Ep.723 – RadioCSIRT Flash info cybersécurité du jeudi 20 août 2026

🧩 Make WordPress Core publie les dev notes de WordPress 7.1 : l’éditeur de contenu est désormais toujours chargé en iframe et le filtre notify_post_author évalue le statut de modération avant son application, ce qui fait remonter des notifications pour les commentaires non approuvés, spam ou corbeille. L’Abilities API reçoit un indicateur de métadonnée public qui déclare en un point unique l’exposition d’une capacité aux clients externes, API REST, adaptateurs MCP et agents d’intelligence artificielle. 

🔐 Check Point Research démonte l’opération StopAndProtect, qui combine chiffrement et vol de données et s’appuie sur des milliers de sites WordPress compromis pour héberger ses charges, piloter les machines infectées et stocker les données volées. La chaîne débute par un faux CAPTCHA ClickFix et déroule deux étages PowerShell puis des modules .NET : ransomware, worm SMB et USB, spreader VBS en WMI, lockscreen, chat opérateur et stealer avec keylogger et captures d’écran. Des défauts d’OPSEC ont exposé environ trente et un mille captures de victimes et des journaux couvrant plus de six mille adresses IP uniques.

🐧 Cisco Talos attribue à l’acteur sinophone UAT-10147 un nouvel implant multiplateforme nommé SPECTRE, doté d’anti-analyse par score, de chiffrement de chaînes xorshift32 et d’une configuration de C2 lue dans un flux de données alternatif NTFS. La variante Windows neutralise les EDR par BYOVD en chargeant RTCore64.sys ou DBUtil_2_3.sys, associés à la CVE-2019-16098 et à la CVE-2021-21551, puis en déliant les callbacks noyau de création de processus et de chargement d’image. La variante Linux embarque le rootkit Specter, déployé sous le nom acpi_pad.ko, qui détourne six gestionnaires d’appels système par ftrace et se pilote par signaux vers un PID magique valant 31337.

🤖 Elastic Security Labs documente la collecte de plus de treize millions d’appels d’outils d’agents de codage sur plus de mille cent machines, à partir des hooks de Cursor et d’un script bash sans dépendance expédié vers Elasticsearch par l’Elastic Agent. Le dispositif journalise commandes shell, lectures et écritures de fichiers et appels MCP, avec des requêtes ES|QL couvrant les lectures de .env et .pem et les schémas de téléchargement puis exécution. L’inventaire fait apparaître plus de trois cents serveurs MCP distincts et un rapport d’environ quatre lectures de fichiers pour une exécution de commande.

🎥 Malwarebytes rapporte que l’autorité néerlandaise de protection des données recommande aux utilisateurs de Twitch de désactiver le partage de leurs contenus avec les modèles génératifs d’Amazon, réglage actif par défaut. L’autorité relève que les diffusions exposent visage, voix, nom et espace privé, que les images de visage constituent des données sensibles et que ces données ne peuvent pas être retirées une fois intégrées aux systèmes d’Amazon. L’option se trouve dans le tableau de bord du diffuseur sous Settings puis Security and Privacy, et ne couvre pas les messages publiés dans le chat d’un autre diffuseur.

🪟 Securelist analyse une nouvelle variante du backdoor CoolClient du groupe HoneyMyte, déployée après un implant PlugX et accompagnée d’un driver Windows signé installé comme service. Le composant utilisateur passe par exclusions Defender via wmic, DLL sideloading d’un exécutable Sangfor renommé defender.exe, contournement du contrôle de compte utilisateur par RPC et usurpation de processus parent, puis injection dans synchost.exe. Le driver msagent.sys dissimule fichiers, clés de registre et processus, délie les entrées de PsLoadedModuleList et détourne Nsiproxy pour retirer l’adresse de C2 des informations réseau.

Sources :

• Dev Notes WordPress 7.1. Make WordPress Core :  https://make.wordpress.org/core/tag/dev-notes+7-1/
• Thousands of Hacked WordPress Sites, One Operation: Unmasking StopAndProtect. Check Point Research :  https://research.checkpoint.com/2026/thousands-of-hacked-wordpress-sites-one-operation-unmasking-stopandprotect/
• UAT-10147 deploys SPECTRE: A cross-platform implant with Linux rootkit and BYOVD capabilities. Cisco Talos :  https://blog.talosintelligence.com/uat-10147-deploys-spectre-a-cross-platform-implant-with-linux-rootkit-and-byovd-capabilities/
• 13 million tool calls: auditing every AI coding agent action with Elastic Agent. Elastic Security Labs :  https://www.elastic.co/security-labs/ai-coding-agent-audit-cursor-hooks
• Twitch wants your content for Amazon AI training. Here’s how to opt out. Malwarebytes :  https://www.malwarebytes.com/blog/ai/2026/08/twitch-wants-your-content-for-amazon-ai-training-heres-how-to-opt-out
• APT group HoneyMyte upgrades CoolClient: the backdoor gets a kernel-level Windows rootkit. Securelist : https://securelist.com/honeymyte-coolclient-driver-rootkit/121028/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09
📩 Email : contact@radiocsirt.org
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #SOC #VOC #ThreatIntelligence #WordPress #AbilitiesAPI #StopAndProtect #ClickFix #Ransomware #Stealer #UAT10147 #SPECTRE #Specter #BYOVD #Rootkit #EDR #Linux #IIS #Talos #Elastic #Cursor #MCP #ShadowAI #Twitch #Amazon #Privacy #HoneyMyte #MustangPanda #CoolClient #PlugX #DLLSideloading #Nsiproxy #CVE-2019-16098 #CVE-2021-21551 #RadioCSIRT