Week-end calme en volume, mais la semaine laisse un front edge et applicatif chargé : PHP2Shell exploité jusqu'aux interfaces de management PAN-OS et chaîné avec la LPE Linux Fragnesia, GitLab CVE-2026-97229 (CVSS 10) avec due date KEV aujourd'hui, chaîne Ivanti Connect Secure sans artefact disque. Côté postes développeurs, l'extension Claude Code piégée sur le marketplace Cursor impose une chasse immédiate.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUEPHP2Shell sur PAN-OS. CVE-2026-109618/109619 (CVSS 4.0 : 9.2) exploitées contre des interfaces de management PAN-OS exposées ; un acteur China-nexus les chaîne avec Fragnesia (CVE-2026-46300) pour passer root sur 25 systèmes. Unit 42 publie des requêtes XDR/XSIAM et le Threat ID 543004.
CRITIQUEGitLab CVE-2026-97229 (CVSS 10), due date KEV aujourd'hui. RCE non authentifiée via le moteur regex Onigmo du CI/CD, PoC public, tentative documentée contre le GitLab d'Alpine Linux ; VulnCheck voit aussi de nouvelles tentatives sur CVE-2026-85706 le 31/10.
CRITIQUEIvanti Connect Secure : chaîne de 3 CVE jusqu'à root. Deux CVE ajoutées au KEV le 30/10 (due date du 2/11 pour CVE-2026-111357). UTA0576 ré-exploite à chaque commande, efface les logs et échappe à l'Integrity Checker.
ÉLEVÉExtension « Claude Code » trojanisée sur le Cursor Marketplace. Versions 2.1.312 et 2.1.313 : clé SSH ajoutée, reverse tunnel vers 134.209.82.225, persistance sur les trois OS. IOC et KQL publiés par Microsoft et OpenSourceMalware.
ÉLEVÉRansomware : 84 victimes publiées le 31/10, dont un lot d'environ 50 de The Gentlemen (INED revendiqué en France) et Holcim revendiqué par Emperador, qui enchaîne les grands comptes européens. En Belgique, MyMinfin est rétabli après l'attaque du SPF Finances.
Radar SecOps : actions du jour
PATCHER
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (CERTFR-2026-ALE-014) et session.upload_progress.enabled=0 pour CVE-2026-115560 non corrigée ; PAN-OS avec management retiré d'Internet ; GitLab 19.2.8 / 19.3.5 / 19.4.2 (CERTFR-2026-AVI-1427) ; Ivanti ICS selon l'avis éditeur (CERTFR-2026-ALE-013) ; noyaux Linux pour Fragnesia (AVI-1431 Red Hat, AVI-1432 SUSE) ; Brotli 1.2.1 et correctifs .NET ; Cisco ASA/FTD CVE-2026-76418 ; WordPress 7.1.4 ; Oracle EBS CPU d'octobre.
CHASSER
Processus enfants de php-fpm/httpd et UID 0 issus de www-data ; threat logs NGFW Threat ID 543004 ; en-tête X-DSCGI-PATH incohérent, dsstatmond, /data/.icscap/ et LDAP LAPS/BitLocker depuis l'IP interne de l'appliance Ivanti ; ssh -R lancé par Cursor, clé svc-telemetry dans authorized_keys, flux vers 134.209.82.225:22/8099 ; appels openrouter.ai depuis des processus non navigateurs (VOLTA) ; Teams externe suivi de Quick Assist puis demandes de certificats avec SAN fourni (ESC1/ESC8).
ÉCHÉANCES
01/11 : KEV GitLab CVE-2026-97229 et Cisco CVE-2026-76418 · 02/11 : KEV Ivanti CVE-2026-111357, bulletin CERT-FR ACT-046 · 10/11 : Patch Tuesday, SAP Patch Day, KEV Adobe Commerce et Brotli · 11/11 : KEV VMware ESX · 13/11 : KEV Ivanti CVE-2026-118527 · 16/11 : échéance fiscale belge reportée (phishing).
Vulnérabilités et exploitation active
PHP2Shell : exploitation des interfaces de management PAN-OS, root via Fragnesia
CVE-2026-109618 et CVE-2026-109619 (CVSS 4.0 : 9.2) sont deux RCE non authentifiées dans PHP, corrigées le 21/10 et ajoutées au KEV le 26/10. Un acteur China-nexus décrit comme assisté par IA les chaîne avec la LPE noyau Fragnesia (CVE-2026-46300) pour obtenir root ; 25 systèmes compromis (US, Japon, Taïwan, Corée du Sud) selon les reprises. Palo Alto confirme l'exploitation des interfaces de management exposées sur Internet, soit environ 0,02 % de la base installée selon l'éditeur, clients concernés contactés ; Kevin Beaumont signale aussi un groupe ransomware utilisant la chaîne contre des firewalls PAN. Une troisième faille, CVE-2026-115560, reste sans correctif (mitigation : désactiver session.upload_progress). Unit 42 a retiré une attribution antérieure : le lien direct entre la campagne et les PAN rootés n'est pas établi par toutes les sources.
SOCInventaire Xpanse des managements exposés, puis les deux requêtes de hunting Unit 42 (exécutions sous les workers PHP ; threat logs NGFW Threat ID 543004, virtual patching depuis le 20/10). CISA a publié une règle Sigma pour les webshells.
Lire : Unit 42 · Help Net Security · Cybersecurity Dive · The Register · CERT-FR ALE-014
GitLab CVE-2026-97229 (CVSS 10) : due date KEV aujourd'hui, PoC public
Integer overflow dans le compilateur regex Ruby/Onigmo utilisé par le CI/CD, menant à une RCE non authentifiée ; affecte 19.2 avant 19.2.8, 19.3 avant 19.3.5 et 19.4 avant 19.4.2. Rapid7 publie un PoC et VulnCheck XDB recense quatre exploits ; sur le GitLab d'Alpine Linux, les attaquants ont obtenu l'auth bypass sans réussir la RCE avant le patch. L'Exploit Bulletin du 31/10 relève de nouvelles tentatives sur CVE-2026-85706 (path traversal API commits, CVSS 10, KEV depuis septembre). Le bug Onigmo pourrait toucher d'autres produits Ruby selon la notice KEV.
SOCRisque maximal si l'auto-inscription est ouverte : surveiller nouveaux comptes et projets, .gitlab-ci.yml à regex anormales, processus enfants des workers et runners ; faire tourner les secrets CI exposés.
Lire : Rapid7 · SecurityWeek · Exploit Bulletin 31/10 · CERT-FR AVI-1427
Ivanti Connect Secure : chaîne de trois CVE jusqu'au root non authentifié (UTA0576)
CVE-2026-104935 (CVSS 8.6, auth bypass dans welcome.cgi et race sur l'upload, KEV depuis le 13/10), CVE-2026-111357 (missing authentication, élévation root via dsinvoked) et CVE-2026-118527 (identifiant prévisible, upload) ; les deux dernières sont au KEV depuis le 30/10. Volexity attribue l'activité à UTA0576, présumé criminel, actif depuis début octobre : vol de mots de passe LAPS, clés BitLocker, credentials AD, Kerberoasting, effacement de debuglog et audit.log. Les sources divergent sur le CVSS de CVE-2026-111357 (7.0 ou 8.8) et sur les builds corrigés (25.1.1.2 ou 25.1.1.3, 22.8R2.5 ou 22.8R2.6) : se référer à l'avis Ivanti. Shadowserver compte plus de 5 500 ICS exposés.
SOCL'Integrity Checker ne voit rien (patch en mémoire, pas de webshell) : la détection passe par l'aval, LDAP LAPS/BitLocker (msFVE-RecoveryInformation) et password spraying depuis l'IP interne de l'appliance, IP 108.165.147[.]64, trous dans les logs ICS.
Lire : Volexity · The Hacker News · Cybersecurity Dive · CERT-FR ALE-013
Brotli « Node2Shell » (CVE-2026-111497) et Oracle EBS CVE-2026-101767 : rappels exploités
Brotli : OOB write dans le décodeur (CVSS 4.0 : 9.2), versions 1.0.3 à 1.2.0, corrigé en 1.2.1, exploitation confirmée par la CISA le 28/10 ; Microsoft a livré des correctifs .NET d'urgence et Node.js est concerné. Oracle EBS 12.2.3 à 12.2.15 : prise de contrôle non authentifiée de l'Application Object Library (CVSS 9.8), corrigée par le CPU du 20/10, exploitation confirmée par le Centre canadien pour la cybersécurité et scans observés ; pas encore au KEV CISA au 30/10.
SOCAprès patch Brotli, redémarrer les processus et reconstruire les images conteneur ; en attendant, bloquer Content-Encoding: br au proxy. Pour EBS, historique cible de l'extorsion : vérifier l'exposition et les requêtes vers les endpoints AOL.
Lire : BleepingComputer (Brotli) · Centre canadien (Brotli) · Centre canadien (Oracle) · BleepingComputer (Oracle)
Nouvelles exploitations relevées le 31/10 : Siemens IoT2050, FreeScout, WordPress core
VulnCheck signale des tentatives sur Siemens SIMATIC IoT2050 CVE-2026-58115 (CVSS 10, Node-RED non authentifié, RCE root, corrigé en Industrial OS V4.3.4.1), FreeScout CVE-2026-53595 (CVSS 9.4, corrigé en 1.8.224, PoC public) et WordPress core CVE-2026-119977 (race sur wp-content/upgrade, CVSS 8.1, corrigé en 7.1.4). Patchstack juge l'exploitation WordPress peu pratique, mais près de 63 000 tentatives ont été comptées en 24 h. Drupal Commerce CVE-2026-118539 est aussi exploité contre des boutiques.
SOCIoT2050 côté OT : isoler Node-RED. Côté web : alertes de modification de fichiers PHP et audit des commandes Drupal Commerce. Source unique (capteurs VulnCheck) pour IoT2050 et FreeScout.
Lire : Exploit Bulletin · Wordfence · The Hacker News (WordPress) · SecurityWeek (Drupal)
CISA KEV : ajouts du 25/10 au 01/11 (aucun ajout le 31/10, catalogue 2026.10.30)
| CVE | Produit | CVSS | Ajout | Due | Note |
|---|---|---|---|---|---|
| CVE-2026-109618 | PHP (PHP2Shell, RCE) | 9.2 (v4) | 26/10 | 29/10 | Échue |
| CVE-2026-109619 | PHP (PHP2Shell, RCE) | 9.2 (v4) | 26/10 | 29/10 | Échue |
| CVE-2026-48356 | Adobe Commerce / Magento (upload) | 9.3 | 27/10 | 10/11 | APSB26-73 |
| CVE-2026-111497 | Google Brotli (OOB write) | 9.2 (v4) | 27/10 | 10/11 | Node2Shell |
| CVE-2026-41709 | VMware ESX (logging) | 2.7 | 28/10 | 11/11 | Anti-forensic, Warp Panda |
| CVE-2026-46300 | Linux kernel (Fragnesia LPE) | 7.8 | 28/10 | 31/10 | Chaîne PHP2Shell |
| CVE-2026-97229 | GitLab CE/EE (RCE) | 10.0 | 29/10 | 01/11 | Aujourd'hui |
| CVE-2026-76418 | Cisco ASA/FTD (DoS SSL VPN) | 8.6 | 29/10 | 01/11 | Aujourd'hui |
| CVE-2026-118527 | Ivanti Connect Secure (upload) | n.c. | 30/10 | 13/11 | Chaîne UTA0576 |
| CVE-2026-111357 | Ivanti Connect Secure (root) | 7.0 à 8.8 | 30/10 | 02/11 | Demain |
Colonne ransomware : « Unknown » pour toutes les entrées. CVSS issus des enregistrements CVE (CNA/ADP). Source : CISA KEV JSON.
AUSSI Cisco ASA/FTD CVE-2026-76418 (CVSS 8.6) : reload à distance si authentification secondaire sur un tunnel-group, alerter sur les reboots inattendus (Cisco) · Linux MPTCP CVE-2026-98432, RCE zero-click découverte par Claude, correctifs encore partiels selon les distributions (ISC Stormcast) · TeamViewer CVE-2026-111585 corrigée en 15.83 · JetBrains CVE-2026-118696/118697 après la défiance des CA eMudhra (SecurityOnline) · Avis CERT-FR du 30/10 : IBM AVI-1433, MongoDB AVI-1430, Stormshield SMC AVI-1429, Suricata AVI-1428, Veeam AVI-1426, Rails AVI-1424.
Campagnes et threat actors
Binance : vol record d'environ 6,3 Md$, le FBI attribue à TraderTraitor (DPRK)
Le laptop compromis d'un ingénieur DevOps a servi à soumettre des retraits non autorisés le 29/10 ; selon TRM Labs, la préparation a commencé environ 36 h avant (wallet opérateur financé via Tornado Cash, signatures collectées puis exécutées en rafale), avec environ 6,36 Md$ sortis sur 10 blockchains en 20 minutes. Samedi soir, le FBI a publié une alerte attribuant l'opération à TraderTraitor, avec une liste d'adresses à bloquer ; environ 3 Md$ auraient été gelés. Les montants varient selon les sources ; le contenu de l'alerte FBI n'est connu ici que par une reprise de presse.
SOCCas d'école de compromission d'un poste privilégié menant à l'abus des systèmes de signature : corréler l'EDR des postes admins/devs ayant accès aux HSM avec les actions sensibles ; ingérer la liste d'adresses FBI pour les clients fintech.
Lire : The Record · SecurityWeek · Infosecurity · Yahoo (alerte FBI)
Microsoft : usurpation de help desk via Teams puis abus d'AD CS (ESC1, ESC8)
Accès initial par chats et appels Teams externes se présentant comme l'IT, puis session Quick Assist ; runtimes portables Python, Bun et Java déposés dans AppData\Roaming\KB<digits>, exfiltration par Rclone renommé SearchApp.exe vers SFTP. Cas ESC1 : template vulnérable, 11 certificats privilégiés et DCSync quelques secondes après ; cas ESC8 : PetitPotam, relais NTLM vers /certsrv, certificat de DC et PKINIT. Techniques citées : T1566.003/.004, T1219, T1557, T1649. Aucun acteur attribué.
SOCCorréler Teams externe puis Quick Assist, bun.exe/java.exe sous AppData\Roaming\KB*, demandes de certificat avec SAN fourni par le demandeur et PKINIT depuis des postes ; durcir Web Enrollment (EPA, NTLM off). Quatre requêtes KQL et trois SHA256 publiés.
Vapor Panda et ARTEX, Volt Typhoon « Silent Train » : l'offensif agentique et les plans de management
CrowdStrike attribue à Vapor Panda (chevauchement Earth Estries) une campagne contre plus de 200 organisations depuis le 17/10 avec le framework de pentest agentique ARTEX, BLOODALCHEMY en post-exploitation ; Microsoft suit le même outil sous Storm-0940. Black Lotus Labs décrit le framework de relais « Silent Train » de Volt Typhoon et des zero-days sur VeloCloud Orchestrator, Cisco Catalyst SD-WAN, N-able N-central et Versa Director, avec des sessions de moins de 8 h et nettoyage. Pas d'IOC dans les articles consultés.
SOCChasser les connexions d'administration aux consoles SD-WAN/RMM depuis des IP résidentielles ou mobiles et allonger la rétention de ces logs ; la vitesse agentique plaide pour des playbooks XSOAR de containment automatique sur les détections à haute confiance.
Lire : The Hacker News · CyberScoop · BleepingComputer (Silent Train)
EN BREF Kaspersky détaille NetamLoader (APT non attribué, Asie) : CAB déposé dans SoftwareDistribution avec binaires Patch My PC, AppDomainManager injection, C2 openaigpt4v[.]com (Securelist) · Risky Bulletin, d'après ESET : première attaque wiper de GhostWriter contre un industriel ukrainien du transport (Risky Bulletin) · Talos : tendances IR du T3, hausse du vishing help desk (Talos) · Microsoft sur l'adoption de l'IA par les acteurs nord-coréens (Microsoft).
Supply chain, développeurs et IA
Extension « Claude Code » trojanisée sur le Cursor Marketplace : backdoor SSH persistante
Les versions 2.1.312 et 2.1.313 de anthropic.claude-code, distribuées uniquement via le marketplace Cursor, embarquent un loader de 66 lignes en tête d'extension.js, exécuté au chargement sans interaction. Il ajoute une clé Ed25519 « svc-telemetry » à authorized_keys, active sshd et ouvre un reverse tunnel -N -R '*:0:localhost:22' vers tunnel@134.209.82.225, après un beacon vers :8099/beacon contenant hostname, utilisateur, email git et les noms des variables d'environnement à secrets. Persistance : LaunchAgent com.apple.sysmond.plist, cron @reboot, tâche planifiée SysMon en SYSTEM. Microsoft confirme que le VS Code Marketplace et le paquet npm officiel ne sont pas touchés ; Anthropic indique que ses systèmes n'ont pas été compromis, l'origine reste disputée.
SOCInventorier les extensions IDE via XDR, puis BIOC sur ssh -R avec StrictHostKeyChecking=no dont le parent est cursor ; vérifier aussi administrators_authorized_keys sous Windows ; faire tourner les secrets dont les noms ont fuité, même si le tunnel a échoué.
Lire : OpenSourceMalware · Microsoft · Help Net Security · IT-Connect
PolinRider : paquets npm « itsa-* » de 2025, EtherHiding et JADESNOW
OpenSourceMalware relie à PolinRider neuf versions malveillantes publiées le 04/05/2025 après prise de contrôle d'un mainteneur de 59 paquets itsa- (itsa-utils@1.4.2, itsa-jsext@2.0.3, itsa-react-docviewer@16.1.2, etc.), dont trois seraient encore en ligne. Chaîne : stages stockés dans des transactions BNB Smart Chain et Ethereum, JADESNOW, bootstrapper qui sort si le pays est RU, puis RAT Node.js Socket.IO sur le port 3306 et stealer Python (navigateurs, plus de 80 wallets, identifiants git/gh). OSM rappelle que GTIG documente le même contrat BSC chez UNC5342 (DPRK), attribution de la source.
SOCChercher itsa-* dans lockfiles et artefacts, node qui interroge des explorateurs blockchain, téléchargement d'un Python 3.12.7 portable, sorties vers 27017/3306 externes. Source unique, non recoupée par Socket ou OpenSSF à cette heure.
Lire : OpenSourceMalware
VOLTA : un infostealer qui confie à un LLM le tri de ses victimes
Publié samedi par Cisco Talos, VOLTA-AUTODOXER est un stealer Windows (Chromium avec contournement App-Bound Encryption, Firefox, sessions Slack/Discord/Telegram, tokens OAuth Microsoft, configs SSH et gcloud) qui fouille aussi Gmail pour des reçus d'achat. Il envoie un rapport d'identité à OpenRouter, modèle par défaut anthropic/claude-opus-4.6 avec repli sur kimi-k2 puis gemini-2.5-flash en cas de refus, pour noter la valeur et l'OPSEC de la victime. Talos évoque un builder vendu à des clients ; vecteur de livraison non décrit.
SOCBon cas d'usage App-ID ou XSIAM : appels vers openrouter.ai/api/v1/chat/completions depuis des processus non autorisés ; artefacts volta_*.zip, Identity_Report.txt, AI_Analysis.txt ; SHA256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279.
Lire : Cisco Talos
EN BREF Chainalysis confirme une intrusion dans ses outils internes par un acteur utilisant des « offensive agentic techniques » (IDs, noms, emails et rôles clients exposés ; source unique) (The Hacker News) · ChatGPT : un lien partagé pouvait exécuter du code via MathLive et lire les chats, corrigé le 26/10 (The Hacker News) · LiteLLM Enterprise CVSS 10, fuite de master key, et Hugging Face : faux modèles Qwen2 pour du cryptominage (Pluto Security).
Ransomware et extorsion
Source : ransomware.live (mise à jour du 31/10, 21h50 UTC) et stats ; ransom.privtools.eu compte 201 victimes sur 7 jours (méthode différente). Pas de chiffre HackManac d'octobre publié à cette heure.
TOP 48 H thegentlemen (au moins 50), qilin (au moins 11), safepay (9), genesis (9), AuditTeam (4 à 5) ; également actifs : emperador, Whitearmor, N0n, sarcoma, incransom, Rhysida. Minimums (top 3 quotidien visible).
Emperador enchaîne les grands comptes européens : Holcim, après AB InBev et Afflelou
Le cimentier suisse Holcim apparaît le 31/10 sur le leak site d'Emperador, sans volume ni deadline indiqués et sans communication de la victime. Le groupe a revendiqué AB InBev le 25/10 (3,9 Go et 10 M$ exigés selon la presse belge ; l'entreprise dit enquêter sur une possible cyberattaque), Afflelou le 26/10 et deux GmbH allemandes recoupées par Ransomlook. Une analyse Rescana évoque une exposition Azure et PKI chez AB InBev, non vérifiée.
SOCSurveiller l'exposition supply chain des clients industrie, construction et retail ; si un vol de PKI est avéré, chasser les usages anormaux de certificats et de service principals Azure.
Lire : ransomware.live (Suisse) · RetailDetail (AB InBev) · Rescana
The Gentlemen publie environ 50 victimes d'un coup, dont l'INED
Le 31/10, The Gentlemen a publié un lot massif d'attaques estimées du 26 au 30/10, dont en France l'Institut national d'études démographiques (INED) et le Groupe AC Environnement ; aucune communication des victimes trouvée. Le groupe, l'un des RaaS les plus actifs de 2026, est documenté par MITRE (G1058) et connu pour perturber la restauration des données. En parallèle, GlobalProtect CVE-2026-0257 (patchée en mai) reste un vecteur d'initial access exploité par deux groupes ransomware selon Unit 42 ; le lien avec Qilin est non confirmé.
SOCVérifier sauvegardes immuables et isolation des consoles de backup ; contrôler le niveau de patch GlobalProtect et les authentifications VPN suivies de LOLBins.
Lire : ransomware.live (The Gentlemen) · Le Monde Informatique · The Register (GlobalProtect)
EN BREF Victimes FR/BE/CH sur 7 jours (non confirmées) : Marbre Design (payload), Vins Viallet (lamashtu), commune de Machelen (Rhysida), Kerckstede vzw, ECOM (qilin), ARX Group et SunTechnics Fabrisolar · Rançongiciel C3RB3R contre les NAS Synology DSM, vague en cours (IT-Connect) · Artem Stryzhak (Nefilim, Hive) condamné à 70 mois à New York ; arrestation en Allemagne d'un membre présumé de Qilin (dossier Synnovis) selon DCOD.
France et Europe : fuites et incidents
Belgique : SPF Finances attaqué, MyMinfin et Tax-on-Web de retour samedi soir
Le 28/10, le SPF Finances a coupé MyMinfin, Tax-on-Web et Biztax par précaution ; il affirme qu'aucune application n'a été prise en main et qu'aucune donnée n'a été dérobée. Les services sont rétablis depuis le 31/10 au soir ; ni acteur ni technique ne sont précisés. L'échéance fiscale du 31/10 est reportée au 16/11.
SOCAnticiper le phishing usurpant SPF Finances et MyMinfin qui jouera sur le report au 16/11 : renforcer filtrage et règles de détection sur ces thèmes pour les clients belges et luxembourgeois.
FFME : deuxième accès illégitime de l'année via un compte myFFME
La Fédération française de la montagne et de l'escalade a annoncé le 30/10 qu'un compte de la plateforme myFFME a été utilisé frauduleusement le 28/10 pour consulter des données de licenciés (nom, sexe, date de naissance, email, numéro de licence, carnet de formation) ; pas de mots de passe, de données bancaires ni d'adresses selon la FFME. Le nombre de personnes touchées n'est pas communiqué (environ 120 000 licenciés). Même mode opératoire que l'incident du 15/01/2026. Bourse Direct a par ailleurs confirmé l'exposition des IBAN d'environ 800 comptes clients (27 au 28/10).
SOCCas typique d'abus de compte légitime : UEBA sur la volumétrie des consultations et MFA sur les comptes à privilèges des portails métier. Pour Bourse Direct, risque de fraude au faux conseiller.
Lire : Cyberattaque.org (FFME) · Fuites Infos · Cyberattaque.org (Bourse Direct)
Rassemblement national : 150 000 lignes d'adhérents publiées, quatrième parti visé en une semaine
Un acteur « shin0bi » (premier message sur le forum) revendique 432 597 enregistrements et en publie 150 000 en JSON (121 580 distincts après dédoublonnage) : identité, adresse, téléphone, email, date de naissance, profession, circonscription, montant de cotisation ; l'analyse note des incohérences géographiques. Aucune réaction du parti. Cela suit les revendications de ChimeraZ contre Renaissance, LFI et PCF (25/10), puis le PRG (30/10) ; ChimeraZ a aussi publié 11 173 fiches de l'AMF qui semblent issues du registre public GECO.
SOCDonnées sensibles (opinions politiques) propices au spear-phishing ciblé ; surveiller les campagnes usurpant des partis et les escroqueries à l'investissement imitant des sociétés agréées AMF.
Lire : Cyberattaque.org · Fuites Infos · ZATAZ (ChimeraZ)
AILLEURS Auto-Planning (prise de rendez-vous de plus de 450 centres de contrôle technique) : « Operation GlassLodge » revendique environ 18 millions d'identités et 13,9 millions de plaques, rançon de 33 333 USD, non confirmé (FrenchBreaches) · Cholet : téléphonie et messagerie de la ville et de l'agglomération perturbées depuis vendredi soir, origine indéterminée (Cyberattaque.org) · Careco : 2 142 lignes publiées par « ethicxss », non confirmé (FrenchBreaches) · Suisse : PK Softech, éditeur de caisses de pension, plus de 100 000 assurés possiblement exposés, enquête du PFPDT (bluewin) ; Fédération suisse de basketball, 52 300 licenciés revendiqués · Norvège : niveau de risque cyber relevé à « High ».
Underground et signaux faibles
- Forums : premier message de « shin0bi » pour le RN ; ChimeraZ s'installe comme acteur récurrent visant des institutions françaises, pour un gain surtout réputationnel ; AuditTeam publie des noms masqués avant révélation, tactique de pression.
- Nouveaux groupes d'octobre selon ransomware.live : everstake et Shiba (29/10), Whitearmor (23/10), Mimori, THE SEVEN DEADLY SINS, 0x00, HYFLOCK, Majinahanashi, Scarlettgroup, UmBra, BYOD, VYPR.
- Infrastructure : saisie du bulletproof hoster Virtualine (opération Omegaline, US, Pays-Bas, Allemagne, Royaume-Uni, plus de 3 000 clients) ; attendre une rotation des C2 et des IOC réseau (CyberScoop).
- vx-underground : aucun post sur la fenêtre (dernier le 26/10). Rappel : LegionLoader, C2 herlittlebit[.]com (post 9558) ; EasyAgent (Go), faux installeur Fortinet, C2 52.74.54.75 (post 9544).
- Infostealers : VOLTA monétise le tri des victimes par LLM ; ESET documente Amatera (WeLiveSecurity).
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
EN BREF Projet de loi Résilience (NIS2) toujours non adopté après son retrait de l'ordre du jour de l'Assemblée des 7 et 9 octobre (Leto) · Cybermois clos le 31/10 · CERT-FR a migré vers cert.cyber.gouv.fr ; dernier bulletin ACT-045, ACT-046 attendu lundi · Syrian Electronic Army : Ahmad Umar Agha condamné à 42 mois aux États-Unis (The Record) · INTERPOL Serengeti III : 1 462 arrestations · Apple : notifications spyware dans 99 pays.
Détection, recherche et veille
- Claude Code / Cursor (OSM, Microsoft) : IP 134.209.82.225 ; hxxp://134.209.82.225:8099/beacon ; clé SSH SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk ; extension.js SHA256 ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15 ; fichiers ~/.config/.smt, ~/.config/.smtk, smt.cmd, sysmon.cmd ; 4 requêtes KQL Microsoft.
- PolinRider (OSM, source unique) : 154.91.0.103:27017, 85.239.62.36:3306/27017, 85.239.60.213:27017 ; wallets 0x9bc1355344b54dedf3e44296916ed15653844509 et 0x8eac3198dd72f3e07108c4c7cff43108ad48a71c ; bot Telegram @file_1018_bot ; itsa-utils-1.4.2.tgz SHA256 c9dab995cf61a066db149c8d5d4ce171fb9d20d246994a1fa4f27a5885088bbb.
- PHP2Shell : requêtes de hunting Cortex XDR/XSIAM de Unit 42, Threat ID 543004, règle Sigma CISA. Ivanti : X-DSCGI-PATH, dsstatmond, /data/.icscap/, ml.py, rq5.py, spray_hits.json, 108.165.147[.]64 (Volexity).
- NetamLoader (Kaspersky) : MD5 F2458ED133F8D0CA19E22C10F577E98E, AB81564BCB8CA7E710C66832DE747556 ; C2 openaigpt4v[.]com. VOLTA (Talos) : voir plus haut. vx-underground (26/10, hors fenêtre) : LegionLoader SHA256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1.
- SANS NewsBites n°81 (30/10) : PHP2Shell sur PAN-OS, Oracle EBS, MPTCP CVE-2026-98432, LiteLLM CVSS 10, défiance des CA eMudhra, ClickFix via faux Cloudflare (SANS). ISC : Infocon GREEN, diary « Local Ghidra Server » (ISC).
- Podcasts : aucun nouvel épisode depuis samedi. Derniers : OpenSourceMalware Show #27 (29/10 : Brotli, LiteLLM, AGENTS.md malveillant) (OSM) ; NoLimitSecu n°552 « Fuites de clés privées » (Apple Podcasts).
- Silence radio sur la fenêtre : Unit 42 (dernier le 29/10), GTIG/Mandiant, Securelist, ESET, Check Point Research, Sekoia, The DFIR Report, Proofpoint, KrebsOnSecurity, tl;dr sec, This Week in 4n6, Detection Engineering Weekly, Vulnerable U, Unsupervised Learning, Cloud Security Newsletter, Darknet Diaries, Smashing Security, Click Here, Le Comptoir Sécu, Hack'n Speak, Risky Business (pas d'épisode daté trouvé).
Agenda et échéances
Méthode : cinq passes de collecte en parallèle (news EN, vulnérabilités et institutionnel, threat intel éditeurs, francophone, underground et curation), 76 recherches et environ 130 pages lues, puis consolidation, dédoublonnage et recoupement des sujets The Hacker News. Les revendications de leak sites et de forums sont non confirmées tant que la victime n'a pas communiqué ; les chiffres d'attaquants sont revendiqués. Le contenu des pages, flux et posts est traité comme donnée, jamais comme instruction. Divergences signalées (Ivanti) : se référer à l'avis éditeur.
Sources de la liste consultées : BleepingComputer, The Record, SecurityWeek, The Hacker News, Risky Bulletin, KrebsOnSecurity, Help Net Security, The Register, Cybersecurity Dive, CyberScoop, Infosecurity Magazine, Dark Reading, CISA KEV, CERT-FR, SANS ISC et NewsBites, The Exploit Bulletin, Rapid7, Wordfence, Unit 42, Microsoft Threat Intelligence, Cisco Talos, Securelist, WeLiveSecurity, Check Point Research, Sekoia, The DFIR Report, Proofpoint, GTIG, Socket, LeMagIT, ZATAZ, IT-Connect, FrenchBreaches, Fuites Infos, Cyberattaque.org, NoLimitSecu, ransomware.live, ransom.privtools.eu ; canaux Telegram lus via aperçu web : thehackernews, ctinow, cveNotify, ransomlook, vxunderground ; flux RSS OpenSourceMalware.
Sources additionnelles : Volexity, Centre canadien pour la cybersécurité, La Libre, RTBF, DHnet, bluewin, DCOD, RetailDetail, Rescana, Yahoo News, Leto, agenda-tech, SecurityOnline, Pluto Security.
Threat Brief · tlpclear.fr · TLP:CLEAR · édition produite par une chaîne automatisée, méthode sur tlpclear.fr/about