Trois familles de vulnérabilités exploitées touchent des périmètres très répandus : la chaîne Ivanti Connect Secure (nouvel avis CERT-FR du 2 novembre, acteur qui ne laisse pas de webshell), le décodeur Brotli (Node.js, .NET, Python, proxys) et GitLab CE/EE en CVSS 10. Pas de déclencheur « Critique » nouveau dans la fenêtre, mais plusieurs due dates KEV sont déjà échues et la supply chain des postes développeurs reste sous pression.
Appréciation éditoriale à partir de sources ouvertes.L'essentiel en 60 secondes
CRITIQUE Ivanti Connect Secure : trois CVE chaînées et exploitées. CVE-2026-104935 (auth bypass et RCE), CVE-2026-118527 et CVE-2026-111357 (root). Le CERT-FR publie l'avis CERTFR-2026-AVI-1442 ; Volexity suit UTA0576, qui opère en mémoire et échappe à l'ICT.
CRITIQUE Brotli « Node2Shell » (CVE-2026-111497) exploité, due date KEV le 10/11. Un flux compressé piégé suffit pour une RCE ; Check Point observe des scans automatisés. Le sujet dépasse Node.js : .NET, Python, proxys.
ÉLEVÉ Node-RED sur Siemens SIMATIC IoT2050 (CVE-2026-58115, CVSS 10) exploité. VulnCheck décrit des déploiements de bots et de backdoors HTTP-in vers exec ; IOC exploitables immédiatement.
ÉLEVÉ GTIG démantèle le botnet XCPE. Backdoor firmware dans 1,3 million de boîtiers Android TV, attribuée à l'ODM Videostrong ; C2 MQTT et monétisation par proxys résidentiels.
ÉLEVÉ Supply chain dev : extension Claude Code piégée sur le marketplace Cursor (29 oct.) et PolinRider (DPRK) sur npm. Backdoor SSH par tunnel inverse, paquets itsa-*encore en ligne. Talos documente aussi VOLTA, un infostealer qui fait évaluer ses victimes par un LLM.
Radar SecOps : actions du jour
Vulnérabilités et exploitation active
CRITIQUE
Ivanti Connect Secure : chaîne de trois zero-days, UTA0576 sans webshell
CVE-2026-104935 (CVSS 8.6) donne un contournement d'authentification et une RCE sans login ; CVE-2026-118527 (4.3) dépose des fichiers à des emplacements prévisibles ; CVE-2026-111357 (7.0 ou 8.8 selon les sources) mène à root via la confiance du broker dsinvoked dans DSCache. Versions touchées : 22.8Rx avant 22.8R2.6, 25.1.1.x avant 25.1.1.3, 25.1.2.x avant 25.1.3.1. Selon Volexity, l'acteur suivi comme UTA0576 depuis le 3 octobre vole les identifiants LDAP stockés, cherche des mots de passe dans l'AD puis fait du password spraying, avec des modifications en mémoire que l'Integrity Checker Tool ne voit pas. SecurityWeek et BleepingComputer titrent sur « deux zero-days de plus » dans la chaîne. Confirmé par plusieurs sources (CERT-FR, Ivanti, Volexity).
SOCPatcher ne suffit pas : conserver les journaux, chercher les accès LDAP et le spraying depuis l'appliance, faire tourner les comptes de service LDAP, IP 108.165.147[.]64 et répertoire /data/.icscap/ à vérifier.
Lire : CERT-FR AVI-1442 · Ivanti · The Hacker News · SecurityWeek · SANS Stormcast
CRITIQUE
Brotli CVE-2026-111497 « Node2Shell / Brotli2Shell » : RCE par flux compressé
Écriture hors limites dans le décodeur Brotli de Google, déclenchable par un corps HTTP en Content-Encoding: br ou tout flux compressé non fiable. Ajoutée au KEV le 27 octobre (due date 10 novembre) ; Sophos et Check Point rapportent une exploitation active et des scans automatisés. Node.js, Microsoft (correctifs .NET d'urgence), Python et Palo Alto Networks ont publié des correctifs ; OpenSourceMalware note que les paquets PyPI Brotli et brotlicffi sont concernés sans CVE propre. CVSS non consolidé à ce stade. Confirmé par plusieurs sources.
SOCInventaire SBOM de Brotli toutes piles confondues ; chasser les processus enfants de node ou dotnet et les crashs répétés de services web exposés.
Lire : Sophos · Tenable FAQ · Cyber Centre Canada · OpenSourceMalware
ÉLEVÉ
Node-RED sur SIMATIC IoT2050 (CVE-2026-58115, CVSS 10) : exploitation de masse
L'API d'administration Node-RED sans adminAuth permet de créer des flows inject vers exec, donc d'exécuter du code en root sur les IoT2050 Advanced (correctif Node-RED ≥ 4.3.4.1, avis Siemens SSA-834709 d'août). VulnCheck observe l'exploitation du 30 octobre au 1er novembre : dropper encodé trois fois en base64, bot AMD64 tiré de 85.215.73[.]250:8080 vers /dev/shm/.b, autre charge depuis 45.194.90[.]57:38472 vers /tmp/.kworker. Certaines requêtes posent une backdoor persistante (nœud HTTP-in /cmd relié à exec). Absente du KEV CISA, présente dans celui de VulnCheck.
SOCInventorier les Node-RED exposés (OT et IT), auditer les flows contenant http in vers exec, rechercher POST /flows en User-Agent curl/8.5.0.
Lire : VulnCheck · The Hacker News · CIRCL
CRITIQUE
GitLab CE/EE CVE-2026-97229 (CVSS 10) : exploitation confirmée par le KEV
Dépassement d'entier dans le compilateur regex de GitLab CI/CD, exploitable à distance sans privilège « sous conditions » non détaillées. Versions 19.2 avant 19.2.8, 19.3 avant 19.3.5, 19.4 avant 19.4.2 ; GitLab.com et Dedicated déjà corrigés. Ajout au KEV le 29 octobre avec une due date au 1er novembre, déjà échue ; aucun PoC public repéré.
SOCInstances self-managed en priorité ; chasser les enfants anormaux de puma, sidekiq ou gitlab-workhorse et les .gitlab-ci.yml aux regex atypiques ; une forge compromise expose tous les secrets CI.
Lire : IT-Connect · BleepingComputer
ÉLEVÉ
Cisco ASA/FTD CVE-2026-76418 (CVSS 8.6) : reload du VPN SSL exploité
Erreur logique quand une authentification secondaire est configurée sur un tunnel group : une requête forgée sur la page de login provoque un redémarrage. Exploitation active sans détail publié, deuxième zero-day VPN Cisco depuis août. Versions corrigées notamment ASA 9.20.4.50, 9.22.3.200, 9.24.1.27 et FTD 7.2.13, 7.4.9, 7.6.7, 10.0.3 ; contournement : désactiver l'authentification secondaire (vérifier DefaultWEBVPNGroup).
SOCSurveiller les reloads et fichiers crashinfo inattendus, et les pics de requêtes sur /+CSCOE+/ ; un DoS sur le VPN peut masquer une autre phase d'attaque.
Lire : The Hacker News · BleepingComputer
CISA KEV : ajouts des 7 derniers jours
| CVE | PRODUIT | CVSS | AJOUT | DUE | NOTE |
|---|---|---|---|---|---|
| CVE-2026-48356 | Adobe Commerce / Magento (upload, RCE) | 9.3 | 27/10 | 10/11 | |
| CVE-2026-111497 | Google Brotli (décodeur) | n.c. | 27/10 | 10/11 | Exploitée, multi-runtimes |
| CVE-2026-41709 | VMware ESX (journalisation) | 2.7 | 28/10 | 11/11 | Post-compromission |
| CVE-2026-46300 | Noyau Linux (skb_try_coalesce) | n.c. | 28/10 | 31/10 | Échue |
| CVE-2026-97229 | GitLab CE/EE (regex CI/CD) | 10.0 | 29/10 | 01/11 | Échue |
| CVE-2026-76418 | Cisco ASA / FTD (VPN SSL DoS) | 8.6 | 29/10 | 01/11 | Échue |
| CVE-2026-111357 | Ivanti Connect Secure (root) | 7.0 / 8.8 | 30/10 | 02/11 | Échue |
| CVE-2026-118527 | Ivanti Connect Secure (upload) | 4.3 | 30/10 | 13/11 |
Catalogue lu en JSON (version 2026.10.30) : aucun ajout entre le 31/10 et ce matin. Usage ransomware « inconnu » pour toutes les entrées. Rappel : PHP CVE-2026-109618 et 109619 ajoutées le 26/10, tentatives d'exploitation observées par le CERT-FR. Source KEV
AUSSIAvis CERT-FR du 2/11 : AVI-1441 Visual Studio, AVI-1440 Edge, AVI-1439 Traefik, AVI-1438 macmon/NRSW, AVI-1437 QNAP QNE, AVI-1436 Tenable Identity Exposure, AVI-1435 Synology (CERT-FR, bulletin ACT-046). Sans exploitation connue : Langflow ≤ 1.12.8 (CVE-2026-93680 et CVE-2026-110186, CVSS 9.8, module Metasploit, AUTO_LOGIN actif par défaut, THN) ; LXD/MicroCloud usurpation de client de confiance CVSS 10 (source unique, THN) ; Linux MPTCP CVE-2026-98432 (9.8) et Drupal Commerce CVE-2026-118539 exploitée selon Check Point ; IBM DataPower, lot de 10 CVE dont CVE-2026-14999 (JWS forgé), correctifs 11.0.0.3, 10.6.0.11, 10.5.0.23, à confirmer côté IBM ; Juniper SSR, Veeam B&R, Chrome selon ACT-046. Infocon SANS : vert.
Campagnes et threat actors
ÉLEVÉ
GTIG : démantèlement du botnet XCPE, backdoor firmware dans 1,3 million d'Android TV
Google attribue avec une confiance élevée la backdoor à l'ODM chinois Videostrong (Shenzhen), banni de l'écosystème Android certifié. Architecture en trois étages : x.cpe / com.oemservice préinstallé dans /oem en android.uid.system, loader com.abc.nexus, puis modules de monétisation (proxys résidentiels type Linkfog, NetNut, Traffmonetizer, fraude publicitaire, backdoors secondaires). C2 : configuration par HTTP POST puis MQTT sur ports non standard ; la saisie de l'infrastructure des affiliés couperait au moins 10 millions d'appareils supplémentaires. Cibles au-delà de la TV : signalétique, télésanté. Source primaire éditeur.
SOCRepérer les boîtiers TV ou signalétique sur des segments corporate, le MQTT sortant vers 219.134.163[.]210-211 ports 3885 à 3887 et les domaines *.anyevonline[.]com, *.szbboys[.]com ; environ 90 hashes dans l'article.
Lire : Google Cloud / GTIG
ÉLEVÉ
Faux support IT sur Teams, Quick Assist puis abus d'AD CS (ESC1 à ESC8)
Microsoft Threat Intelligence décrit deux intrusions (blog du 30 octobre, repris par The Hacker News en novembre) : usurpation du helpdesk via chat Teams externe, accès par Quick Assist, dépôt de runtimes Python, Bun ou Java dans le profil utilisateur, évaluation des chemins ESC1 à ESC8 d'AD CS puis exfiltration. Confirmé par plusieurs sources.
SOCCorréler chat Teams externe puis lancement de Quick Assist, runtimes dans %LOCALAPPDATA%, et demandes de certificats anormales (4886/4887) ; bon cas d'usage ITDR dans XSIAM.
Lire : Microsoft · The Hacker News
ÉLEVÉ
Unit 42 : SysGoRAT (CL-UNK-1211) contre des serveurs Linux gouvernementaux
Unit 42 documente une campagne d'espionnage longue (2025 à 2026) visant des serveurs Linux gouvernementaux : RAT SysGoRAT, web shells interactifs, scripts vraisemblablement générés par IA, capture des mots de passe sudo avant exécution de la vraie commande et effacement des traces. The Hacker News la reprend début novembre ; l'article Unit 42 serait daté du 15 octobre (date à confirmer). Côté Unit 42, seule publication dans la fenêtre : des « Threat Intelligence Highlights » génériques, et le Threat Brief PHP CVE-2026-109618/109619 mis à jour le 29 octobre.
SOCChasser les wrappers sudo (alias, fonctions shell, binaires dans le PATH utilisateur) et les suppressions d'historique sur les serveurs Linux exposés ; s'appuyer sur la télémétrie Cortex XDR Linux.
Lire : Unit 42 · The Hacker News · Unit 42 PHP
MOYEN
FBI : le vol Binance (6,3 Md$) attribué à TraderTraitor
FBI, Secret Service et IRS-CI attribuent le vol à TraderTraitor (UNC4899, Jade Sleet) : 11 blockchains, 82 % en ETH et BTC, 2,85 Md$ gelés, plus de 600 adresses de blanchiment publiées. Check Point et StepSecurity décrivent un point d'entrée sur le laptop d'un ingénieur DevOps puis l'abus de l'infrastructure interne de wallets. TTP connus de l'acteur : providers Terraform trojanisés, implant FLATROOF, backdoor ROOFDECK, faux recruteurs. Publication du 1er novembre, juste avant la fenêtre.
SOCSurveiller les providers Terraform non officiels et les leurres de recrutement visant les profils DevOps ; durcir les postes qui touchent aux systèmes de signature.
Lire : The Record · The Hacker News · SecurityWeek
EN BREFTalos UAT-11473 et le framework KeyDrift sur Cisco Catalyst SD-WAN (vol de matériel cryptographique, défense et aérospatial, 29/10, THN) ; CrowdStrike VAPOR PANDA et le framework IA ARTEX, plus de 200 organisations dans 14 pays (BleepingComputer) ; Mercado Bitcoin, environ 46 M$ sortis, chiffre non confirmé par la plateforme (The Record) ; fausses alertes sur des applications d'alerte d'urgence russe et ukrainienne (The Record).
Supply chain, développeurs et IA
CRITIQUE
Extension « Claude Code » trojanisée sur le marketplace Cursor : backdoor SSH
Les versions 2.1.312 et 2.1.313 de anthropic.claude-code, publiées uniquement sur le marketplace de Cursor (macOS et Windows), ont été exposées le 29 octobre d'environ 09h27 à 20h35 UTC ; Cursor évoque jusqu'à 5 000 utilisateurs et a mis son marketplace hors ligne. Un loader d'environ 66 lignes en tête de extension.js ajoute une clé Ed25519 « svc-telemetry » à authorized_keys, tente d'activer sshd ou Remote Login et ouvre un tunnel inverse vers tunnel@134.209.82[.]225, avec une reconnaissance des noms de variables contenant KEY, TOKEN, SECRET, AWS ou GCP. Les canaux npm, Open VSX et VS Code Marketplace ne sont pas touchés ; Sophos note que des bugs font échouer l'activation SSH sur la plupart des hôtes. Aucune attribution. Hors fenêtre (29 et 30 oct.), confirmé par OpenSourceMalware, StepSecurity et Sophos.
SOCSHA-256 extension.js ecb58cb2...6bf15, LaunchAgent com.apple.sysmond.plist, tâche planifiée SysMon, crontab @reboot ; désinstaller ne suffit pas, rotation des secrets et reconstruction de l'hôte.
Lire : OpenSourceMalware · Sophos · StepSecurity
ÉLEVÉ
PolinRider (DPRK) : paquets npm itsa-* piégés depuis mai 2025, certains encore en ligne
Un compte mainteneur npm détourné (59 paquets) a publié neuf versions piégées le 4 mai 2025 ; la charge s'exécute à l'import, sans hook d'installation. Chaîne EtherHiding (charge stockée dans des transactions BNB et Ethereum) : JADESNOW, bootstrapper, puis RAT Node Socket.IO et stealer Python (navigateurs, plus de 80 wallets, identifiants git et gh, 1Password, Dashlane), exfiltration de secours par Telegram, exclusion des IP russes. OpenSourceMalware relie l'infrastructure à UNC5342 documenté par GTIG. Toujours en ligne selon OSM : itsa-jsext@2.0.3, itsa-react-docviewer@16.1.2, itsa-react-button@16.0.11. Source unique (30 oct.).
SOCGrep des lockfiles sur ces versions ; node -e contenant global['_V'] ; Node qui interroge Ethplorer, BlockCypher ou Blockchair avant de lancer un processus ; trafic Socket.IO vers 85.239.62.36:3306 et 154.91.0.103:27017.
Lire : OpenSourceMalware
ÉLEVÉ
Talos : VOLTA, l'infostealer qui fait évaluer ses victimes par un LLM
Stealer classique (Chromium, Outlook, Slack, seeds de wallets, tokens OAuth Microsoft, clés SSH et cloud, sessions Discord, Telegram, Steam) qui fouille Gmail via les sessions volées pour confirmer l'adresse de la victime. Il envoie un dossier de preuves à un LLM via OpenRouter (Claude Opus 4.6 par défaut, puis Kimi K2 et Gemini 2.5 Flash si le modèle refuse, avec détection des phrases de refus) pour produire une fiche de valeur et d'OPSEC de la victime. Exfiltration par Telegram en trois temps, builder à six champs suggérant une vente en kit. Publication du 2 novembre.
SOCAlerter sur les appels vers openrouter.ai ou d'autres API LLM depuis des processus non autorisés, et sur api.telegram.org sendDocument depuis les postes ; IOC à récupérer sur le blog Talos.
Lire : Cisco Talos · The Hacker News
EN BREFPolymarket : JavaScript drainer servi via le tiers DebugBear (détournement DNS), environ 2,7 M$ volés et 3,9 M$ remboursés (SecurityWeek) ; Check Point « Yoba » : faux installeurs ChatGPT et Claude Desktop sur GitHub en DLL sideloading (THN) ; Langflow, voir la rubrique vulnérabilités. Flux RSS OpenSourceMalware : rien de daté dans la fenêtre, derniers éléments au 30 octobre.
Ransomware et extorsion
Groupes les plus actifs sur 48 h (1er et 2 nov., 39 victimes) : Qilin 12, N0n 5, Settra 3, Akira 3, Everstake 2, Hyflock 2 ; vagues de publication par lots horaires chez krybit et N0n (Ransomlook). Aucune victime française, belge, suisse ou luxembourgeoise publiée depuis lundi.
ÉLEVÉNON CONFIRMÉ
Emperador vise de grands comptes européens
En une semaine (25 au 31 octobre), Emperador a publié AB InBev (Belgique), Afflelou (France), Holcim (Suisse) et deux GmbH allemandes. Pour AB InBev, le groupe revendique 3,9 Go et une demande de 10 M$ en BTC ; l'entreprise dit enquêter sur une possible cyberattaque. Rescana évoque une exposition Azure et de certificats PKI. Aucune victime n'a confirmé.
SOCSignal de ciblage de multinationales européennes : vérifier l'hygiène des tenants Azure (service principals, certificats exportables) et la surveillance des exfiltrations volumineuses.
Lire : RetailDetail · ransomware.live CHE · ransomware.live FRA
MOYENCONFIRMÉ
Michigan State University : incident confirmé, revendication BYOD
MSU a détecté début octobre une compromission d'identifiants, imposé la réinitialisation de tous les mots de passe NetID (15 caractères minimum) et affirme que l'Active Directory central n'est pas compromis. BYOD, groupe apparu en septembre et déjà auteur de l'attaque contre l'hôpital de l'Université du Nouveau-Mexique, revendique les données de 1,3 million d'étudiants (revendiqué, non confirmé).
SOCNouveau groupe actif en éducation et santé avec initial access par identifiants : vérifier MFA et détection de connexions à partir d'identifiants valides.
Lire : The Record
EN BREFThe Gentlemen revendique l'Ined et le Groupe AC Environnement (31/10, non confirmé ; outillage anti-EDR documenté par ESET) ; autres revendications récentes en Belgique : commune de Machelen (Rhysida, 27/10) ; Suisse : ECOM (Qilin), ARX Group (Aurora). Qilin publie aussi Isapre Consalud (Chili) et Heber City (Utah).
France et Europe : fuites et incidents
MOYENCONFIRMÉ
D-EDGE (réservation hôtelière) : données de séjour exposées, arnaques en cours
L'éditeur français D-EDGE (environ 17 000 hôtels) a subi un accès les 20 et 21 octobre attribué à une erreur de configuration du moteur de réservation ; les hôtels ont été notifiés le 23 octobre et l'affaire est publiée le 2 novembre. Données : nom, hôtel, dates, référence et montant de réservation, parfois e-mail et téléphone, sans données bancaires. Volume non communiqué, acteur inconnu ; de faux messages WhatsApp circulent déjà. Confirmé par les notifications aux hôtels, source presse unique.
SOCPhishing très crédible ciblant aussi les voyageurs d'affaires : prévenir les équipes déplacements et surveiller les faux services de réservation.
Lire : Cyberattaque.org
ÉLEVÉNON CONFIRMÉ
Pharmacies : Grande Pharmacie Bailly (303 000 personnes revendiquées) et deux autres officines
Le 1er novembre, l'acteur « necrozma » revendique sur un forum les données de plus de 303 000 personnes de la Grande Pharmacie Bailly (Paris) : identité, NIR, date de naissance, caisse et mutuelle, ordonnances ; un échantillon est publié, provenance non prouvée. Le 31 octobre, la Pharmacie de la Cigogne (Strasbourg, 110 000 personnes) et la Pharmacie des Congrès (Dijon, 23 000) ont aussi été revendiquées. Une solution logicielle commune est possible mais non établie. Aucune communication des victimes.
SOCDonnées de santé et NIR : risque de fraude assurance maladie et de phishing ciblé ; pour les clients santé, vérifier l'exposition des logiciels d'officine.
Lire : FrenchBreaches · Cyberattaque.org · FrenchBreaches Cigogne
MOYENNON CONFIRMÉ
Contrôle technique et ChimeraZ : AUTOSUR, MPA Group
AUTOSUR (SECTA) : environ 615 000 personnes et 800 000 fiches mises en vente le 31 octobre, statut ambigu chez FrenchBreaches ; Dekra Norisko a confirmé le 1er novembre un incident chez un sous-traitant. ChimeraZ revendique MPA Group (plaques et adresses, de 1,1 à 3,8 millions selon les sources), Terre de Son (95 000 clients) et Ma Déco de Fête (45 000 fiches). Chiffres revendiqués.
SOCPlaques et adresses alimentent les faux SMS d'amende ; à intégrer aux campagnes de sensibilisation.
Lire : FrenchBreaches AUTOSUR · Cyberattaque.org MPA · ZATAZ
AILLEURSAMSAM (Soissons) prévient patients et salariés d'une fuite (Cyberattaque.org) ; Office de tourisme de Strasbourg ; messagerie de la mairie de Guécélard détournée ; Cholet en mode dégradé depuis le 30/10, cyberattaque non confirmée (FrenchBreaches) ; Engie, outil partenaires compromis, confirmé le 30/10 (Journal du Geek) ; Synology ciblé par le ransomware C3RB3R (Cyberattaque.org).
Underground et signaux faibles
• vx-underground, LegionLoader (nuit du 2 au 3 nov.) : loader modulaire résidant en mémoire, possiblement suivi sous UNC6910, CURLGATE ou CURLYSPIDER ; module réflexif SHA-256 fe4a5658...06acd1, C2 dispatcher herlittlebit[.]com. Source unique (post 9558, post 9555) ; contexte faux CAPTCHA chez Netskope.
• vx-underground, EasyAgent (Go) (vers le 27 au 29 oct., hors fenêtre) : faux installeur Fortinet en Corée du Sud, C2 wss://52.74.54.75, service « EasyAgent » ; VBS nouveau_cv_pdf.vbs vu au Maroc (post 9544).
• Revendications françaises en série sur les forums (pharmacies, contrôle technique, e-commerce), relayées par FrenchBreaches et Cyberattaque.org : acteurs « necrozma » et ChimeraZ ; volumes revendiqués.
• Have I Been Pwned : aucun ajout depuis le 27/10 (derniers à intérêt France : Assurance Retraite 70 000, Gîtes de France 118 000).
• Groupes émergents 2026 : N0n (177 victimes cette année) et krybit (169) parmi les plus prolifiques, publication par lots.
Observé via trackers et éditeurs, jamais en accès direct, à traiter comme non confirmé.
Institutionnel, régulation, forces de l'ordre
EN BREFCERT-FR : l'ancien domaine cert.ssi.gouv.fr redirige vers cert.cyber.gouv.fr ; alertes ouvertes ALE-014 (PHP), ALE-013 (Ivanti), ALE-012, ALE-011 (NetScaler) (ALE-013). Loi résilience (transposition NIS2) toujours sans date de séance publique après son retrait des séances d'octobre, source non officielle (nis2-expertise.fr). Rien de neuf repéré chez Europol ni à la CNIL dans la fenêtre. European Cyber Week à Rennes du 16 au 19/11 (ECCC).
Détection, recherche et veille
• IOC éditeurs : GTIG XCPE (environ 90 hashes et 300 indicateurs réseau, x.cpe 3768f470...ee1e18) ; VulnCheck Node-RED (IP 4.201.105.116, 85.215.73.250, 45.194.90.57, chemins /dev/shm/.b, /tmp/.kworker, /tmp/.s) ; Volexity Ivanti (108.165.147[.]64, /data/.icscap/).
• OpenSourceMalware : extension Cursor (IP 134.209.82[.]225 ports 22 et 8099, URL /beacon, empreinte de clé SHA256:0Z6R+DF64Do2nwQic8a7kkfDLNNk4IiK+2U2Rci4htk, fichiers ~/.config/.smt et .smtk) ; PolinRider (wallet BSC 0x9bc1355344b54dedf3e44296916ed15653844509, RAT 4d28e46a...7993aa8, bot Telegram 7870147428).
• vx-underground : LegionLoader (fe4a5658080a612fde27044a68957d68c59fae3ca1bff42037da20c6d906acd1, df732c31d1dbe5908b1085f4d7bc610646c70946144ec946cb54821975fe31c7, herlittlebit[.]com) ; kit iOS Coruna attribué à UNC6353 (archive 33d60d42...a558a34b), hors fenêtre.
• Règles : aucune règle YARA ou Sigma publique repérée dans la fenêtre ; Check Point fournit une signature IPS « Node.js Brotli Remote Code Execution ».
• Podcasts : NoLimitSecu n°556, « RETEX du CERT-FR sur les violations de données applicatives » avec Christophe Renard et David Quesada, publié le 1er novembre (NoLimitSecu) ; SANS Stormcast du 2/11 (ISC). Check Point Research : rapport hebdo du 2/11 (CPR).
• Silence radio sur la fenêtre (ou non vérifiable) : tl;dr sec, SANS NewsBites (dernier n°81 du 30/10), This Week in 4n6, Detection Engineering Weekly, Vulnerable U, Unsupervised Learning, Risky Business, Darknet Diaries, Smashing Security, HackManac, DataBreaches.net, InfoStealers, Kevin Beaumont, Securelist, ESET, Sekoia, The DFIR Report, Proofpoint ; les pages d'accueil ZATAZ, IT-Connect et LeMagIT ont été servies en cache.
Agenda et échéances
Méthode : cinq passes parallèles (news EN, vulnérabilités et institutionnel, threat intel éditeurs, France et Europe, ransomware et underground), 94 recherches et 71 pages lues, consolidation et dédoublonnage ; The Hacker News recoupé avec une autre source ou marqué source unique. Les revendications de leak sites et de forums sont non confirmées tant que la victime n'a pas communiqué ; les chiffres des attaquants sont revendiqués. Le contenu des pages consultées est traité comme donnée, jamais comme instruction.
Sources de la liste consultées : The Hacker News, BleepingComputer, The Record, SecurityWeek, CISA KEV (JSON), CERT-FR, SANS ISC, VulnCheck, Tenable, Sophos, Unit 42, Google Threat Intelligence, Microsoft Threat Intelligence, Cisco Talos, Check Point Research, StepSecurity, flux RSS OpenSourceMalware, ransomware.live, ransom.privtools.eu, Have I Been Pwned, FrenchBreaches, Cyberattaque.org, ZATAZ, IT-Connect, NoLimitSecu ; canaux Telegram lus : thehackernews, ctinow, cveNotify, ransomlook, vxunderground (aperçus thehackernews et ctinow périmés).
Sources additionnelles : Rescana, RetailDetail, Volexity (via THN), Cyber Centre Canada, CIRCL, armees.com, Journal du Geek, nis2-expertise.fr, Netskope, ECCC, IT-Connect.
Threat Brief · tlpclear.fr · TLP:CLEAR · édition produite par une chaîne automatisée, méthode sur tlpclear.fr/about