XMRig

🗓️ Contexte Source : Cryptika (relayant CyberSecurityNews.com), publié le 3 novembre 2026. L’analyse s’appuie sur un rapport de menace de PolySwarm du 2 novembre 2026, lui-même fondé sur une investigation de Check Point Research ayant suivi des dépôts GitHub frauduleux pendant environ deux mois (depuis juillet 2026). 🎯 Nature de l’attaque La campagne distribue le malware Yoba via de faux installeurs se faisant passer pour des applications de bureau IA : GPT-5.6 Sol, GPT-6 Astra et Claude Opus. Les archives ZIP sont hébergées sur GitHub Releases et promus via des dépôts GitHub et des sites GitHub Pages. Un empoisonnement SEO est suspecté pour assurer leur visibilité dans les résultats Google. ...

🔍 Contexte : Le 29 octobre 2026, Pluto Research (Pluto Security) publie une analyse technique détaillée d’une campagne malveillante exploitant les dépôts de modèles IA sur Hugging Face et ModelScope. L’investigation a été menée par Shaked Chen, Eitan Chassid et Yotam Perkal. ⚠️ Nature de la menace : La campagne exploite le mécanisme trust_remote_code=True de la bibliothèque Transformers (HuggingFace), qui permet l’exécution de code Python arbitraire lors du chargement d’un modèle. Les fichiers Python référencés via auto_map dans config.json s’exécutent avant même l’initialisation du modèle, sans nécessiter de poids malveillants. ...

🌐 Contexte ESET Research a publié le 31 octobre 2026 son rapport semestriel sur l’activité des groupes APT entre avril et septembre 2026. Ce rapport couvre les opérations de groupes alignés avec la Chine, l’Iran, la Corée du Nord, la Russie et la Biélorussie, basé sur la télémétrie propriétaire d’ESET. 🇨🇳 Groupes alignés Chine FamousSparrow maintient sa surveillance en Amérique du Sud SlippyNunchucks cible des individus sinophones au Sri Lanka via le détournement des mises à jour de QuickFox pour déployer le toolset DarkVigil (aka FDMTP) Un acteur non identifié cible un hôtel à Palau dans le cadre présumé d’efforts anti-fraude des autorités chinoises, via AdaptixC2 et un backdoor nommé FoetidBracket Flax Typhoon compromet une entreprise chimique taïwanaise via une application publique obsolète, en utilisant SoftEther VPN Ciblage de l’industrie des semi-conducteurs taïwanaise, avec chevauchement avec le groupe UNK_FistBump (Proofpoint) via une chaîne Cobalt Strike 🇮🇷 Groupes alignés Iran/Moyen-Orient FilthyFeline (sous-groupe d’OilRig) et MuddyWater reprennent leurs opérations après une période de silence liée aux restrictions internet iraniennes Ciblage principal : entités israéliennes dans de multiples secteurs, quelques entreprises américaines FilthyFeline reprend le ciblage d’un opérateur de données cellulaires en Ouzbékistan précédemment compromis par BladedFeline MuddyWater exploite un prestataire IT israélien pour envoyer des spearphishings avec ScreenConnect Arid Viper (affilié Hamas) réapparaît avec une nouvelle version de Arid Gopher ciblant le Ministère des Affaires étrangères de l’Autorité palestinienne BladedFeline déploie un nouveau backdoor nommé SharpShareIT TortoiseShell met à jour son IMAPLoader avec des techniques d’évasion supplémentaires 🇰🇵 Groupes alignés Corée du Nord Lazarus relance l’Opération DreamJob contre le secteur des drones/UAS, ciblant des entreprises de défense en Europe centrale via un SumatraPDF trojanisé et des plugins Notepad++ malveillants (MortPusLoader), déployant ScoringMathTea RAT et LightlessTeaR ScarCruft distribue une version trojanisée de Zangi Messenger contenant BirdCall (Android), et un installateur BlueStacks trojanisé menant à RokRAT ScarCruft déploie le ver BlankOverride (via supports amovibles, charge utile BLUELIGHT) contre des infrastructures portuaires en Afrique ScarCruft déploie CinderRelay, un backdoor Linux serveur utilisé comme nœud de réseau covert DeceptiveDevelopment remonte la chaîne d’approvisionnement logicielle : vol de credentials Git/SSH, injection de code malveillant dans des dépôts publics/privés (npm, PyPI, Go, Packagist), utilisation de NullReceiver (résolution C2 via blockchain Ethereum), déploiement d’OmniStealer et DEV#POPPER RAT 🇷🇺 Groupes alignés Russie Gamaredon enregistre une baisse significative d’activité depuis mi-mai 2026, mais continue sa collaboration avec Turla : déploiement de Rezzuar (VBScript de reconnaissance) via PteroPSDoor, et mise à jour de PteroBox (ajout des extensions .cdr et .kmz) PhantomCaptcha (UAC-0244) cible des municipalités et établissements de santé ukrainiens avec des chaînes malveillantes LNK/HTA/JavaScript, déployant AGINGFLY (RAT C# WebSocket), SILENTLOOP, CHROMELEVATOR, ZAPiXDESK, et distribue le spyware Android PrincessSpy via de faux sites imitant ab3.army Exploitation active de la vulnérabilité CVE-2025-8088 (path traversal WinRAR dans ClamAV) dans les serveurs MDaemon en Ukraine, déployant les backdoors HELLAGE et HELLTAG (Telegram-based) 🇧🇾 Groupes alignés Biélorussie FrostyNeighbor (UNC1151/PUSHCHA/Storm-0257/TA445) conduit la première cyberattaque destructrice documentée d’un acteur biélorusse en Europe : déploiement d’un wiper VBScript via Group Policy contre une entreprise manufacturière ukrainienne du secteur des transports, après utilisation de Chisel, UltraVNC et Cobalt Strike Convergence croissante des opérations biélorusses avec les priorités russes en Ukraine 🤖 Usage de l’IA par les APT Utilisation de LLMs pour accélérer le développement de malwares, créer des sites leurres et analyser de grands volumes de données UAC-0099 insère une demande de fabrication d’arme nucléaire dans un commentaire de script pour tenter de déclencher les garde-fous des outils de sécurité basés sur LLM Leurres de phishing avec images générées par IA détectées 📋 Type d’article Rapport semestriel de threat intelligence publié par ESET Research, destiné à fournir une vue d’ensemble structurée de l’activité APT mondiale pour les équipes de sécurité et les décideurs. ...

🔍 Contexte Publié le 21 octobre 2026 par Priti More et Susmit Yenkar (ESG Broadcom / Symantec), cet article de threat intelligence documente la découverte d’un agent offensif autonome nommé Skynet, capturé via un honeypot IA de Symantec durant l’été 2026. 🤖 Nature de la menace Les attaquants ont conçu un agent LLM autonome capable de : Rechercher sur internet des endpoints LLM exposés (sans authentification ou avec des clés volées) S’y connecter et y injecter un jeu complet d’instructions offensives Opérer jusqu’à 100 000 étapes sans supervision humaine Cette activité constitue une forme de LLMjacking : le coût d’inférence est supporté par la victime propriétaire du modèle détourné. ...

🔍 Contexte Article publié le 18 octobre 2026 sur le blog BoredHackerBlog, rédigé par un chercheur en sécurité et utilisateur Plex ayant mis en place un honeypot pour observer l’exploitation in-the-wild de vulnérabilités annoncées par Plex le 1er septembre 2026. 🛡️ Vulnérabilités exploitées Le chercheur zmain a découvert et chaîné plusieurs vulnérabilités dans Plex Media Server v1.43.2 et antérieures pour obtenir une exécution de code à distance (RCE). Les CVE associées sont : ...

🔍 Contexte Publié le 22 septembre 2026 par ThreatDown, cet article présente l’analyse technique détaillée de CARBONATO, un botnet découvert en août 2026 via un registre Docker non authentifié exposé publiquement depuis mai 2026. L’exposition a permis la collecte passive de 59 dépôts, 234 tags d’images, 605 blobs SHA-256 vérifiés et 4,3 Go de données sur une période allant d’octobre 2024 à août 2026. ⚙️ Fonctionnement du botnet CARBONATO opère en cinq phases : ...

🔍 Contexte Analyse publiée le 18 septembre 2026 par K7 Computing Labs (https://labs.k7computing.com), suite à l’investigation d’un système présentant des alertes fréquentes liées à des exécutions PowerShell. L’analyse a révélé une chaîne d’infection multi-étapes reposant massivement sur l’obfuscation, le stockage de payloads dans le registre, la livraison covert de données, des mécanismes de persistance, la neutralisation des contrôles de sécurité et l’exécution en mémoire. 🧩 Phase 1 : Exécution PowerShell via le registre et livraison PNG Le vecteur initial est un script PowerShell (vstdfehze.ps1) exécuté avec -executionPolicy Bypass qui récupère dynamiquement un payload encodé depuis la clé de registre HKLM:\Software\uf42a9660377\vstdfehzr. Le script : ...

🔍 Contexte Publié le 2 septembre 2026 par Elastic Security Labs (auteurs : Daniel Stepanic, Salim Bitam, Jia Yu Chan), cet article présente une analyse technique détaillée de REVSTEALER, un infostealer émergent suivi sous la référence interne REF2859. Gen Threat Labs avait déjà couvert ce malware plus tôt dans l’été 2026. 📦 Distribution et vecteur d’attaque REVSTEALER est distribué principalement via ingénierie sociale ciblant les joueurs, notamment : 17 chaînes YouTube compromises promouvant de faux cheats et mod menus via des vidéos générées par IA Domaines malveillants associés : elitecheatsx[.]live et resight-cheats[.]net Usurpation de logiciels légitimes (Slack, qBittorrent, Steel Series GG, Blender) pour des campagnes multi-thèmes ~4 700 échantillons identifiés sur VirusTotal via Retrohunt YARA sur un an Majorité des samples packés avec VMProtect ⚙️ Fonctionnalités principales Anti-analyse Système de scoring sandbox (10 vérifications pondérées) : si score ≥ 7, auto-terminaison Vérifications : nombre de cœurs CPU, RAM, GPU/PCI vendor, uptime, CPUID, virtualisation, Media Foundation, liste de processus/usernames bloqués, timing checks Exclusion CIS : vérification de la langue système et du layout clavier via hash FNV-1a ; terminaison si locale CIS détectée Syscalls indirects, API hashing, chiffrement de chaînes, contournement des hooks user-mode, gestion d’exceptions personnalisée Watermarking de payload : jeton de 16 octets en fin de fichier, fenêtre de vérification à 6 caractères (similaire à LummaStealer/AuraStealer) Collecte de credentials 225 identifiants d’extensions Chromium (wallets crypto, gestionnaires de mots de passe) 51 applications wallet standalone Clients de messagerie, VPN, FTP, OBS Studio, Windows Sticky Notes, applications 2FA Bypass App-Bound Encryption (ABE) : lancement du navigateur sous contrôle débogueur, hardware breakpoint pour lire la clé déchiffrée en mémoire (inspiré de ElevationKatz/ChromeKatz) Collecte de documents, fichiers de configuration, données clipboard, screenshot, liste de processus, applications installées Plateformes gaming ciblées Battle.net, EA Desktop, Steam, Roblox (via CryptUnprotectData), Minecraft (multiples launchers) Dead drop Polygon (EtherHiding) Chaque build contient une adresse C2 primaire et une adresse de smart contract Polygon En cas d’indisponibilité du C2 primaire : interrogation de jusqu’à 5 endpoints JSONRPC Polygon publics, déchiffrement AES d’un C2 de fallback 🧩 Quatre modules C2 additionnels Module Capacité ProManager Vol de wallets/extensions, overlays de phishing, capture d’input, livraison de payload WinUpdate Remplacement d’adresses crypto dans le clipboard, vol de mnémoniques SoftManager Proxy SOCKS5 inversé, accès backconnect via WebSocket chiffré LockAppHost Déploiement XMRig, suspension de concurrents, persistance Tous les modules partagent : configuration obfusquée, protection VMProtect, dead drops Polygon. ...

🔍 Contexte Publié le 3 septembre 2026 par Huntress (blog officiel), cet article détaille une campagne active observée fin août 2026 impliquant des clients ScreenConnect compromis et modifiés, utilisés pour propager une chaîne d’attaque multi-étapes à travers des organisations non liées. 🎯 Vecteur initial et propagation Les incidents débutent tous par de l’ingénierie sociale : Abus de Quick Assist (outil Windows légitime) dans le cadre de faux supports techniques Phishing conduisant au téléchargement de ScreenConnect.ClientSetup.msi Recherche d’un formulaire Geek Squad menant à l’exécution de ScreenConnect.Client.exe Une fois le client ScreenConnect malveillant installé, il exécute wscript.exe de manière répétée pour lancer quatre fichiers VBScript (1.vbs, 2.vbs, 3.vbs, 4.vbs). Le comportement vermiforme repose sur des clients ScreenConnect modifiés qui, lors de nouvelles connexions Host, transfèrent et exécutent automatiquement ces quatre scripts sur les endpoints nouvellement connectés. ...

🗓️ Contexte Article publié le 27 août 2026 par la Flare Emerging Threats Team sur flare.io. Il documente l’investigation ayant conduit à la deanonymisation d’un opérateur du groupe TeamPCP et aux arrestations de deux individus liés à ce groupe. 🎯 Qui est TeamPCP ? TeamPCP est un groupe cybercriminel apparu fin 2025, initialement spécialisé dans l’exploitation opportuniste de services cloud exposés : Scan automatisé d’APIs Docker, plans de contrôle Kubernetes, dashboards Ray, instances Redis Déploiement de conteneurs sur chaque hôte compromis, transformés en nœuds de scan et de proxy Revenus via minage XMRig (Monero), réseau proxy loué, et revente/extorsion de données volées En décembre 2025 : campagne React2Shell contre des applications Next.js, revendiquant plus de 59 000 serveurs compromis en moins de 48 heures 🔗 Pivot vers la supply chain logicielle (2026) En février 2026, TeamPCP exploite un workflow GitHub Actions mal configuré dans Aqua Security Trivy (scanner de vulnérabilités open-source le plus déployé) et vole un token de compte de service. La rotation des credentials est incomplète, laissant un accès résiduel. ...