Nouvelle couverture de détection : CVE-2026-45659 SharePoint et attaques par contournement EDR

Renforcement de la détection : 258 nouvelles règles Sigma et vulnérabilités critiques exploitées

Cette semaine, ThreatClaw étend sa couverture de détection avec 258 nouvelles règles Sigma et une mise à jour des règles YARA pour contrer des menaces avancées ciblant les environnements SMB et d’entreprise. Voici les principales évolutions et leur impact sur la sécurité des infrastructures.

Vulnérabilités critiques ajoutées au catalogue KEV (Known Exploited Vulnerabilities)

Notre couverture inclut désormais la détection des vulnérabilités suivantes, récemment ajoutées au catalogue KEV du CISA et activement exploitées :

• CVE-2026-45659 (Microsoft SharePoint Server)

  • Pourquoi c’est critique : Une faille dans SharePoint permet à un attaquant d’exécuter du code à distance (RCE) sans authentification, facilitant l’accès initial et le mouvement latéral (technique T1190). Les serveurs SharePoint sont des cibles privilégiées pour le vol de données et le déploiement de ransomware.

• CVE-2026-48558 (SimpleHelp)

  • Pourquoi c’est critique : Cette vulnérabilité dans le logiciel de support à distance SimpleHelp permet une élévation de privilèges (EoP), exploitable pour contourner les contrôles de sécurité et persister dans l’environnement (technique T1068). Les outils de support légitimes sont souvent détournés pour des attaques par living-off-the-land (LOLBins).

• CVE-2026-12569 (PTC Windchill/FlexPLM)

  • Pourquoi c’est critique : Une faille dans les solutions PLM de PTC permet une exécution de code arbitraire, exposant les données sensibles de conception et de propriété intellectuelle. Les attaquants peuvent l’utiliser pour exfiltrer des informations ou saboter des processus industriels (technique T1059).

• CVE-2026-20230 (Cisco Unified Communications Manager)

  • Pourquoi c’est critique : Cette vulnérabilité permet une élévation de privilèges dans les systèmes de communication unifiée de Cisco, offrant un point d’entrée pour des attaques ciblant les infrastructures voix et collaboration (technique T1078).

**Nouvelles détections pour les techniques d’attaque avancées

Contournement des défenses et persistance

• DLL Sideloading via binaires signés (T1574.002)

  • Pourquoi c’est critique : Les attaquants exploitent des binaires légitimes signés par des fournisseurs pour charger des DLL malveillantes, contournant les contrôles de sécurité basés sur la signature. Cette technique est couramment utilisée par des acteurs avancés pour persister dans les environnements.

• Masquage de processus (T1036.005)

  • Exemple : Détection de Flax Typhoon et Volt Typhoon, qui utilisent des processus légitimes comme conhost.exe ou dllhost.exe pour masquer leurs activités malveillantes. Ces techniques permettent d’échapper à la détection par les solutions EDR.

• Contournement AMSI (T1562.001)

  • Pourquoi c’est critique : Les attaquants désactivent l’interface de scan anti-malware (AMSI) via des modifications en mémoire ou des détournements de DLL (amsi.dll), permettant l’exécution de scripts PowerShell malveillants sans détection.

• Modification du mode de démarrage en mode sans échec (T1562.009)

  • Pourquoi c’est critique : Les ransomwares comme LockBit configurent le système pour démarrer en mode sans échec (bcdedit /safeboot), désactivant ainsi les solutions EDR et facilitant le chiffrement des données.

Mouvement latéral et exfiltration

• Tunneling interne via netsh portproxy (T1090.001)

  • Pourquoi c’est critique : Les attaquants utilisent netsh pour rediriger le trafic réseau vers des serveurs internes ou externes, contournant les pare-feux et facilitant l’exfiltration de données. Cette technique est associée à des groupes comme Volt Typhoon.

• Exécution à distance via WMI (T1047)

  • Pourquoi c’est critique : WMI est un outil légitime souvent détourné pour exécuter des commandes à distance, permettant aux attaquants de se déplacer latéralement dans le réseau sans déclencher d’alertes.

• Énumération Active Directory (T1087.002, T1069.002, T1482)

  • Pourquoi c’est critique : Les attaquants utilisent des outils comme dsquery, nltest ou SharpHound pour cartographier les domaines, identifier les groupes privilégiés et préparer des attaques ciblées (ex : Kerberoasting, Golden Ticket).

Ransomware et attaques par chiffrement

• LockBit : Préparation pré-chiffrement (T1486, T1490)

  • Pourquoi c’est critique : Détection des activités de LockBit avant le chiffrement, notamment la suppression des sauvegardes (vssadmin, bcdedit) et la préparation des systèmes pour maximiser l’impact du ransomware. Ces étapes sont cruciales pour limiter les dégâts.

• PlugX et ShadowPad : Persistance avancée (T1547.001, T1053.005)

  • Pourquoi c’est critique : Ces familles de malware utilisent des techniques sophistiquées de persistance, comme des tâches planifiées ou des entrées de registre, pour survivre aux redémarrages et maintenir l’accès aux systèmes compromis.

Attaques par Bring Your Own Vulnerable Driver (BYOVD)

• Chargement de pilotes vulnérables (T1068, T1543.003)
  • Pourquoi c’est critique : Les attaquants exploitent des pilotes légitimes mais vulnérables pour obtenir des privilèges élevés (ex : désactiver les protections EDR). Ces attaques sont difficiles à détecter car elles utilisent des fichiers signés et des chemins non standard.

Techniques de living-off-the-land (LOLBins)

• Exécution via bitsadmin (T1197)

  • Pourquoi c’est critique : bitsadmin est un outil légitime de Windows détourné pour télécharger des charges malveillantes sans déclencher d’alertes. Les attaquants l’utilisent pour contourner les restrictions de téléchargement.

• Exécution via CMSTP (T1218.003)

  • Pourquoi c’est critique : CMSTP est un binaire légitime utilisé pour exécuter des fichiers INF malveillants, permettant l’exécution de code arbitraire avec des privilèges élevés.

• Exécution via InstallUtil (T1218.004)

  • Pourquoi c’est critique : Les attaquants utilisent cet utilitaire .NET pour exécuter des charges malveillantes depuis des chemins inscriptibles par l’utilisateur, contournant les contrôles de sécurité.

Reconnaissance cloud et exfiltration

• Reconnaissance des environnements Azure/AWS (T1526)
  • Pourquoi c’est critique : Les attaquants utilisent les CLI Azure et AWS pour énumérer les ressources cloud depuis des endpoints compromis, préparant des attaques ciblées sur les infrastructures hybrides.

**Mises à jour des règles YARA

Cette semaine, nous avons ajouté 21 nouvelles règles YARA pour détecter des familles de malware avancées, notamment :

• RedLine : Un voleur d’informations (infostealer) ciblant les identifiants et les données sensibles.
• Turla Outlook : Un malware associé à des attaques ciblées utilisant des backdoors dans Microsoft Outlook.
• SparklingGoblin : Un groupe connu pour ses attaques contre les secteurs de l’éducation et de la technologie.
• Gazer : Un malware utilisé pour l’espionnage et l’exfiltration de données.

**Protégez votre entreprise avec ThreatClaw Premium

Les cybermenaces évoluent rapidement, et les attaquants exploitent des techniques de plus en plus sophistiquées pour contourner les défenses traditionnelles. Avec ThreatClaw Premium, bénéficiez de :

• Mises à jour en temps réel des règles de détection pour contrer les dernières menaces.
• Couverture étendue des techniques MITRE ATT&CK, des vulnérabilités critiques et des familles de malware émergentes.
• Intégration transparente avec vos solutions SIEM et EDR pour une détection et une réponse optimisées.

Ne laissez pas votre entreprise exposée aux cyberattaques. Contactez-nous dès aujourd’hui pour découvrir comment ThreatClaw Premium peut renforcer votre posture de sécurité.