Plusieurs vulnérabilités exploitées touchent des équipements de périmètre et des forges très répandus : PHP2Shell (dont root sur pare-feu PAN-OS à management exposé), chaîne Ivanti Connect Secure, GitLab CE/EE et Cisco ASA/FTD, avec des échéances KEV déjà dépassées. S'y ajoute une compromission supply chain des postes développeurs (extension « Claude Code » piégée sur le marketplace Cursor). Pas de campagne de masse confirmée justifiant le niveau Critique.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUEPHP2Shell (CVE-2026-109618/-109619) exploité contre les interfaces de management PAN-OS exposées, avec élévation root via le noyau Linux. Unit 42 publie requêtes XQL et Threat ID 543004 ; un acteur a aussi enchaîné PHP2Shell et Fragnesia sur environ 25 serveurs.
CRITIQUEExtension « Claude Code » 2.1.312/2.1.313 trojanisée servie par le marketplace Cursor : clé SSH « svc-telemetry » et tunnel SSH inverse vers 134.209.82.225. Recoupé par Microsoft, Cursor, StepSecurity, Socket et OpenSourceMalware.
ÉLEVÉIvanti Connect Secure : deux nouvelles CVE au KEV le 30/10 (CVE-2026-111357, échéance aujourd'hui, et CVE-2026-118527), chaînées avec le contournement d'authentification CVE-2026-104935. Versions corrigées 25.1.1.3, 25.1.3.1 ou 22.8R2.6.
ÉLEVÉGitLab CVE-2026-97229 (gravité maximale) exploitée, notamment contre l'instance d'Alpine Linux ; Drupal Commerce Core et BeyondTrust Remote Support également exploités.
MOYENWeek-end dense côté fuites françaises : Autosur (incident confirmé, 615 000 personnes revendiquées par ChimeraZ), fichier d'adhérents du RN revendiqué, pharmacies, plaques d'immatriculation ; The Gentlemen revendique l'INED.
Radar SecOps : actions du jour
Vulnérabilités et exploitation active
CRITIQUE
PHP2Shell : root sur pare-feu PAN-OS à management exposé, et nouvelle RCE PHP non corrigée
Les deux RCE PHP non authentifiées CVE-2026-109618 et CVE-2026-109619 (CVSS 4.0 : 9,2 selon Unit 42, liées à la gestion d'erreurs via longjmp) sont exploitées contre les interfaces de management PAN-OS exposées, puis chaînées avec une élévation de privilèges noyau pour obtenir root (rapporté par Dream Research, vérifié par Unit 42). Palo Alto estime à environ 0,02 % la part du parc exposée ; Xpanse recense 22,6 millions d'instances PHP potentiellement vulnérables. SecurityWeek et Risky Bulletin rapportent un acteur assisté par IA qui a enchaîné PHP2Shell et Fragnesia (CVE-2026-46300) pour obtenir root sur environ 25 serveurs. Wordfence ne constate pas de compromission WordPress confirmée ; PHP a publié des mitigations pour une nouvelle RCE non corrigée limitée aux configurations non par défaut.
SOCDéployer les requêtes XQL Unit 42 dans XSIAM (et la requête logs NGFW, Threat ID 543004), vérifier qu'aucune interface de management n'est joignable depuis Internet, chasser les shells lancés par PHP, inventorier les PHP embarqués dans les appliances.
Lire : Unit 42 · PAN advisory · SecurityWeek · SecureWorld · CERT-FR ALE-014
CRITIQUE
Ivanti Connect Secure : chaîne exploitée, deux nouvelles CVE au KEV
Le point d'entrée reste CVE-2026-104935 (CVSS 8.6), contournement d'authentification exploité depuis mi-octobre. CISA a ajouté le 30/10 CVE-2026-118527 (écriture de fichier à emplacement prévisible, authentifiée) et CVE-2026-111357 (passage root, échéance fédérale aujourd'hui). Versions affectées : 25.1.1.2 et antérieures, 22.8R2.5 et antérieures ; 22.7.x et inférieures non affectées. Ivanti parle d'un nombre limité de clients touchés ; un template Nuclei circule pour CVE-2026-104935. Les CVSS des deux nouvelles CVE diffèrent selon la presse (4.3 ; 7.0 ou 8.8), à confirmer sur l'avis éditeur.
SOCLancer l'ICT interne et externe, appliquer les IOC Volexity du 13/10, revoir les sessions VPN depuis des infrastructures inhabituelles, confirmer le passage aux versions postérieures au correctif d'octobre.
Lire : Ivanti · SecurityOnline · CERT-FR ALE-013
CRITIQUE
GitLab CE/EE CVE-2026-97229 : RCE non authentifiée exploitée, Alpine Linux visé
Dépassement d'entier dans le compilateur de regex utilisé par la configuration CI/CD (Ruby/Onigmo) : une regex forgée donne l'exécution de code sur le serveur. Corrigé en 19.4.2, 19.3.5 et 19.2.8 ; ajouté au KEV le 29/10 (échéance 01/11 dépassée). Chez Alpine Linux, l'attaquant a obtenu un contournement d'authentification sans aller jusqu'à la RCE, est revenu après le correctif, et l'instance est reconstruite. Shadowserver suit environ 2 800 instances CE exposées ; CISA signale que d'autres produits Ruby/Onigmo pourraient être concernés.
SOCForges auto-hébergées = pivot supply chain : vérifier versions, processus enfants de puma/sidekiq, .gitlab-ci.yml à regex anormales, création de comptes et jetons ; appliquer les détections publiées par GitLab.
Lire : BleepingComputer · Alpine Linux · SecurityWeek · CERT-FR AVI-1427
ÉLEVÉ
Cisco ASA/FTD, Drupal Commerce Core et BeyondTrust Remote Support exploités
Cisco CVE-2026-76418 : déni de service non authentifié via le VPN SSL d'accès distant (CVSS 8.6) quand une authentification secondaire est configurée sur un tunnel-group ; au KEV depuis le 29/10. Les sources divergent sur un éventuel second zero-day VPN distinct, à suivre sur l'avis Cisco. Drupal Commerce Core CVE-2026-118539 (SA-CONTRIB-2026-254, « highly critical ») : contournement d'autorisation non authentifié exploité contre des boutiques, plus de 42 000 sites utilisent le module. BeyondTrust Remote Support CVE-2026-102764 : upload de fichier menant à une RCE sans authentification, exploité après le correctif de mi-octobre (analyse Rapid7, source unique).
SOCCorréler redémarrages ASA, crashinfo et pics sur le portail webvpn ; chercher webshells sur les serveurs BeyondTrust et revoir les sessions ; auditer les commandes Drupal Commerce.
Lire : Cisco · THN · BleepingComputer (Drupal) · Rapid7
ÉLEVÉ
VMware ESX CVE-2026-41709 : faille de journalisation utilisée comme zero-day
Un acteur disposant déjà d'un accès administrateur peut effectuer certaines opérations sans qu'elles soient journalisées ; faible en CVSS mais exploitée pour la furtivité. Au KEV depuis le 28/10 (échéance 11/11) ; une note de la Cloud Security Alliance du 30/10 l'attribue à un acteur chinois nommé « Warp Panda ». Fiabilité moyenne : avis Broadcom et KEV certains, articles détaillés non lus.
SOCExternaliser la télémétrie ESXi vers le SIEM ; un trou de journaux ESXi croisé avec vCenter est un signal ; surveiller l'activation de SSH et les VIB non signés.
CISA KEV : ajouts des 7 derniers jours (aucun ajout les 31/10 et 01/11)
| CVE | Produit | CVSS | Ajout | Due | Note |
|---|---|---|---|---|---|
| CVE-2026-118527 | Ivanti Connect Secure | 4.3 (presse) | 30/10 | 13/11 | Écriture fichier prévisible |
| CVE-2026-111357 | Ivanti Connect Secure | 7.0/8.8 (presse) | 30/10 | 02/11 | Root, échéance ce jour |
| CVE-2026-97229 | GitLab CE/EE | max | 29/10 | 01/11 | RCE non auth., dépassée |
| CVE-2026-76418 | Cisco ASA/FTD | 8.6 | 29/10 | 01/11 | DoS VPN SSL, dépassée |
| CVE-2026-41709 | VMware ESX | n.c. | 28/10 | 11/11 | Logging, zero-day |
| CVE-2026-46300 | Linux Kernel | n.c. | 28/10 | 31/10 | Fragnesia LPE, PoC public |
| CVE-2026-48356 | Adobe Commerce | n.c. | 27/10 | 10/11 | Upload, RCE |
| CVE-2026-111497 | Google Brotli | n.c. | 27/10 | 10/11 | Copies embarquées |
| CVE-2026-109618 | PHP | 9.2 (v4) | 26/10 | 29/10 | PHP2Shell |
| CVE-2026-109619 | PHP | 9.2 (v4) | 26/10 | 29/10 | PHP2Shell |
Usage ransomware « Unknown » pour toutes les entrées. CVSS NVD non vérifiés (API inaccessible) : valeurs éditeur ou presse. Source : JSON CISA KEV (catalogue 2026.10.30).
Aussi : avis CERT-FR du 30/10 : IBM (AVI-1433, dont DataPower CVE-2026-14269 et CVE-2026-14502 à 9.8, sans exploitation connue), MongoDB (AVI-1430), Stormshield Management Center (AVI-1429), Suricata (AVI-1428), Veeam Management Pack (AVI-1426) ; TeamViewer CVE-2026-111585 (prise de contrôle du poste technicien par un hôte malveillant). CERT-FR AVI-1433 · SecurityWeek TeamViewer
Campagnes et threat actors
ÉLEVÉ
Binance : environ 6,3 Md$ volés, attribués par le FBI à la Corée du Nord (TraderTraitor)
Plus de 6,3 Md$ dérobés en une vingtaine de minutes, le plus gros vol crypto connu ; près de la moitié des fonds aurait été gelée. Le FBI attribue l'opération à la Corée du Nord ; TRM Labs et SecurityWeek relèvent le mode opératoire TraderTraitor, avec un vecteur probable via le portable compromis d'un ingénieur. Les montants restent mouvants selon les sources.
SOCLes TTP nord-coréennes visent postes développeurs et ops (faux recrutements, paquets piégés) : durcir les postes à privilèges, surveiller les exécutions Node/Python issues de dépôts tiers.
Lire : FBI · SecurityWeek · TRM Labs
ÉLEVÉ
GTIG : « ARTEX and Friends », les frameworks offensifs agentiques en production (UNC7228 / STORM-0940)
Google Threat Intelligence décrit ARTEX, plateforme Go multi-agents pilotée par LLM (dérivés ScopeWeaver et ARTEX PRO), ainsi que PentAGI, Hexstrike et CAIRN, utilisés par UNC7228 (lié à la Chine, recoupe STORM-0940 de Microsoft) et par des groupes d'extorsion. TTP : sondage de permissions Azure et AWS (DryRun), abus de l'API Kudu, curl vers 491 URL webhook.site, Kerberoasting, DCSync, Pass-the-Ticket, webshells JSP écrits via le general_log MySQL. Secteurs : semi-conducteurs, télécoms, gouvernement, industrie, finance (US, Europe, Asie).
SOCRafales d'appels sur le plan de contrôle cloud en 2 à 25 secondes, webhook.site ou OAST appelés depuis des serveurs, comptes « ArtexProbe », webshells cl1217.jsp, f1219a.jsp, z1219.jsp.
Lire : GTIG · Microsoft (21/10)
MOYEN
Talos : l'infostealer VOLTA confie le tri de ses victimes à un LLM
Stealer PE64 auto-supprimé qui vole mots de passe, cookies, portefeuilles, tokens OAuth Microsoft, clés SSH et configurations cloud, puis envoie le butin à OpenRouter (plusieurs modèles commerciaux en cascade en cas de refus) pour produire une « évaluation de cible » classant la valeur monétisable de la victime. Exfiltration via Telegram ; probablement un builder commercial, sans attribution.
SOCAppels à openrouter.ai/api/v1/chat/completions depuis des processus non navigateurs ; artefacts volta_*.zip, AI_Analysis.txt, Identity_Report.txt.
Lire : Cisco Talos
En bref : selon ESET, FrostyNeighbor / GhostWriter (Biélorussie) mène sa première attaque destructrice (wiper) contre un industriel ukrainien, et la Norvège relève son niveau de menace cyber à « Élevé » ; Talos IR Trends T3 : vishing « faux help desk » et hausse du pré-ransomware ; Polymarket : script tiers lié à un outil de monitoring web, plus de 2,65 M$ drainés. Risky Bulletin · Talos IR · SecurityWeek
Supply chain, développeurs et IA
CRITIQUE
Extension « Claude Code » piégée sur le marketplace Cursor : backdoor SSH persistante
Les versions anthropic.claude-code 2.1.313 puis 2.1.312, servies par le miroir interne de Cursor pendant environ 11 heures le 29/10, embarquaient un loader en tête d'extension.js exécuté à l'activation. Il collecte hostname, utilisateur, IP publique, email Git et les noms (pas les valeurs) de variables d'environnement de type secret, ajoute une clé Ed25519 « svc-telemetry » à authorized_keys, active sshd, puis ouvre un tunnel inverse vers tunnel@134.209.82.225 (préférence autossh). Persistance : cron @reboot, tâche planifiée SysMon (SYSTEM), LaunchAgent com.apple.sysmond.plist. Le paquet npm et le marketplace VS Code de Microsoft ne sont pas touchés ; les sources divergent sur Open VSX. Pas d'attribution ; Cursor a coupé son marketplace.
SOCHunt immédiat sur ~/.config/.smt et .smtk, empreinte de clé SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk ; poste touché = isolation, rotation des secrets, réinstallation.
Lire : Microsoft · Cursor · StepSecurity · Socket · OpenSourceMalware
ÉLEVÉ
PolinRider (Corée du Nord) remonte à 2025 : paquets npm itsa-* détournés
OpenSourceMalware identifie neuf versions malveillantes publiées le 04/05/2025 via un compte mainteneur détourné (itsa-utils@1.4.2, itsa-jsext@2.0.3, itsa-react-docviewer@16.1.2, itsa-react-button@16.0.11, etc.), dont trois encore en ligne. Chaîne : étapes stockées dans des transactions BNB/Ethereum (EtherHiding), JADESNOW, bootstrapper InvisibleFerret, RAT Node Socket.IO et stealer Python visant navigateurs, plus de 80 portefeuilles et tokens GitHub. Réinfections 2026 par force-push sur webpack.config.js ; rattaché à UNC5342, BeaverTail et InvisibleFerret. Source unique.
SOCVérifier les lockfiles, chercher node -e contenant global['_V'], requêtes Node vers Ethplorer, Binplorer, BlockCypher, et trafic non MySQL sur 3306 ou 27017 (C2 154.91.0.103, 85.239.62.36, 85.239.60.213).
Lire : OpenSourceMalware
MOYEN
Agents IA dans les intrusions : Chainalysis, Northflank, système du Pentagone
Chainalysis signale un intrus ayant utilisé des outils agentiques pour accéder à son réseau interne, sans preuve d'accès aux données clients ni lien avec Binance. Northflank rapporte le vol de clés d'API IA stockées dans des comptes clients. WIRED décrit un employé d'un prestataire de défense ayant connecté un agent de code IA à un système sécurisé du DoD, qui a transmis pendant deux mois des fichiers CUI et des identifiants vers un site tiers. Chaque incident repose sur une source unique.
SOCInventorier les agents IA autorisés et leurs accès, surveiller les exfiltrations vers des services tiers, faire tourner les clés d'API LLM.
Lire : Chainalysis · Northflank · WIRED
En bref : LiteLLM 1.107.0 malveillant après fuite d'une clé maître jamais révoquée et détournement du pipeline de release ; un AGENTS.md piégé pousse un agent de code à installer un paquet MALFEX (Overlord RAT, C2 via Solana) ; OpenSourceMalware alerte sur les copies embarquées du décodeur C Brotli (CVE-2026-111497). LiteLLM · THN AGENTS.md · OSM Brotli
Ransomware et extorsion
Source : ransomware.live (données au 01/11 21:50 UTC) ; chiffre HackManac récent indisponible.
Les plus actifs sur 48 h : The Gentlemen (50, déversement de file d'attente), Qilin (10 le 01/11 : DE, AT, HU, US, JP), SafePay (9), AuditTeam (5) ; sur Ransomlook, krybit et n0n publient par lots, Emperador monte en DACH.
ÉLEVÉNON CONFIRMÉ
The Gentlemen : une cinquantaine de revendications, dont l'INED et Groupe AC Environnement
Le groupe a publié en une fois une cinquantaine de victimes le 31/10. Deux sont françaises : l'Institut national d'études démographiques (attaque estimée au 30/10) et Groupe AC Environnement (diagnostic immobilier, estimée au 26/10), avec compte à rebours et sans échantillon visible. Aucune communication des victimes à ce stade. Unit 42 décrit ce RaaS comme capable de propagation de type ver.
SOCSurveiller la publication à l'échéance ; revoir les TTP de propagation latérale décrites par Unit 42.
Lire : ransomware.live FRA · FrenchBreaches · Unit 42
MOYENNON CONFIRMÉ
Emperador revendique Holcim ; Qilin enchaîne l'Europe centrale
Emperador, groupe récent à qui Rescana attribue une attaque sur le cloud Azure d'AB InBev en octobre, revendique le cimentier suisse Holcim ainsi que Phoenix S&S et Frommann Energie (DE). Qilin publie le 01/11 fzmb, CMD Naturkosmetik, qc-consult (DE), Forum (AT), BKV Vasúti Járműjavító (HU) et Castle Howard Estate ; deux trackers concordent.
SOCCibles industrie et énergie DACH : à surveiller pour les clients ayant filiales ou fournisseurs dans la zone.
Lire : ransomware.live · Ransomlook · Rescana
En bref : saisie de l'hébergeur bulletproof Virtualine (Operation Omegaline : US, NL, DE, UK, plus de 3 000 clients dans les données saisies, IOC Silent Push) ; C3RB3R relance ses attaques contre les NAS Synology via des failles de 2024 ; Payload cible des PME françaises et allemandes. DoJ · Silent Push · Synology
France et Europe : fuites et incidents
ÉLEVÉCONFIRMÉ
Autosur (SECTA) : incident confirmé, 615 000 personnes revendiquées par ChimeraZ
ChimeraZ met en vente le 31/10 798 502 lignes (248 Mo), soit 615 233 personnes selon lui : noms, téléphones, e-mails, identifiants clients, sans mot de passe ni donnée bancaire dans l'échantillon. Le DPO de SECTA confirme un incident touchant environ 50 centres, notifié à la CNIL avec plainte déposée, sans confirmer que le fichier en provient. Même week-end : 2,9 M d'enregistrements de plaques revendiqués par ChimeraZ, 1,1 M chez MPA Group et Careco, ce qui dessine un ciblage de la filière automobile (non confirmé).
SOCAnticiper smishing et faux rappels de contrôle technique ; ChimeraZ semble viser en série des CMS de PME (e-commerce, fédérations).
Lire : Cyberattaque.org · Fuites Infos · FrenchBreaches · Plaques
MOYENCONFIRMÉ
Bourse Direct : IBAN de clients exposés
Compromission dans la nuit du 27 au 28/10 : noms, numéros de compte client et IBAN exposés, volume non communiqué, acteur inconnu. Les clients ont été notifiés ; l'entreprise indique que ces données ne permettent pas d'accéder aux comptes. Entité régulée DORA.
SOCRisque de fraude au prélèvement SEPA et de faux conseiller.
Lire : Fuites Infos
ÉLEVÉNON CONFIRMÉ
Rassemblement National et pharmacies : revendications de données sensibles
Un acteur non nommé revendique le 31/10 432 597 enregistrements d'adhérents du RN (extrait de 150 000 lignes, environ 121 300 personnes, 21 champs dont adresse, profession, cotisations) ; le parti ne s'était pas exprimé. D'autres revendications fin octobre visent PCF, LFI, Renaissance, PRG et Les Écologistes. Côté santé : Pharmacie des Congrès à Dijon (environ 23 000 patients, NIR, ordonnances) et Pharmacie de la Cigogne à Strasbourg (environ 110 000 personnes).
SOCDonnées article 9 RGPD : phishing ciblé probable ; pour les officines, vérifier un éventuel logiciel commun.
Lire : Fuites Infos RN · Fuites Infos pharmacie
Ailleurs en Europe et au-delà : Belgique : SPF Finances (MyMinfin) hors ligne après une intrusion, pas de fuite annoncée, échéance fiscale repoussée au 16/11 ; Pays-Bas : vagues de DDoS sur DigiD ; Vaud : 41 500 élèves et enseignants (confirmé) ; Floride : 4,9 M de dossiers d'aide financière. Confirmés aussi en France : La Halle au Sommeil, Cherry Rocher, FFME. SPF Finances · The Record
Underground et signaux faibles
- vx-underground : LegionLoader, chargeur modulaire résident en mémoire, possiblement lié à UNC6910 / CURLGATE ; C2 herlittlebit[.]com, SHA-256 fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1 (post).
- vx-underground : kit d'exploitation iOS « Coruna » servi depuis le site italien compromis estrosa[.]it (UNC6353), SHA-256 33d60d42472a83d0d2cf4ee6640c615313c29b18ce1e8ab06e41f4bba558a34b (post).
- EasyAgent : faux installeur Fortinet, service Go en WebSocket vers 52.74.54.75, second étage sur qmlab1[.]com (post).
- ChimeraZ, acteur le plus prolifique du week-end sur les fuites françaises (automobile, e-commerce, fédérations dont FNC avec hashs bcrypt).
- Nouveaux noms sur les trackers : Vexy, Whitearmor, Hyflock, Shiba ; Emperador s'étend à l'énergie et l'industrie DACH.
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé. Dates des posts Telegram déduites de l'ordre du fil.
Institutionnel, régulation, forces de l'ordre
En bref : loi Résilience (NIS2, REC, DORA) toujours sans nouvelle date d'examen à l'Assemblée depuis le report du 6/10, l'article 16 bis sur le chiffrement restant contesté ; obligations de signalement du CRA en vigueur depuis le 11/09 ; le NIST publie une feuille de route de migration post-quantique ; CERT-FR : dernier bulletin d'actualité ACT-045 du 26/10. Aucune sanction CNIL ni communiqué Europol trouvés sur la fenêtre. Next · CERT-FR ACT-045
Détection, recherche et veille
- Unit 42 : requêtes XQL Cortex et requête logs NGFW PHP2Shell, Threat ID 543004.
- Google SecOps (GTIG ARTEX) : règles « Suspicious Webhook.Site Interaction », « Cmd Launching Curl », « AWS Cloud Accounts Getcalleridentity ».
- Claude Code / Cursor : IP 134.209.82.225, URL http://134.209.82.225:8099/beacon, extension.js SHA-256 ecb58cb29078d9646ad1dcdbe51526f2d9cfea06be5fb2ab183e8ecc3ab6bf15.
- PolinRider (OSM) : itsa-utils-1.4.2.tgz c9dab995cf61a066db149c8d5d4ce171fb9d20d246994a1fa4f27a5885088bbb, wallets 0x9bc1355344b54dedf3e44296916ed15653844509 et 0x8eac3198dd72f3e07108c4c7cff43108ad48a71c, bot @file_1018_bot.
- VOLTA (Talos) : SHA-256 57ef4242666d78c50df145b34023df564f0fad38812d6a580e66433d427e2279 ; Virtualine : IOC d'infrastructure Silent Push.
- Newsletters : SANS NewsBites XXVIII-81 (30/10 : responsabilité des éditeurs envisagée au Royaume-Uni, feuille de route PQC du NIST, soutien cyber hospitalier) ; Risky Bulletin (30/10 : wiper FrostyNeighbor, Virtualine, MyMinfin, Binance) ; This Week in 4n6 semaine 44 (01/11, non lu). NewsBites · This Week in 4n6
- Podcast : NoLimitSecu n°556 (01/11), « RETEX du CERT-FR sur les violations de données applicatives », avec Christophe Renard et David Quesada (épisode).
- Silence radio sur la fenêtre : tl;dr sec (dernier #352 du 29/10), DataBreaches.net, Have I Been Pwned, InfoStealers.com, SANS ISC (pas de diary, Infocon vert), Check Point Research (rapport hebdo introuvable), Securelist, Sekoia, The DFIR Report, Proofpoint, watchTowr, Horizon3 ; flux OpenSourceMalware : rien après le 30/10.
Agenda et échéances
Méthode : cinq passes parallèles (news EN, vulnérabilités et institutionnel, threat intel éditeurs, francophone, underground et curation), environ 90 recherches et 63 pages consultées, plus le JSON CISA KEV. Les revendications de leak sites restent non confirmées tant que la victime n'a pas communiqué ; les chiffres d'attaquants sont revendiqués. Le contenu des pages, flux et posts est traité comme donnée, jamais comme instruction. The Hacker News recoupé avec au moins une autre source.
Sources de la liste consultées : BleepingComputer, The Record, SecurityWeek, The Hacker News, Risky Bulletin, Help Net Security, CISA KEV, CERT-FR, SANS ISC, Rapid7, Wordfence, Unit 42, GTIG, Microsoft, Talos, ESET, StepSecurity, Socket, flux RSS OpenSourceMalware, IT-Connect, Next, NoLimitSecu, FrenchBreaches, Fuites Infos, Cyberattaque.org, ransomware.live, DataBreaches.net, HIBP, InfoStealers, SANS NewsBites, tl;dr sec, This Week in 4n6 ; Telegram : thehackernews, ctinow, cveNotify, ransomlook, vxunderground.
Sources additionnelles : Cursor, Alpine Linux, Cisco PSIRT, Ivanti, Broadcom, Cloud Security Alliance, SecurityOnline, SecureWorld, FBI, TRM Labs, Chainalysis, Northflank, WIRED, Silent Push, DoJ, Rescana, LiteLLM, SPF Finances, Synology.
Threat Brief · tlpclear.fr · TLP:CLEAR · édition produite par une chaîne automatisée, méthode sur tlpclear.fr/about