Trois chaînes exploitées touchent des équipements de bordure et des forges de code : Ivanti Connect Secure (deux CVE de plus au KEV le 30/10, tri forensique requis), GitLab CE/EE CVSS 10 (due date KEV demain) et PHP2Shell, désormais utilisé pour obtenir root sur des pare-feux PAN-OS à interface de management exposée. S'y ajoute une extension « Claude Code » piégée sur le marketplace Cursor, qui pose une backdoor SSH sur les postes développeurs. Pas de campagne massive sur un parc universel, d'où Élevée et non Critique.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUEIvanti Connect Secure : CISA ajoute CVE-2026-111357 (élévation root) et CVE-2026-118527 (écriture de fichier) au KEV, chaînables avec le contournement d'authentification CVE-2026-104935 pour une RCE root sans authentification. Volexity documente l'exploitation ; le KEV impose un tri forensique (BOD 26-04).
CRITIQUEGitLab CVE-2026-97229 (CVSS 10) : RCE sans authentification via une regex CI/CD (bug Ruby/Onigmo). Alpine Linux a repoussé une tentative ; PoC publics, due date KEV au 01/11.
CRITIQUEPHP2Shell sur PAN-OS : Palo Alto confirme des attaques via CVE-2026-109618 contre des interfaces de management exposées ; un acteur présenté comme lié à la Chine l'enchaîne avec Fragnesia pour root sur environ 25 systèmes. Toujours aucune compromission WordPress confirmée.
ÉLEVÉExtension « Claude Code » piégée sur Cursor : versions 2.1.312/2.1.313 publiées sur le seul marketplace Cursor le 29/10, backdoor SSH inverse vers 134.209.82.225 et persistance multi-OS. Recoupé par Microsoft, OpenSourceMalware, Socket ; Cursor estime au plus 5 000 utilisateurs touchés.
ÉLEVÉFrance : Bourse Direct confirme l'exposition d'IBAN clients, la CTS Strasbourg 230 000 comptes ; Auto-Planning fait l'objet d'une revendication non confirmée d'environ 18 M d'identités avec ultimatum de 72 h.
Radar SecOps : actions du jour
Vulnérabilités et exploitation active
Ivanti Connect Secure : deux CVE de plus dans la chaîne zero-day, ajoutées au KEV le 30/10
CVE-2026-111357 (CVSS 3.1 7.0, CNA) : le broker dsinvoked fait confiance aux données DSCache, ce qui permet une élévation jusqu'à root. CVE-2026-118527 : identifiants prévisibles permettant à un attaquant authentifié d'écrire un fichier au contenu contrôlé à un emplacement connu (pas encore de CVSS publié). Enchaînées avec CVE-2026-104935 (contournement d'authentification, 22.8R2.4, 25.1.2.2, 25.1.1.1 et antérieures), elles donnent une RCE root sans authentification ; Volexity a décrit l'exploitation le 13/10. L'entrée KEV mentionne des exigences de tri forensique au titre du BOD 26-04.
SOCPatcher ne suffit pas : lancer l'ICT intégré et l'externe, rechercher webshells et fichiers déposés, révoquer sessions et secrets des comptes passés par le VPN depuis mi-octobre. Due dates 02/11 et 13/11.
Lire : CISA (13/10) · Volexity · Avis Ivanti · CERT-FR ALE-013
GitLab CE/EE CVE-2026-97229 (CVSS 10) exploité, Alpine Linux visé
Dépassement d'entier dans le compilateur de regex Ruby/Onigmo, déclenchable par une regex CI/CD forgée, menant à une RCE sans authentification. Versions touchées : 19.2 avant 19.2.8, 19.3 avant 19.3.5, 19.4 avant 19.4.2 (environ 12 ans de versions selon The Hacker News). Alpine Linux rapporte une tentative ayant contourné l'authentification sans atteindre la RCE ; VulnCheck recense 4 exploits publics. Le KEV signale que d'autres produits embarquant Ruby/Onigmo peuvent être concernés.
SOCLes GitLab auto-hébergés concentrent secrets CI, tokens et accès cloud : patcher avant le 01/11, puis rechercher pipelines aux regex anormales, nouveaux tokens ou comptes, et processus enfants de puma/sidekiq.
Lire : SecurityWeek · Alpine Linux · The Hacker News · Ruby · Exploit Bulletin
PHP2Shell (CVE-2026-109618/109619) : root sur des pare-feux PAN-OS, rien sur WordPress
Palo Alto Networks a publié un avis et confirme des attaques exploitant CVE-2026-109618 contre des pare-feux dont l'interface de management est exposée. Selon SecurityWeek et Cybernews, un acteur présenté comme lié à la Chine et assisté par IA a combiné PHP2Shell avec l'élévation locale Fragnesia pour obtenir root sur environ 25 serveurs, dont au moins un environnement lié au gouvernement américain. Unit 42 maintient un Threat Brief sur les deux CVE (mis à jour le 29/10). Wordfence n'a toujours aucune compromission WordPress confirmée.
SOCVérifier qu'aucune interface de management PAN-OS n'est joignable depuis Internet et appliquer l'avis ; sur appliances et serveurs PHP, chercher webshells, enfants de php-fpm/httpd et clés SSH ou comptes ajoutés.
Lire : Avis Palo Alto · Unit 42 · SecurityWeek · Wordfence · CERT-FR ALE-014
Cisco ASA/FTD CVE-2026-76418 : DoS du VPN SSL exploité comme zero-day
Rechargement de l'équipement sans authentification quand webvpn est actif et qu'un tunnel group utilise secondary-authentication-server-group. CVSS 8.6, Cisco PSIRT a connaissance d'exploitation active ; ajout KEV le 29/10, due date 01/11. Correctifs ASA 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 ; FTD 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3, 10.1.1. Mitigation possible : retrait de l'authentification secondaire ou no tunnel-group-list enable.
SOCAlerter sur les reloads ASA non planifiés et les crashinfo ; un DoS de la passerelle VPN peut masquer ou préparer une autre action.
Lire : Avis Cisco · CERT-FR AVI-1412
Web : Drupal Commerce exploité, WordPress Core RCE ciblée, YOOtheme Pro CVSS 10
Drupal Commerce Core CVE-2026-118539 (contrôles d'accès manquants, « Highly critical » 21/25) est exploité contre des boutiques ; corrigé en 8.x-2.41 et 3.3.13. WordPress 7.1.4 (28/10) corrige une RCE (CVSS 8.1, sans CVE à ce stade) liée à des chemins de staging prévisibles pendant les mises à jour du cœur ; environ 63 000 tentatives relevées en 24 h. YOOtheme Pro 5.0.0 à 5.0.52 (Joomla et WordPress) : écriture de fichier PHP sans authentification CVE-2026-102785, 3 exploits publics, pas d'attaque confirmée.
SOCInventorier les CMS exposés ; chercher fichiers PHP récents dans wp-content et répertoires d'upgrade, accès anonymes aux routes Commerce, scripts de skimming injectés.
Lire : The Hacker News (Drupal) · SecurityWeek (Drupal) · WordPress 7.1.4 · SecurityWeek (WordPress)
CISA KEV : ajouts des 7 derniers jours (catalogue 2026.10.30)
| CVE | Produit | CVSS | Ajout | Due | Note |
|---|---|---|---|---|---|
| CVE-2026-118527 | Ivanti Connect Secure | n/d | 30/10 | 13/11 | Écriture de fichier, chaîne 104935 |
| CVE-2026-111357 | Ivanti Connect Secure | 7.0 | 30/10 | 02/11 | Élévation root, chaîne zero-day |
| CVE-2026-97229 | GitLab CE/EE | 10.0 | 29/10 | 01/11 | RCE via regex CI, PoC publics |
| CVE-2026-76418 | Cisco ASA/FTD | 8.6 | 29/10 | 01/11 | DoS VPN SSL |
| CVE-2026-41709 | VMware ESX | 2.7 | 28/10 | 11/11 | Actions admin non journalisées |
| CVE-2026-46300 | Noyau Linux | 7.8 | 28/10 | 31/10 | ESP / coalescence skb |
| CVE-2026-48356 | Adobe Commerce | 9.3 | 27/10 | 10/11 | Upload de fichier, APSB26-73 |
| CVE-2026-111497 | Google Brotli | 9.2 (v4) | 27/10 | 10/11 | Bibliothèque, Node.js touché |
| CVE-2026-109618 | PHP | 9.2 (v4) | 26/10 | 29/10 | RCE, PHP2Shell, dépassée |
| CVE-2026-109619 | PHP | 9.2 (v4) | 26/10 | 29/10 | RCE, dépassée |
CVSS issus des enregistrements CNA/ADP (cvelistV5), NVD inaccessible ce matin. Ransomware : « inconnu » pour toutes les entrées. Source : JSON CISA KEV.
Aussi : CERT-FR : aucun avis daté du 30/10 visible à 07h ; lot du 29/10 (AVI-1411 à 1420 : Veeam Backup for M365, Juniper, Apache Kafka, ESET, Kaspersky, Elastic Cloud Enterprise, WordPress...). TeamViewer CVE-2026-111585 (CVSS 8.8, hôte malveillant vers le technicien, corrigé en 15.83, bulletin). TightVNC Viewer 2.8.88 : RCE pré-auth en mode écoute 5500/tcp, sans CVE (SSD). IBM DataPower : six CVE à 9.8 corrigées en 10.5.0.23 / 10.6.0.11 / 11.0.0.3, sans exploitation connue (IBM). SANS ISC : Infocon vert, Stormcast du 30/10 sur un use-after-free TCP du noyau Linux CVE-2026-98432 non exploité.
Campagnes et threat actors
Microsoft : du faux help desk Teams à l'abus AD CS (ESC1 et ESC8)
Microsoft Threat Intelligence décrit des intrusions non attribuées : vishing et chats Teams depuis des tenants onmicrosoft.com à thème « support » (T1566.003/.004), session Quick Assist (T1219), payload extrait dans AppData\Roaming\KB<n> et lancé par un Bun renommé, Python ou Java portable. Cas ESC1 : template autorisant le sujet fourni par le demandeur, certificats pour onze comptes privilégiés puis DCSync en quelques secondes, exfiltration par Rclone renommé SearchApp.exe vers SFTP (T1649, T1036). Cas ESC8 : PetitPotam, relais NTLM vers /certsrv, certificat Domain Controller et TGT via PKINIT (T1557).
SOCChasser les chats et appels Teams externes, bun.exe/java.exe depuis AppData\Roaming\KB*, les demandes de certificats au SAN différent du demandeur, et l'auth NTLM de comptes machine DC vers /certsrv. Révoquer un certificat n'invalide pas les TGT déjà émis.
Lire : Microsoft · Talos IR T3 2026
ARTEX : Vapor Panda industrialise l'intrusion par agents IA contre plus de 200 organisations
Selon The Hacker News, relayant un rapport CrowdStrike du 29/10, Vapor Panda (recoupant Earth Estries chez Trend Micro) utilise ARTEX, framework Go d'agents planificateurs et exécutants adossé à DeepSeek et à un LLM commercial, depuis le 17/10. Cibles : ministères des Affaires étrangères (Amérique latine, Asie, Europe), télécoms (dont Belgique), semi-conducteurs, défense, nucléaire ; post-exploitation confirmée chez 9 organisations avec BLOODALCHEMY (dérivé ShadowPad). TTPs : assertion SAML non signée chaînée à une XXE vers l'IMDS, lecture LAPS, RBCD, tokens forgés depuis des clés non renouvelées, password spraying. Le même rapport cite Titan Panda (machine key IIS codée en dur d'Intapp Time Server contre des cabinets d'avocats).
SOCChasser les appels IMDS depuis des applications web, lectures massives de ms-Mcs-AdmPwd, modifications de msDS-AllowedToActOnBehalfOfOtherIdentity et spraying VPN/M365. Volet 200 organisations : source unique.
Lire : The Hacker News · CSA (contexte ARTEX)
Binance : 6,3 Md$ volés depuis le portable d'un ingénieur DevOps, signature TraderTraitor
Binance relie le plus gros vol crypto recensé à la compromission du poste d'un ingénieur DevOps ; environ 3 Md$ ont été gelés (1,567 Md USDT par Tether, 800 M USDC par Circle). SecurityWeek et Cybernews notent les marqueurs de TraderTraitor (Jade Sleet, cluster Lazarus), attribution non officielle à ce stade. Cela rejoint l'analyse Microsoft du 29/10 sur l'adoption de l'IA par les acteurs nord-coréens.
SOCLes postes d'ingénieurs avec accès CI/CD, cloud et signature sont la cible : surveiller faux recruteurs, projets npm/Python piégés et exfiltration de tokens depuis ces postes.
Lire : BleepingComputer · SecurityWeek · The Record · Microsoft (29/10)
En bref : Risky Bulletin (30/10, 02h16 UTC) relaie ESET : premier wiper attribué à la Biélorussie, FrostyNeighbor (UNC1151 / GhostWriter) contre un industriel ukrainien (Risky Bulletin). Rappels du 28-29/10 : Talos NIK C2, framework C2 intégrant l'IA (Talos) ; Kaspersky NetamLoader contre un Windows 10 gouvernemental en Asie (Securelist) ; rapport APT ESET T2-T3 (ESET). Polymarket confirme plus de 2 M$ drainés via un prestataire tiers (The Record).
Supply chain, développeurs et IA
Extension « Claude Code » trojanisée sur le marketplace Cursor : backdoor SSH persistante
Les versions 2.1.312 et 2.1.313 (selon Microsoft ; 2.1.313 selon OpenSourceMalware) de anthropic.claude-code ont été servies par le seul marketplace Cursor le 29/10, entre 02h27 et 13h35 PDT environ ; VS Code Marketplace, Open VSX et npm ne sont pas touchés, et Microsoft ne voit aucune compromission d'Anthropic. Un loader de 66 lignes en tête d'extension.js collecte l'email Git et les noms de variables d'environnement contenant KEY, TOKEN, SECRET, AWS ou GCP, ajoute une clé Ed25519 svc-telemetry (T1098.004), active sshd et ouvre un tunnel inverse -R '*:0:localhost:22' vers tunnel@134.209.82.225 (T1572). Persistance : LaunchAgent com.apple.sysmond, crontab @reboot (T1053.003), tâche SysMon en SYSTEM (T1053.005). Cursor parle d'au plus 5 000 utilisateurs et a suspendu son marketplace.
SOCInventorier les postes Cursor ayant mis à jour l'extension le 29/10 ; sur poste touché : isoler, préserver, faire tourner tous les secrets accessibles, réinstaller. Requêtes KQL fournies par Microsoft.
Lire : Microsoft · OpenSourceMalware · Socket · Help Net Security · The Hacker News
OpenSourceMalware : PolinRider remonte à mai 2025 via neuf versions npm itsa-*
Le 04/05/2025, un même mainteneur (compte probablement volé) a publié neuf versions malveillantes en 90 minutes ; payload confirmé dans quatre, trois encore en ligne selon l'article (itsa-jsext@2.0.3, itsa-react-docviewer@16.1.2, itsa-react-button@16.0.11). Chaîne : EtherHiding (étapes stockées sur BSC et Ethereum), loader JADESNOW, INVISIBLEFERRET, RAT Socket.IO et stealer Python. OpenSourceMalware rattache l'activité à UNC5342 (Corée du Nord, suivi GTIG) ; la campagne PolinRider elle-même est documentée par Socket depuis septembre.
SOCGrep des lockfiles et SBOM sur itsa-*, appels RPC BSC/Ethereum depuis Node.js, flux vers 154.91.0.103:27017 et 85.239.62.36. Paquets et versions : source unique.
Lire : OpenSourceMalware · Socket (17/09)
En bref : Socket « Searchjacked » : extensions navigateur cachées détournant les recherches de 13 M d'utilisateurs, 29/10 (Socket). Trezor signale un implant LTE suspecté dans un Safe 5 vendu par le revendeur CryptoBilis, suite du cas Ledger (The Hacker News). Repérés sans détail vérifié : analyse Microsoft de la compromission LiteLLM 1.107.0, cryptominage sur Hugging Face (Stormcast).
Ransomware et extorsion
Source : ransomware.live et stats ; 7 jours = somme des totaux quotidiens. Chiffre HackManac d'octobre non disponible.
Les plus actifs sur 48 h : Qilin (6 victimes le 30/10, 4 le 29/10), Booba Project (7 le 29/10), Akira (3 victimes US le 30/10), Aurora ; sur Ransomlook, rafales de Krybit (6) et N0n (5) à date non vérifiable. Nouveaux groupes du 29/10 : Shiba, everstake ; Majinahanashi (27 victimes, dont SON-VIDEO en France) est le nouvel entrant le plus prolifique du mois.
Qilin reste en tête, l'Europe en ligne de mire
Qilin a revendiqué le 30/10 Palletline (GB, logistique), Light Rail Manila (PH), iFink (RO) et trois entités mexicaines, puis le 29/10 Udima (ES), W Interactive (GB) et Proterial (JP). Aucune de ces victimes n'a communiqué selon nos recherches. Côté judiciaire, un Russe de 28 ans présenté comme pilier technique de Qilin a été extradé du Japon vers l'Allemagne début octobre (rappel).
SOCQilin cible historiquement les accès VPN et RDP sans MFA : revoir les connexions VPN anormales et les comptes de service exposés.
Lire : ransomware.live · DCOD (récap 30/10)
Emperador : AB InBev, Afflelou et une vague germanophone
Emperador revendique depuis le 25/10 AB InBev (environ 3,9 Go, rançon de 10 M$ revendiquées ; l'entreprise étudie une « possible cyberattaque »), Afflelou le 26/10, puis Frommann Energie GmbH et Phoenix S&S GmbH sur Ransomlook. Rescana évoque une exposition Azure et PKI chez AB InBev, non confirmée.
SOCSi du matériel PKI a fuité, surveiller certificats et signatures usurpés chez les partenaires ; pour Afflelou, phishing ciblé des clients français.
Lire : RetailDetail · ransomware.live BEL · ransomware.live FRA
En bref : France revendiqué (non confirmé) : Marbre Design (Payload, 28/10), Vins Viallet et MECA-PRECIS (Lamashtu), AMSAM (Bravox). Belgique : Machelen (attaque confirmée le 11/09, attribution Rhysida non confirmée), Kerckstede vzw (Booba Project). Suisse : ECOM (Qilin), ARX Group (Aurora), SunTechnics Fabrisolar (N0n). TDS Telecommunications attribué à deux groupes différents selon les trackers, illustration de leurs limites. Opération Omegaline : FBI, Pays-Bas, Allemagne et Royaume-Uni saisissent l'hébergeur bulletproof Virtualine, données de plus de 3 000 clients (DOJ, Politie).
France et Europe : fuites et incidents
Bourse Direct : IBAN clients exposés après une intrusion
Le courtier en ligne a notifié ses clients d'une « cyber-malveillance » survenue dans la nuit du 27 au 28/10 : nom, prénom, numéro de compte client et IBAN exposés. Cyberattaque.org et FrenchBreaches évoquent environ 800 comptes, Fuites Infos indique un volume non communiqué. Aucun acteur ni revendication connus.
SOCProfil idéal pour la fraude au faux conseiller et au faux virement : surveiller l'usurpation de la marque dans les flux mail entrants.
Lire : Fuites Infos · Cyberattaque.org · FrenchBreaches
CTS Strasbourg : 230 000 comptes clients compromis
La Compagnie des transports strasbourgeois a subi une cyberattaque touchant 230 000 comptes clients (28-29/10, largement reprise le 30/10). Acteur et nature précise des données non détaillés dans les sources consultées. Transport urbain, secteur couvert par NIS2.
SOCRisque de credential stuffing et de phishing local : surveiller les connexions sur les services exposés à partir de bases fraîches.
Lire : France 3 Grand Est · Clubic · Fuites Infos
Auto-Planning (« Operation GlassLodge ») : 18 M d'identités revendiquées, ultimatum de 72 h
Le prestataire de prise de rendez-vous pour contrôle technique, garages et auto-écoles serait touché : environ 18 M d'identités après dédoublonnage, 13,9 M de plaques, 91,8 M de rendez-vous depuis 2008, archive de 60 Go, plus RIB, code source et accès revendiqués. Rançon de 33 333 $ et menace de publication sous 72 h (annonce du 29/10). Les hashes sont en MD5 : 161 sur 572 échantillons cassés. Pas de communication de la victime ; FrenchBreaches juge la revendication crédible.
SOCPréparer la vague de phishing contextualisé (« votre contrôle technique », faux SMS de rendez-vous) et la réutilisation d'identifiants.
Lire : FrenchBreaches · Cyberattaque.org
Ailleurs en Europe et au-delà : Liberté FM (radio locale) dit avoir perdu plus de dix ans d'archives (FrenchBreaches). Revendications non confirmées : PRG (812 à 825 membres, après LFI, PCF et Renaissance, Fuites Infos), Caréco (697 clients), Pierres et Mer, AGSI Computer, Refugilys, Kookabarra. Belgique : fiches d'avocats d'avocats.be en vente, 10 600 à 122 000 revendiquées (FrenchBreaches).
Underground et signaux faibles
• Douze nouveaux groupes recensés en octobre par ransomware.live, dont Shiba et everstake apparus le 29/10 ; Majinahanashi (27) et Whitearmor (15) dominent.
• Écosystème francophone : le dossier DGFiP avance avec la mise en examen d'un second suspect de 16 ans (« Casquette »), lié comme « ChatNoir » au collectif Epsilon (Incyber).
• Partis politiques français : série de fuites revendiquées, que ZATAZ attribue à Chimeraz pour trois partis ; lien avec le PRG non établi (ZATAZ).
• Virtualine : la saisie de l'hébergeur bulletproof devrait provoquer des migrations d'infrastructure ; Silent Push publie le contexte et les plages à rechercher en rétroactif (Silent Push).
• vx-underground silencieux depuis le 26/10 ; derniers posts utiles : EasyAgent avec un leurre VBS en français nouveau_cv_pdf.vbs (post 9546) et LegionLoader (post 9558).
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
En bref : CNIL : 7 M€ d'amende contre Fnac Darty pour traceurs déposés sans consentement sur le site et l'application mobile (CNIL). Loi Résilience (NIS2, REC, DORA) : toujours pas de nouvelle date d'examen à l'Assemblée après le report du 7/10 (Next). Parquet de Paris et OFAC : second mis en examen dans le dossier DGFiP (678 000 personnes). Fin du Cybermois aujourd'hui. CERT-FR : alertes actives ALE-011 (NetScaler), ALE-013 (Ivanti), ALE-014 (PHP).
Détection, recherche et veille
• Claude Code / Cursor (Microsoft, OpenSourceMalware) : IP 134.209.82.225 (22, 8099/beacon) ; SHA-256 extension.js ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 ; clé svc-telemetry SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk ; fichiers ~/.config/.smt, .smtk, .stk_[0-9a-f]{10} ; détections Defender Trojan:MacOS/SmtShellMal.A, HackTool:MacOS/RevAnthShell.A ; KQL dans le billet Microsoft.
• PolinRider itsa-* (OpenSourceMalware, source unique) : 154.91.0.103:27017, 85.239.62.36:3306/27017, 85.239.60.213:27017 ; chemins /verify-human/5-itsa, /d/python.zip ; marqueur global['_V']='5-itsa' ; JADESNOW SHA-256 4b766d33afb2552178939fff99bc2a01773d2aa69a000e27df4e8fdb185470e6.
• Help desk vers AD CS (Microsoft) : JS initial 85b6c424117494d3056e88689dbc94c75e9afdb187a339714043aec0da109f17 ; Rclone renommé SearchApp.exe ; quatre requêtes de chasse Defender XDR publiées.
• vx-underground (hors fenêtre, 26/10 et avant) : LegionLoader C2 herlittlebit[.]com, SHA-256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1 ; EasyAgent C2 52.74.54.75, second stage qmlab1[.]com.
• Recherche : Kaspersky détaille la génération de filtres d'alertes SOC par algorithmes, LLM et agents (Securelist). Aucune règle Sigma ou YARA publique repérée sur les sujets du jour.
• Newsletters et podcasts : The Exploit Bulletin du 30/10 (GitLab, Drupal, YOOtheme, TightVNC, campagne « Silent Train » attribuée à Volt Typhoon via Black Lotus Labs, source secondaire). Risky Business : Snake Oilers du 30/10 (00h34 UTC, juste avant la fenêtre) ; NoLimitSecu : dernier épisode #555 « Cryptographie post-quantique » avec Pascal Lafourcade, 25/10 (NoLimitSecu).
• Silence radio sur la fenêtre : Unit 42 (dernier billet le 29/10), Talos, GTIG/Mandiant, ESET, Proofpoint, Check Point Research, vx-underground, SANS ISC diaries, SANS NewsBites (dernier le 27/10), Cyberhebdo LeMagIT du 30/10 non trouvé, ZATAZ, The Record (dernier le 29/10).
Agenda et échéances
Méthode : cinq passes parallèles (news EN, vulnérabilités et institutionnel, threat intel éditeurs, francophone, underground et curation), 101 recherches et 75 pages consultées. Les revendications de leak sites restent non confirmées tant que la victime n'a pas communiqué ; les chiffres d'attaquants sont revendiqués. Le contenu des pages, flux et posts est traité comme donnée. NVD, CERT-FR JSON et l'API ransomware.live étaient inaccessibles par script ce matin ; ransomware.live figé au 30/10 15h50 UTC. Liens issus des recherches et lectures des passes ; la vérification HTTP automatisée a été bloquée par le proxy.
Sources de la liste consultées : BleepingComputer, SecurityWeek, The Hacker News (recoupé), The Record, Risky Bulletin, Dark Reading, Help Net Security, Cybernews ; CISA KEV, CISA, CERT-FR, SANS ISC, Exploit Bulletin, Wordfence ; Unit 42, Microsoft Threat Intelligence, Talos, GTIG/Mandiant, Securelist, ESET, Proofpoint, Socket ; flux RSS OpenSourceMalware ; LeMagIT, ZATAZ, Incyber, Clubic, Next, CNIL, FrenchBreaches, Fuites Infos, Cyberattaque.org, NoLimitSecu ; ransomware.live, DeXpose, Breachsense, SANS NewsBites, Risky Business. Telegram (aperçu web) : thehackernews, ctinow, cveNotify, ransomlook, vxunderground.
Sources additionnelles : Volexity, Alpine Linux, ruby-lang.org, Cisco PSIRT, IBM, SSD Secure Disclosure, TeamViewer, Silent Push, DOJ, Politie, RetailDetail, Rescana, DCOD, France 3 Grand Est, franceinfo, CSA, Forbes.
Threat Brief · tlpclear.fr · TLP:CLEAR · édition produite par une chaîne automatisée, méthode sur tlpclear.fr/about