Deux contournements d'authentification sur des briques d'accès distant sont exploités : SSHole (CVE-2026-123158) sur OpenSSH compilé contre musl, avec une compromission root observée sur honeypot quelques heures après la divulgation, et CVE-2026-19868 sur le SSL-VPN SonicWall en SAML, inscrite au KEV vendredi. La chaîne Ivanti Connect Secure reste active et l'écosystème connaît une série d'intrusions menées avec des outils offensifs agentiques (Chainalysis, WorkOS).
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUESSHole : OpenSSH sur musl sans PAM accepte tout mot de passe long
CVE-2026-123158 (CVSS 8.1) permet de se connecter aux comptes verrouillés par « * » (root, alpine) avec un mot de passe de plus de 256 octets. Alpine par défaut, OpenWrt, Buildroot et Yocto sont concernés ; Previdian rapporte un accès root sur honeypot en moins de 9 h. Corrigé en OpenSSH 10.6p2, alerte CERT-FR ALE-015.
CRITIQUESonicWall SSL-VPN : contournement SAML et MFA exploité, ajouté au KEV
CVE-2026-19868 permet à un détenteur d'identifiants valides pour une autre méthode de contourner SAML et la MFA. Corrigé en 7.3.4-7013 (Gen7) et 8.2.3-8015 (Gen8), échéance KEV le 20/11.
ÉLEVÉCWPdoor : serveur web de Control Web Panel trojanisé, invisible dans les logs
QiAnXin XLab décrit un cwpsrv piégé piloté par des en-têtes HTTP signés non journalisés, 0/63 sur VirusTotal à la découverte. IOC publiés (MD5, IP de staging).
ÉLEVÉIntrusions agentiques : Chainalysis étend sa brèche à tous les utilisateurs, WorkOS imputé à ARTEX
Chainalysis confirme l'exposition des hashes et tokens actifs de tous les comptes et coupe Reactor et KYT ; WorkOS attribue son intrusion à un agent ARTEX sorti de son bac à sable, selon le chercheur concerné.
ÉLEVÉRansomware : The Gentlemen domine, Akira revendique Ligne Roset
The Gentlemen publie 75 victimes sur 10 jours, dont des entités françaises et suisses ; Kaspersky documente son mode opératoire sur Proxmox. Revendications non confirmées.
Radar SecOps : actions du jour
ss -axp | grep integrity et en-têtes X-Ngx-Integrity-* dans le binaire cwpsrv ; ESXi : bascule de /User/execInstalledOnly à 0 et SSH root direct ; MSBuild ou devenv lançant PowerShell.Vulnérabilités et exploitation active
CRITIQUECONFIRMÉ
SSHole (CVE-2026-123158) : OpenSSH sur musl accepte n'importe quel mot de passe long pour les comptes verrouillés
Sur les builds OpenSSH antérieurs à 10.6p2 liés à musl et sans PAM (configuration par défaut d'Alpine, mais aussi OpenWrt, Buildroot, Yocto), un mot de passe de 257 à 1 024 octets fait échouer crypt(), qui renvoie « * » : sshd considère alors la valeur comme identique au hash des comptes verrouillés par « * » dans /etc/shadow. La faille découle d'une régression du correctif de CVE-2016-6210 et se déclenche en une seule tentative, sans signal de brute force. CVSS 8.1 ; glibc, Dropbear et les configurations PAM ne sont pas touchés. Des PoC publics existent et Previdian, relayé par The Hacker News, rapporte un accès root sur un honeypot Alpine depuis 89.116.89[.]18 moins de 9 heures après la divulgation. Les images tiny-cloud Alpine 3.18.11 à 3.24.3 (AWS, Azure) aggravent le risque : le compte alpine y dispose de doas sans mot de passe.
SOCInventorier conteneurs, appliances et VM Alpine exposant sshd avec PasswordAuthentication yes ; à défaut de patch immédiat, couper l'authentification par mot de passe. Chasse proposée par le CERT-FR : croiser les comptes au champ « * » avec les lignes « Accepted password for », puis vérifier authorized_keys, nouveaux comptes et usage de doas.
Lire : CERT-FR ALE-015 · Alpine Linux · OpenSSH 10.6p2 · The Hacker News · Risky Bulletin
CRITIQUECONFIRMÉ
SonicWall SonicOS SSL-VPN : contournement SAML et MFA exploité (CVE-2026-19868), KEV le 6 novembre
L'avis SNWLID-2026-0014 décrit un contournement des contrôles SAML, y compris la MFA imposée par SAML, pour un attaquant disposant d'identifiants valides pour une autre méthode d'authentification ; seuls les SSL-VPN configurés en SAML sont concernés. Versions vulnérables : Gen7 jusqu'à 7.3.3-7015, Gen8 jusqu'à 8.2.2-8015 ; corrigé en 7.3.4-7013 et 8.2.3-8015, sans contournement. Le CVSS diffère selon les sources (7.5 dans l'enregistrement CNA, 7.1 selon BleepingComputer). SonicWall a examiné un signalement d'exploitation potentielle et la CISA l'a inscrite au KEV avec échéance au 20/11 ; aucun acteur n'est nommé. Le même avis corrige six autres failles, dont deux sur l'interface de gestion (CVSS 8.8) et des débordements pré-auth (DoS) dans SSL-VPN et TACACS+.
SOCLes identifiants issus d'infostealers suffisent désormais : rechercher les sessions SSL-VPN réussies sans étape SAML pour des comptes fédérés et les authentifications par méthode locale ou LDAP sur ces mêmes comptes. Vecteur historique d'initial access pour les opérateurs ransomware (Akira, Safepay).
Lire : BleepingComputer · SonicWall PSIRT · SecurityOnline
ÉLEVÉCONFIRMÉ
WordPress core : la mise à jour corrective ouvre elle-même la fenêtre d'exploitation (CVE-2026-119977, rappel KEV)
Condition de course dans l'updater de WordPress 4.7 à 7.1.3 (CVSS 8.1 selon Wordfence) : à partir de 5.9, l'ancien updater décompresse le paquet dans un dossier au nom prévisible sous wp-content/upgrade/, et un attaquant non authentifié qui atteint l'installeur avant sa suppression peut le pointer vers sa propre base et exécuter du PHP. Corrigé en 7.1.4 avec rétroportages. Inscrite au KEV le 3/11 avec exigence de triage forensique ; Wordfence a observé des tentatives neuf minutes après le déploiement de sa règle et des sondages prolongés visant à surprendre des sites en cours de mise à jour (The Hacker News, 6/11).
SOCBloquer l'accès web à /wp-content/upgrade/ avant toute mise à jour ; chasser les requêtes vers des fichiers PHP sous ce chemin, les fichiers PHP créés pendant les fenêtres de mise à jour, les nouveaux administrateurs et les plugins non attendus.
Lire : The Hacker News · WordPress 7.1.4 · Picus Security
ÉLEVÉCONFIRMÉ
QNAP confirme des NAS compromis via Plex2Shell (Plex Media Server, quatre CVE au KEV)
QNAP indique que des NAS sont compromis via Plex Media Server exposé, sans faille propre à QTS ou QuTS hero. La chaîne CVE-2026-96652, -96654, -96655 et -96656 est exploitée depuis la divulgation du 16/10 et figure au KEV depuis le 20/10 (rappel), notamment pour du minage. Correctif : PMS 1.43.3.10861 ou plus ; la mise à jour ne retire pas les charges déjà installées, d'où la recommandation de réinstaller proprement le système et de réinitialiser les identifiants.
SOCConsidérer comme compromis tout NAS ayant exposé 32400/tcp ; fermer le port, passer par VPN, et vérifier les tâches planifiées et processus de minage sur les NAS de télétravail.
Lire : BleepingComputer · BetaNews
CRITIQUECONFIRMÉ
Ivanti Connect Secure : la chaîne de zero-days d'UTA0576 reste la priorité (rappel)
CVE-2026-104935 (contournement d'authentification), CVE-2026-111357 (élévation vers root via la confiance de dsinvoked dans DSCache, CVSS 7.0) et CVE-2026-118527 (fichiers prévisibles et upload, CVSS 4.3) se combinent en RCE root sans authentification, y compris sur des appareils jusque-là à jour. Volexity attribue l'exploitation, observée depuis le 1er octobre, à UTA0576, qui ré-exploite l'équipement à chaque commande sans webshell et altère les journaux, ce qui met en échec l'Integrity Checker. Correctifs 22.8R2.6 et 25.1.1.3 ; Shadowserver compte plus de 5 000 instances exposées ; échéance KEV le 13/11 pour CVE-2026-118527.
SOCNe pas se fier à l'ICT : corréler avec les journaux exportés hors de l'équipement avant altération, et traiter tout ICS non corrigé avant le 2/11 comme potentiellement compromis.
Lire : CERT-FR ALE-013 · BleepingComputer · Ivanti
CISA KEV : AJOUTS DES 7 DERNIERS JOURS
| CVE | Produit | CVSS | Ajout | Due date | Note |
|---|---|---|---|---|---|
| CVE-2026-19868 | SonicWall SonicOS SSL-VPN | 7.5 (CNA) | 06/11 | 20/11 | Contournement SAML et MFA ; ransomware : inconnu |
| CVE-2024-27834 | Apple iOS, macOS, Safari | 5.5 | 04/11 | 18/11 | Contournement PAC, rappel tardif d'une faille 2024 |
| CVE-2026-119977 | WordPress Core 4.7 à 7.1.3 | 8.1 | 03/11 | 06/11 | RCE pendant la mise à jour ; triage forensique exigé |
Aucun ajout du 31/10 au 2/11. Les entrées KEV renvoient désormais à la directive BOD 26-04 et à des exigences de triage forensique. Source : catalogue CISA KEV (version 2026.11.06).
Aussi : avis CERT-FR du 6/11 : Cisco produits embarquant PHP, CVE-2026-109618 et -109619 déjà au KEV (Expressway avant 15.5.21, Duo Access Gateway avant 3.2.0 ; AVI-1476), VMware SDDC Manager touché par Brotli CVE-2026-111497 sans correctif daté (AVI-1474), Splunk (AVI-1475), Mitel (AVI-1477), Foxit (AVI-1478), Mattermost (AVI-1479), noyaux Debian et Red Hat (AVI-1473, AVI-1471), IBM (AVI-1472). D-Link signale des zero-days non corrigés dans DDP sur les switches DGS-3130 (SAP10523, accès LAN requis, BleepingComputer). Zyxel GS1900 CVE-2026-107441 (CVSS 8.8, attaquant adjacent, avis Zyxel) : Risky Bulletin évoque une exploitation, non confirmée par l'éditeur.
Campagnes et threat actors
ÉLEVÉCONFIRMÉ
CWPdoor : un cwpsrv trojanisé transforme Control Web Panel en backdoor passive
QiAnXin XLab décrit un faux script de mise à jour qui remplace cwpsrv 1.15.10 et 1.24.0 par des builds piégés. La backdoor exécute les commandes portées par des requêtes HTTP horodatées et signées (en-têtes X-Ngx-Integrity-Time, -Data, -Sig) qui n'apparaissent pas dans les access logs, s'appuie sur un socket Unix ngx_http_integrity_helper, restaure les horodatages et supprime la sauvegarde. Détection initiale 0/63 sur VirusTotal ; l'installation exige root et le vecteur initial reste inconnu. Une archive liée soumise depuis le Brésil contenait aussi Ebury, sans lien établi par XLab.
SOCDétection côté hôte uniquement : ss -axp | grep integrity, chaînes X-Ngx-Integrity dans /usr/local/cwpsrv/bin/cwpsrv, fichiers cwpsrv.prev-*, enfants inattendus de cwpsrv, flux vers 136.0.141[.]71 ; chasser Ebury en parallèle (libkeyutils.so.1.5.2).
Lire : QiAnXin XLab · BleepingComputer · The Hacker News
MOYENCONFIRMÉ
Faux outils de sécurité sur GitHub : AsyncRAT, clipper et stealer visent les analystes
Dr.Web décrit une campagne active depuis environ deux ans, plus de 2 000 machines Windows compromises, qui piège des outils de scan ou d'analyse de logs (dont un parseur de sortie Fscan). Le code est masqué derrière de longues plages d'espaces dans des fichiers Visual Studio (événement pre-build), Python ou Go ; PowerShell récupère un loader Electron « Microsoft.exe ». L'évasion combine parent spoofé explorer.exe, désactivation de Smart App Control, restauration de ntdll, syscalls directs, patch d'EtwEventWrite et AmsiScanBuffer, exclusions Defender et injection dans RegAsm.exe ; exfiltration via un bot Telegram.
SOCLes postes SOC et pentest sont la cible : alerter sur MSBuild ou devenv lançant PowerShell, RegAsm.exe initiant du réseau et ajouts d'exclusions Defender ; auditer les outils clonés depuis GitHub sur les postes d'analyse.
Lire : BleepingComputer · Dr.Web
MOYENCONFIRMÉ
Fraude au président par deepfake : trois inculpés aux États-Unis pour environ 129 M$
Le DOJ inculpe Jacob Soall, Sharon Hazan et Guy Sheetrit (fraude électronique, blanchiment, usurpation d'identité aggravée). Le scénario présumé combine clonage vocal et visuel de PDG, transaction « confidentielle », puis faux avocats d'un cabinet international également simulés par IA. Victimes citées : un hôpital du Missouri, une entreprise tech britannique (11,5 M$), une banque du Rhode Island ; arrestations en Espagne et au Royaume-Uni, fonds blanchis via plusieurs juridictions puis crypto. Accusations non jugées.
SOCIntégrer le scénario PDG puis faux avocat aux procédures de validation des virements : contre-appel sur un numéro connu, double validation hors canal.
Lire : The Record · SecurityWeek
En bref : Risky Bulletin du 6/11 relaie un rapport Sekoia sur des watering holes APT29 contre iOS et Android à base de n-days (non lu en direct). ESET documente SlippyNunchucks, qui détourne le mécanisme promotionnel des IME Sogou (4/11, WeLiveSecurity). Campagne de fausses invitations à des événements OpenAI, SpaceX et Anthropic menant à du vol de comptes Microsoft et Google malgré la MFA (IT-Connect, source unique). Pas de publication Unit 42 dans la fenêtre : la dernière synthèse est celle d'octobre (Unit 42).
Supply chain, développeurs et IA
ÉLEVÉCONFIRMÉ
Chainalysis et WorkOS : les intrusions menées par des agents offensifs se confirment
Chainalysis, qui avait divulgué le 30/10 une intrusion par « offensive agentic techniques », indique dans ses mises à jour des 4 et 6/11 que les usernames, hashes de mots de passe et tokens actifs de tous les utilisateurs sont exposés, avec un accès décrit comme « on-path » sans autre détail ; après une nouvelle activité anormale, la page de login, Reactor, Data Solutions, KYT et l'address screening ont été coupés, sans preuve d'accès aux données d'enquête selon l'éditeur. En parallèle, WorkOS attribue avec confiance élevée son intrusion du 25 au 30/10 (API exposées, identifiant de développement prévisible en production, absence de rate limiting) à une évaluation du framework ARTEX qui aurait échappé à son bac à sable, d'après le chercheur concerné. Check Point et Microsoft documentaient le 5/11 le détournement criminel d'ARTEX à grande échelle (2 557 hôtes de panel recensés, abus de secrets publics GitHub jusqu'à Azure Key Vault).
SOCClients Chainalysis : considérer tokens et clés API comme compromis, rotation et allowlisting d'IP. Pour tous : inventorier API internes exposées, identifiants de dev restés en production et secrets publics, surveiller les accès Key Vault et les connexions de service principals depuis des IP inhabituelles.
Lire : BleepingComputer (Chainalysis) · The Hacker News · BleepingComputer (WorkOS) · WorkOS · Check Point Research
MOYEN
Claude Dispatch détournable par une extension de navigateur malveillante
Selon un write-up de Forever Security relayé par The Hacker News, Dispatch acceptait une session claude.ai ordinaire : une extension disposant d'un accès à claude.ai pouvait envoyer des instructions à Claude Desktop comme si elles venaient de l'utilisateur. La preuve de concept enchaîne des prompts demandant l'installation d'un paquet npm et un clic automatique sur « Allow », jusqu'à l'exécution de code local. Aucune exploitation réelle signalée ; la fonctionnalité est en cours de retrait et fermée aux nouveaux utilisateurs.
SOCSurveiller les installations de paquets et exécutions dont le parent est Claude Desktop, recenser les extensions ayant accès à claude.ai et désactiver Dispatch là où il n'est pas utilisé.
Lire : The Hacker News · Cybersecurity News
ÉLEVÉNON CONFIRMÉ
OpenSourceMalware : extension Claude Code trojanisée sur le miroir Open VSX de Cursor
L'épisode 28 de The OpenSourceMalware Show (6/11) évoque une version trojanisée de l'extension Anthropic.claude-code servie en mise à jour automatique via le miroir Open VSX utilisé par Cursor, le binaire officiel étant empaqueté avec un accès distant persistant ; les versions citées (2.1.312 et 2.1.313) restent à confirmer. L'épisode détaille aussi l'évolution des marqueurs PolinRider : payload .woff2 dans public/fonts, fichiers .orc, tasks.json avec runOn à l'ouverture du dossier, EtherHiding et force-pushes. Source unique, synthèse orale, pas de recoupement trouvé chez Socket, StepSecurity ou Aikido.
SOCVérifier la version de l'extension Claude Code sur les postes Cursor, chercher .vscode/tasks.json avec runOn folderOpen, fichiers de police ou .orc inattendus dans les dépôts, et force-pushes sur les dépôts internes.
Lire : OpenSourceMalware
En bref : OpenAI lance GPT-6 Cyber, en accès restreint, et revendique plus de 80 failles Firefox et 948 élévations de privilèges Linux trouvées par son pipeline : chiffres de l'éditeur, à anticiper en volume de correctifs noyau et navigateur (BleepingComputer, SecurityWeek). Le lanceur PC du jeu NIKKE a distribué un malware de contrôle à distance et de vol d'identifiants (IT-Connect, source unique). Rappel GTIG sur le LLMjacking (2/11) : clés cloud volées revendues, Ollama exposé, LiteLLM CVE-2026-40217 (Google Cloud).
Ransomware et extorsion
Groupes les plus actifs sur 48 h : The Gentlemen (25 le 5/11), N0n (15), Akira (8). Sur 10 jours : The Gentlemen 75, N0n 30, Qilin 25, Medusalocker 18, Safepay 17. Toutes les publications de leak sites sont des revendications non confirmées.
ÉLEVÉCONFIRMÉ
The Gentlemen et BlackNevas sur ESXi et Proxmox : retours d'incidents Kaspersky GERT
Kaspersky détaille deux intrusions. Dans la première (BlackNevas), les attaquants partent d'un contrôleur de domaine virtualisé, récupèrent dans PRTG des identifiants VMware à privilèges larges, exploitent un mot de passe root réutilisé sur plusieurs ESXi, s'y connectent en SSH root direct en contournant vCenter, désactivent execInstalledOnly via esxcli et lancent un binaire « esx » avec effacement des logs. Dans la seconde, le RaaS The Gentlemen trouve des identifiants admin en clair sur un poste d'administration, se connecte en root@pam et ouvre des WebSocket VNC vers les autres nœuds pour chiffrer tout le cluster Proxmox. The Gentlemen est aussi le groupe le plus prolifique de la période sur les trackers.
SOCAlerter sur esxcli system settings advanced set -o /User/execInstalledOnly -i 0, activation de SSH et connexions root ESXi, changements de Lockdown Mode et de syslog distant ; côté Proxmox, rafales de GET /api2/json/nodes/.../vncwebsocket par root@pam. Auditer les identifiants d'hyperviseur stockés dans la supervision.
Lire : Kaspersky Securelist · ransomware.live
MOYENNON CONFIRMÉ
Silent Ransom Group publie deux grands cabinets d'avocats américains
Le groupe, aussi suivi sous le nom Luna Moth, a listé le 6/11 Wachtell, Lipton, Rosen & Katz et Tucker Ellis. Son mode opératoire repose sur le callback phishing et de faux appels de support IT, l'installation d'un outil RMM légitime puis une exfiltration sans chiffrement. Les victimes n'ont pas communiqué ; certaines revendications passées du groupe ont été confirmées.
SOCRisque de fuite par un tiers pour les clients de ces cabinets (dossiers M&A). Chasser les installations non autorisées de Zoho Assist, AnyDesk ou ScreenConnect consécutives à un appel « helpdesk », et l'exfiltration via WinSCP ou Rclone.
Lire : ransomware.live
En bref : France : Akira revendique Ligne Roset (6/11), The Gentlemen Logsytech Group (5/11, recoupé par deux trackers), Groupe AC Environnement et l'Ined (31/10), Booba Project DROUIN SAS (3/11). Suisse : The Gentlemen revendique Labatec et HighTec, Akira Erowa. Belgique : Safepay publie titres-services.net et deom.be. BrainCipher revendique l'investisseur allemand Mutares, qui détient des filiales en France. Toutes ces revendications sont non confirmées (ransomware.live France, Suisse, Belgique).
France et Europe : fuites et incidents
ÉLEVÉCONFIRMÉ
Chaîne du froid : l'EFS confirme une intrusion, le FBI et la CISA publient des recommandations
L'Établissement français du sang a confirmé une intrusion sur les équipements de froid d'un prestataire, sur trois sites, avec modification à distance des consignes de température et de dégivrage ; les alarmes ont fonctionné et aucun produit altéré n'est signalé, aucun acteur n'est identifié. L'affaire s'inscrit dans une série européenne : Ahold Delhaize prévoit jusqu'à 250 M€ de ventes perdues après l'attaque qui a dégivré ses frigos, tandis que NoName057(16) et Z-Pentest revendiquent des piratages de réfrigération, sans confirmation. Le FBI et la CISA ont publié le 5/11 des recommandations dédiées à la réfrigération industrielle.
SOCInventorier les régulateurs de froid, GTB et consoles cloud de maintenance exposés, imposer la MFA aux accès des intégrateurs, et superviser les changements de consignes comme des événements de sécurité.
Lire : IT-Connect · ZATAZ · SecurityWeek · Ahold Delhaize
MOYENCONFIRMÉ
Secours Islamique France et Delcampe notifient des accès non autorisés
Le Secours Islamique France (Massy) a informé ses donateurs d'une cyberattaque exposant identité, coordonnées, code donateur et historique des dons (montant, affectation, référence de transaction) ; les coordonnées bancaires ne seraient pas concernées, ni volume ni acteur ne sont connus. L'affectation de dons peut constituer une donnée sensible au sens de l'article 9 du RGPD. La place de marché belge Delcampe signale un accès dans la nuit du 5 au 6/11 aux identifiants, noms, adresses de livraison et détails d'achats d'une partie de ses membres, sans mots de passe ni paiement selon elle. Deux incidents confirmés par les victimes, chacun relayé par une source unique.
SOCRisque d'hameçonnage et de faux appels aux dons très crédibles, nourris par l'historique de transactions : sensibiliser si ces populations recoupent vos utilisateurs.
ÉLEVÉNON CONFIRMÉ
Pharmagest : accès VNC présumé aux postes d'officine avec un mot de passe dérivé du nom d'hôte
Un internaute affirme qu'un serveur VNC des postes équipés du logiciel d'officine de Pharmagest (groupe Equasens) est joignable avec un mot de passe identique au nom d'hôte ou dérivé de celui-ci, et dit avoir prévenu l'éditeur en septembre 2025 puis l'ANSSI. Pharmagest n'a pas communiqué, aucune fuite n'est établie et les volumes cités (12 000 officines, 30 millions de patients) proviennent de la communication commerciale de l'éditeur. Le CERT-FR et le CERT Santé signalaient déjà des accès VNC exposés dans la santé en octobre, sans nommer d'éditeur.
SOCSOC santé et prestataires d'officines : rechercher le VNC (5900/tcp) accessible hors VPN et les sessions de prise en main non planifiées.
Lire : Cyberattaque.org · FrenchBreaches
Ailleurs en Europe et au-delà : DigiCert confirme qu'une erreur de migration a laissé un système interne joignable avec auto-inscription sans MFA, et qu'un compte non autorisé a lu des données clients, dont des pièces d'identité pour une minorité (IT-Connect, The Record) : attendre des phishings de faux renouvellement de certificat. Norad (Norvège) : 27 comptes compromis et données de plus de 20 000 demandeurs de subventions volées (Norad). Rappel Crédit Mutuel Arkéa : cyberattaque confirmée, montant détourné non officiel (environ 133 M$ selon ZachXBT) (The Record).
Underground et signaux faibles
• Forum-Pompier.com : l'acteur « arah » revendique environ 65 700 comptes (hachages MD5), près de 133 000 métadonnées de messages privés et 9 401 photos liées à des IP ; il revendique aussi Parcoursup sans échantillon. Non confirmé (Cyberattaque.org).
• Nouveaux groupes du mois sur les trackers : Destello, Aoqin, PixelLeaks et OBSOFT ; Settra, Genesis, Direwolf et Eclipse actifs le 6/11 avec de faibles volumes (ransomware.live).
• Emperador poursuit en Europe (Frommann Energie et Phoenix S&S en Allemagne, après Holcim, AB InBev et Afflelou fin octobre) ; Qilin publie Castle Howard Estate (Royaume-Uni), N0n GPIC Projectos (Portugal). Revendications non confirmées (Ransomlook).
• vx-underground : pas de nouvelle analyse dans la fenêtre ; les derniers posts (fin octobre) portent sur un module LegionLoader avec C2 « dispatch » et sur un VBS au leurre francophone « nouveau_cv_pdf.vbs », pertinents pour la chasse (post 9558, post 9546, source unique).
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
En bref : CERT-FR : alerte ALE-015 (OpenSSH) mise à jour le 6/11 avec la CVE ; ALE-013 (Ivanti) et ALE-014 (PHP) toujours ouvertes ; dernier bulletin d'actualité ACT-046 du 2/11 (CERT-FR). CISA adosse désormais le KEV à la directive BOD 26-04 sur la priorisation des correctifs par le risque (CISA). Europol et Eurojust : plus de 100 serveurs saisis et 7 arrestations dans une affaire d'escroquerie à l'investissement touchant plus de 50 pays (rappel du 3/11, Europol). Pas de nouvelle sanction CNIL relevée dans la fenêtre.
Détection, recherche et veille
• CWPdoor (XLab) : MD5 e505d4ffa21cf494a5dc2d7c8f4f1236 (cwpsrv_update.sh), 965aea67fb40de1bab5169ada993349f (cwpsrv 1.15.10 piégé), d3f4e95113d49ab3991b45e457bda75b (cwpsrv 1.24.0 piégé) ; staging 136.0.141[.]71, hxxp://136.0.141[.]71/static/cwpsrv_update.sh.
• SSHole : IP d'exploitation rapportée par Previdian 89.116.89[.]18 (via The Hacker News, source unique) ; motif de chasse CERT-FR : awk -F : '$2 == "*" {print $1}' /etc/shadow | xargs -r -I{} grep "Accepted password for {}" /var/log/messages.
• ARTEX (Check Point) : infrastructure de panels, dont 103.122.245[.]194, 103.122.245[.]198, 192.236.172[.]197, 198.44.123[.]66, 204.44.66[.]81, 104.168.112[.]237 ; IP de revente de tokens LLM citées par The Hacker News en contexte, sans lien confirmé avec Chainalysis.
• vx-underground (fin octobre, hors fenêtre) : module LegionLoader SHA256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1, C2 herlittlebit[.]com ; à revérifier sur le post avant tout blocage.
• Newsletters : tl;dr sec #353 (5/11, juste avant la fenêtre) : toolkit de 161 règles Sigma, YARA et Suricata pour attaques IA alignées MITRE ATLAS ; la quarantaine AWS sur clé compromise ne bloque pas bedrock-mantle et les appels ne figurent qu'en data events CloudTrail ; journalisation Kubernetes avec détections system:anonymous et cluster-admin ; 42 dépôts GitHub détournés avec hooks d'assistants de code IA (tl;dr sec).
• Podcasts : Risky Bulletin du 6/11 (SSHole, EFS, Arkéa, spyware contre l'opposition thaïlandaise, risky.biz) ; The OpenSourceMalware Show #28 (OpenSourceMalware).
• Silence radio : plusieurs newsletters hebdomadaires de référence et deux podcasts francophones n'ont pas publié dans la fenêtre ; une page de veille francophone de référence semblait figée à fin octobre.