TTP

🔍 Contexte : Le 10 juin 2026, l’équipe SonicWall Capture Labs Threat Research a publié une analyse technique d’un échantillon du framework C2 Havoc, connu pour ses capacités de furtivité avancées et utilisé dans diverses campagnes malveillantes. ⚙️ Cycle d’infection : L’infection se déroule en deux étapes : Un script VBS légèrement obfusqué télécharge et exécute un binaire malveillant sous forme de bundle MSI (update.msi) Le MSI dépose deux fichiers imitant des composants Microsoft légitimes : EndpointDLP.dll et MpExtMs.exe, dans le répertoire C:\Users\user\AppData\Local\PlatformServices\ EndpointDLP.dll présente un horodatage falsifié à 2070 (timestomping) 🛡️ Techniques d’évasion : ...

📰 Contexte Article de presse publié le 13 juin 2026 sur Politico.eu, relatant une décision gouvernementale américaine imposant à la société d’IA Anthropic de suspendre l’accès à ses derniers modèles pour les utilisateurs non-américains. 🔒 Mesure de contrôle à l’exportation Le gouvernement américain a ordonné à Anthropic de désactiver l’accès à ses modèles Fable 5 et Mythos 5 pour l’ensemble de ses clients non-américains. La justification officielle repose sur deux éléments : ...

🔍 Contexte Publié le 11 juin 2026 par Sekoia Threat Detection & Research (TDR), cet article constitue une rétrospective analytique de deux décennies d’activité d’APT28 (alias Fancy Bear, Forest Blizzard, Sednit, GRU Unit 26165). Il s’inscrit dans un effort coordonné de publication impliquant des agences gouvernementales et des vendeurs privés, dont le FBI, visant à contraindre les opérations cyber du GRU. 🕰️ Ère 2004–2018 : La chaîne d’implants signature APT28 opère une chaîne d’implants stable reposant sur : ...

📋 Contexte Le 10 juin 2026, la Cybersecurity and Infrastructure Security Agency (CISA) a publié la Binding Operational Directive 26-04 (BOD 26-04) intitulée Prioritizing Security Updates Based on Risk. Cette directive est contraignante pour l’ensemble des agences fédérales civiles américaines (Federal Civilian Executive Branch — FCEB). Elle est publiée sur le site officiel cisa.gov. 🎯 Objectif et portée La directive vise à moderniser la gestion des vulnérabilités au sein du gouvernement fédéral américain en priorisant la remédiation selon le niveau de risque réel plutôt qu’en traitant toutes les vulnérabilités de manière uniforme. Elle s’applique à tous les systèmes d’information fédéraux (Federal Information Systems), y compris ceux hébergés dans des environnements tiers (FedRAMP, cloud). ...

📰 Source : SecurityAffairs — Date de publication : 5 juin 2026 Cisco publie une alerte concernant CVE-2026-20245 (score CVSS 7.8), une vulnérabilité d’élévation de privilèges affectant Cisco Catalyst SD-WAN Manager (anciennement SD-WAN vManage). La faille permet à un attaquant local authentifié d’exécuter des commandes arbitraires en tant que root via une injection de commande par upload de fichier. 🔍 Mécanisme d’exploitation : La vulnérabilité est due à une validation insuffisante des entrées utilisateur L’attaquant doit disposer de privilèges netadmin sur le système cible Ces privilèges peuvent être obtenus via des identifiants volés ou en chaînant l’exploitation de CVE-2026-20182 ou CVE-2026-20127 L’exploitation peut entraîner des modifications de configuration poussées vers les équipements edge 🌐 Périmètre affecté : ...

🔍 Contexte Publié le 8 juin 2026 sur le blog officiel de Check Point, cet article annonce la découverte et l’exploitation active d’une vulnérabilité critique affectant les produits VPN de l’éditeur. 🚨 Vulnérabilité identifiée CVE-2026-50751 est une vulnérabilité de contournement d’authentification (authentication bypass) de sévérité critique. Elle affecte les déploiements Check Point Remote Access VPN et Mobile Access configurés pour utiliser le protocole d’échange de clés IKEv1 (déprécié). Le défaut repose sur une faille logique dans la validation des certificats, permettant à un attaquant d’établir une session VPN sans posséder de mot de passe valide, contournant ainsi entièrement les mécanismes d’authentification. ...

🔍 Contexte Le 12 juin 2026, watchTowr Labs publie une analyse technique approfondie de CVE-2026-50751, une vulnérabilité de bypass d’authentification (CVSS 9.3) affectant les produits Check Point Remote Access VPN, Mobile Access et Spark Firewall. Check Point a publié des hotfixes le 8 juin 2026. La vulnérabilité est inscrite au CISA KEV et a été exploitée in the wild. 🎯 Produits affectés Les versions Gaia suivantes sont concernées : R80.20.X, R80.40, R81, R81.10, R81.10.X, R81.20, R82, R82.00.X, R82.10 Les versions en fin de support ne reçoivent aucun hotfix. ...

🔍 Contexte Le 29 mai 2026, l’équipe sécurité du projet Helm (gestionnaire de packages Kubernetes) a publié un avis de sécurité sur son blog officiel (helm.sh) concernant le domaine baltocdn.com, anciennement utilisé comme miroir APT communautaire pour les distributions Debian et Ubuntu. 📅 Chronologie des événements Septembre 2025 : Décommissionnement du miroir APT baltocdn.com et arrêt de l’infrastructure sous-jacente. 19 mai 2026 : Réenregistrement du domaine baltocdn.com par un tiers inconnu après expiration de l’enregistrement original. 29 mai 2026 : Publication de l’avis de sécurité suite à des signalements tiers indiquant que le domaine pourrait être utilisé pour servir du contenu malveillant. ⚠️ Nature de la menace Le domaine baltocdn.com n’est plus sous le contrôle de l’opérateur APT d’origine. Tout système, script CI/CD, Dockerfile, image de conteneur ou configuration de gestion encore référençant ce domaine pourrait télécharger et exécuter des binaires malveillants en lieu et place des packages Helm légitimes. L’équipe Helm précise ne pas avoir confirmé indépendamment les rapports de contenu malveillant, mais qualifie tout usage continu du domaine de risque potentiel de supply chain. ...

🎯 Contexte Publié le 11 juin 2026 sur SuspectFile.com par Marco A. De Felice (alias amvinfe), cet article présente une interview exclusive du groupe cybercriminel Everest, actif depuis au moins 2020. Il s’agit d’un échange direct entre le journaliste et les opérateurs du groupe, offrant une perspective rare sur leur évolution opérationnelle sur six ans. 🕰️ Évolution opérationnelle Everest a initialement opéré selon un modèle basé exclusivement sur l’exfiltration de données et l’extorsion par menace de publication, sans chiffrement. Le groupe a ensuite adopté la double extorsion (vol + chiffrement) après avoir constaté que le chiffrement des systèmes génère une pression financière plus efficace sur les victimes. ...

🗓️ Contexte Source : BleepingComputer, publié le 10 juin 2026. L’article rapporte l’exploitation active d’une vulnérabilité haute sévérité dans Langflow, une plateforme open-source de développement d’applications IA très populaire (149 000 étoiles GitHub, 9 200 forks). 🔍 Vulnérabilité CVE-2026-5027 est une faille de path traversal dans la fonctionnalité d’upload de fichiers de Langflow. L’endpoint POST /api/v2/files ne sanitise pas le paramètre filename des données multipart, permettant à un attaquant d’écrire des fichiers à des emplacements arbitraires du système de fichiers via des séquences ../. ...