TTP

🔍 Contexte Publié le 30 mars 2026 par watchTowr Labs, cet article constitue la Partie 2 d’une analyse de la vulnérabilité CVE-2026-3055 affectant Citrix NetScaler. Les chercheurs ont découvert que ce CVE unique couvre en réalité au moins deux vulnérabilités distinctes de type memory overread. 🐛 Vulnérabilités identifiées Les deux endpoints affectés sont : /saml/login (analysé en Partie 1) /wsfed/passive?wctx (objet de cet article) La seconde vulnérabilité est déclenchée par une requête GET vers /wsfed/passive?wctx où le paramètre wctx est présent dans la query string mais sans valeur ni symbole =. Le système vérifie uniquement la présence du paramètre sans valider l’existence de données associées, ce qui provoque un accès à de la mémoire morte (dead memory). ...

🔍 Contexte Publié le 30 mars 2026 par The Cyber Express, cet article couvre la divulgation de CVE-2026-3055, une vulnérabilité critique affectant les appliances Citrix NetScaler ADC et NetScaler Gateway. Le bulletin de sécurité officiel CTX696300 a été créé le 23 mars 2026 et modifié le 27 mars 2026. ⚠️ Détails de la vulnérabilité CVE-2026-3055 : Score CVSS 9.3 (critique), classée sous CWE-125 (Out-of-bounds Read / Memory Overread) Causée par une validation insuffisante des entrées, permettant à un attaquant non authentifié d’accéder à des zones mémoire non prévues et potentiellement d’exposer des données sensibles L’exploitation nécessite que l’appliance soit configurée en tant que SAML IDP (Identity Provider) Identifiée en interne par Citrix lors de revues de sécurité 🎯 Versions affectées NetScaler ADC / Gateway 14.1 avant 14.1-60.58 NetScaler ADC / Gateway 13.1 avant 13.1-62.23 NetScaler ADC 13.1-FIPS et 13.1-NDcPP avant 13.1-37.262 🔗 Vulnérabilité secondaire CVE-2026-4368 : Score CVSS 7.7, race condition entraînant des mélanges de sessions utilisateurs, affecte uniquement la version 14.1-66.54 avec des configurations Gateway ou AAA virtual servers 🕵️ Activité des acteurs malveillants Des efforts de reconnaissance active ont été observés peu après la divulgation publique. Les acteurs malveillants scannent les systèmes pour identifier ceux configurés en SAML IDP, condition préalable à l’exploitation, avant de lancer une attaque complète. ...

🔍 Contexte Publié le 29 mars 2026 par BleepingComputer, cet article rapporte la découverte et la correction d’une vulnérabilité de lecture de fichiers arbitraires dans le plugin WordPress Smart Slider 3, installé sur plus de 800 000 sites web. 🐛 Vulnérabilité CVE : CVE-2026-3098 Sévérité : Moyenne (authentification requise) Versions affectées : toutes les versions jusqu’à 3.5.1.33 incluse Version corrigée : 3.5.1.34 (publiée le 24 mars 2026) Découvreur : Dmitrii Ignatyev, signalement à Wordfence le 23 février 2026 ⚙️ Mécanisme technique La faille réside dans l’absence de vérification de capacités sur les actions AJAX d’export du plugin. La fonction actionExportAll ne valide ni le type de fichier ni la source, permettant d’inclure n’importe quel fichier serveur dans l’archive d’export. ...

🔍 Contexte Publié le 28 mars 2026 par la Nokia Deepfield Emergency Response Team (ERT), ce rapport documente Drifter, un botnet DDoS jusqu’alors inconnu. Il s’inscrit dans une série de recherches sur l’écosystème de botnets exploitant la surface d’attaque ADB (Android Debug Bridge) sur des appareils Android TV non certifiés. 🎯 Vecteur d’infection et cibles Drifter cible les appareils Android TV AOSP bon marché exposant ADB sans authentification, la même population de dispositifs que MossadProxy v2.5.2, Jackskid et Kimwolf. Le dropper installe l’APK sous le nom com.siliconworks.android.update, accorde des permissions runtime, se met en liste blanche de l’optimisation batterie, et se relance toutes les 60 secondes via un BootReceiver (priorité 999). ...

🔍 Contexte Rapport publié par Sekoia Threat Detection & Research (TDR) le 30 mars 2026, initialement distribué en privé le 25 mars 2026. L’analyse porte sur EvilTokens, un nouveau kit de Phishing-as-a-Service (PhaaS) découvert en mars 2026 via la surveillance de communautés cybercriminelles axées sur le phishing. 🎯 Description de la menace EvilTokens est un kit PhaaS clé en main ciblant Microsoft 365 via la technique de device code phishing, exploitant le flux OAuth 2.0 Device Authorization Grant. Contrairement aux plateformes AitM classiques, EvilTokens incite les victimes à entrer un code utilisateur sur la page légitime de Microsoft, permettant à l’attaquant de récupérer des access tokens et refresh tokens valides. ...

🔍 Contexte Source : BleepingComputer, publié le 30 mars 2026. F5 Networks a mis à jour son advisory pour reclassifier CVE-2025-53521, initialement catégorisée comme une vulnérabilité de déni de service (DoS), en exécution de code à distance (RCE) de sévérité critique, suite à de nouvelles informations obtenues en mars 2026. 🎯 Vulnérabilité et impact Produit affecté : F5 BIG-IP APM (Access Policy Manager) CVE : CVE-2025-53521 Type : Remote Code Execution (RCE) sans authentification préalable Condition d’exploitation : BIG-IP APM avec des politiques d’accès configurées sur un serveur virtuel Impact observé : déploiement de webshells sur les équipements vulnérables non patchés Exposition : Shadowserver recense plus de 240 000 instances BIG-IP exposées sur Internet ⚠️ Exploitation active F5 confirme que la vulnérabilité est activement exploitée dans la nature. Des indicateurs de compromission (IOCs) ont été publiés par F5. La CISA a ajouté CVE-2025-53521 à sa liste des vulnérabilités activement exploitées et a ordonné aux agences fédérales américaines de sécuriser leurs systèmes BIG-IP APM avant le 30 mars 2026 à minuit. ...

🔍 Contexte Rapport publié le 27 mars 2026 par StealthMole (blog intelligence), analysant le collectif hacktivist IndoHaxSec, présenté comme une entité indonésienne à motivation pro-palestinienne. L’investigation a été déclenchée par la découverte d’une fuite de données impliquant 514 400 enregistrements de la population et de commerçants sud-coréens. 🎯 Profil du groupe IndoHaxSec se positionne comme un acteur hacktivist politiquement motivé, principalement autour du conflit Israël-Palestine. Le groupe opère sur une infrastructure distribuée couvrant : ...

🔍 Contexte Source : BleepingComputer, publié le 30 mars 2026. La Commission européenne a officiellement confirmé une violation de données affectant sa plateforme web Europa.eu, suite à une cyberattaque revendiquée par le groupe d’extorsion ShinyHunters. 🎯 Nature de l’attaque L’attaque a ciblé au moins un compte AWS (Amazon Web Services) de la Commission européenne. Les systèmes internes de la Commission n’ont pas été affectés, et aucun site Europa n’a été perturbé. Les équipes ont pris des mesures de confinement pour stopper le vol de données. ...

📋 Contexte : Rapport semestriel publié le 30 mars 2026 par l’Office fédéral de la cybersécurité (OFCS) suisse, couvrant la période juillet–décembre 2025. Premier rapport intégrant à la fois les déclarations volontaires et les 145 déclarations obligatoires issues de la nouvelle loi en vigueur depuis le 1er avril 2025 pour les infrastructures critiques. 📊 Statistiques clés : 29 006 déclarations volontaires reçues au S2 2025 52 % des annonces concernent la fraude 57 incidents ransomware signalés directement (79 au total toutes sources confondues) 73 cas de Business Email Compromise (BEC) au S2 2025 Secteurs les plus touchés par les déclarations obligatoires : secteur public (25 %), IT/télécoms (18 %), finance/assurances (15,7 %) 🦠 Ransomware – menace dominante : ...

🔍 Contexte Publié le 30 mars 2026 par OpenSourceMalware.com, cet article constitue une rétrospective complète de la campagne supply chain orchestrée par TeamPCP en mars 2026. L’attaque a débuté par un incident de moindre ampleur en février 2026 et s’est transformée en la compromission en cascade de cinq écosystèmes majeurs en l’espace de cinq jours. 🎭 Acteur de la menace TeamPCP (alias DeadCatx3, PCPcat, ShellForce) est un groupe à motivation financière, spécialisé dans les environnements cloud-native. Il est lié à l’opération de ransomware CipherForce et entretient des liens de coordination confirmés avec LAPSUS$, selon le CTO de Mandiant Charles Carmakal lors de la RSA Conference. Le groupe est suivi par Aikido Security, Socket, Wiz, Flare et d’autres. ...