligne légitimes et collectent : noms d’utilisateur, identifiants clients, mots de passe et données de cartes de paiement via un flux multi-étapes. ...

🏥 Contexte Source : Reuters, publié le 15 juin 2026. iRhythm Holdings, entreprise spécialisée dans les technologies médicales, a divulgué un incident de cybersécurité ayant affecté des données hébergées sur des applications tierces. 🔍 Déroulement de l’incident 8 juin 2026 : Détection d’une activité non autorisée sur certaines applications métier hébergées par des tiers 9 juin 2026 : Réception d’une demande de paiement d’un acteur malveillant revendiquant l’obtention de données propriétaires, d’informations de santé protégées (PHI) et d’autres données personnelles 10 juin 2026 : L’incident est qualifié de matériel en raison du volume de données potentiellement affectées 💥 Nature de l’attaque L’accès aux données a été obtenu via ingénierie sociale ciblant des applications métier hébergées par des tiers. L’incident n’a pas impliqué les systèmes cliniques, les dispositifs médicaux, ni les connexions clients. ...

🗓️ Contexte Déclaration publiée le 17 juin 2026 par The Record Media, basée sur le discours annuel de sécurité de Richard Horne, directeur général du National Cyber Security Centre (NCSC) britannique, prononcé au Royal United Services Institute (RUSI). 📊 Chiffres clés révélés Plus de 200 incidents affectant les infrastructures critiques et leur écosystème traités sur l’année écoulée jusqu’en mai ~75% de ces incidents attribués à des acteurs étatiques hostiles Précédemment annoncé : 4 incidents nationalement significatifs par semaine, majoritairement d’origine étatique 🎯 Nature des menaces identifiées Les adversaires pratiquent le prépositionnement au sein des infrastructures critiques britanniques Objectif : établir des points d’ancrage dans les technologies sous-jacentes pour permettre une exploitation rapide en temps de conflit Volt Typhoon, la campagne liée à l’État chinois exposée contre les infrastructures américaines, est citée comme exemple le plus clair de cette tactique L’IA est jugée « très probablement » utilisée d’ici 2028 pour exploiter des vulnérabilités connues dans les technologies vieillissantes des infrastructures critiques 🔄 Changement de paradigme doctrinal Horne abandonne le vocabulaire de gestion des risques au profit de celui du « contest » (affrontement) Alignement avec la déclaration de l’OTAN (2022) qualifiant le cyberespace de domaine « contesté en permanence » Référence aux positions de l’US Cyber Command sur les effets stratégiquement conséquents des attaques sous le seuil de la guerre 🏛️ Contexte législatif et politique Passage en cours du Cyber Security and Resilience Bill au Parlement britannique Publication prévue d’un nouveau National Cyber Action Plan début juillet 2026 📌 Type d’article Article de presse spécialisée rapportant une déclaration officielle de haut niveau. But principal : relayer les avertissements du NCSC sur la nature étatique et conflictuelle des cybermenaces pesant sur les infrastructures critiques britanniques. ...

🔍 Contexte : Le 16 juin 2026, Cato CTRL (Vitaly Simonovich) publie une analyse post-incident détaillée de l’opération « Poisson », couvrant la période du 30 mars au 1er mai 2026. L’analyse repose sur l’historique complet des commandes et la télémétrie capturée en temps réel. 🎯 Cibles : Une petite entreprise française du secteur automobile et quatre individus français. Les victimes sont localisées en Alsace (département 68) et en Val-d’Oise (département 95). ...