Medusa frappe 500 victimes 🐍, web shell Clop sur Windchill ⚠️, exfiltration massive sur Salesforce et ServiceNow 🔓

Veille

19 août 2026 • 4 minutes de lecture

Bonjour, voici ta veille Cybere du 19 août 2026 !

Un gang de rançongiciel qui achète des accès pour frapper en moins de 24 heures, un web shell sur mesure conçu spécifiquement pour les entrailles d'une solution PLM, et un serveur unique exfiltrant en silence les données de portails SaaS depuis plus d'un an : l'actualité du jour met en lumière l'exploitation méthodique de nos canaux de confiance et de nos défauts de configuration.

Retrouve les trois articles à la une du jour :

Alerte sur Medusa : le groupe de ransomware a ciblé plus de 500 organisations critiques en un an
Clop déploie un web shell Java sur mesure pour voler les données et secrets des serveurs PTC Windchill
Un unique serveur pille en masse des portails Salesforce et ServiceNow via des droits invités mal configurés

Medusa a ciblé plus de 500 victimes en un an, alerte la CISA

La CISA et le FBI ont mis à jour en avril 2026 leur alerte de mars 2025 sur le groupe Medusa. Selon les agences, le gang de rançongiciel a frappé plus de 500 victimes en avril 2026, dont beaucoup opèrent dans les secteurs critiques. Le groupe a attiré l'attention mondiale en avril en immobilisant l'University of Mississippi Medical Center, le seul hôpital pédiatrique de l'État du Mississippi aux États-Unis.

Medusa excelle à exploiter des vulnérabilités nouvellement annoncées dans les 24 heures et a même utilisé des exploits jusqu'à une semaine avant leur divulgation publique. Le groupe achète ou obtient des accès avancés à des exploits auprès de sources inconnues plutôt que de développer ses propres failles zero-days. Passé à un modèle d'affiliés en 2023, Medusa verse jusqu'à un million de dollars aux courtiers d'accès initial exclusifs.

Points d'attention

Medusa a observé une pause complète de victimes affichées depuis avril 2026, événement que plusieurs experts attribuent à l'attention accrue des forces de l'ordre suite à l'attaque du centre médical du Mississippi.
Le groupe utilise des outils de vol d'identifiants suivi d'AnyDesk, Atera, ConnectWise, eHorus, N-able, BeyondTrust, SimpleHelp et Splashtop pour déployer des accès légitimes et contourner la détection.
Un incident constaté par les enquêteurs du FBI documente un cas où un acteur distinct au sein de Medusa a prétendument volé une rançon déjà payée, révélant une possible triple-extorsion ou un manque de cohésion opérationnelle entre affiliés.

→ Lire la source

Clop déploie un web shell sur mesure pour Windchill

ReliaQuest a découvert un web shell Java conçu spécifiquement pour les serveurs PTC Windchill et FlexPLM, déployé lors de campagnes de vol de données exploitant la CVE-2026-12569. L'implant, probablement lié au gang Clop, intègre des fonctionnalités dédiées au déchiffrement de credentials et à l'énumération des fichiers stockés.

L'outil importe directement les classes Windchill MethodContext et WTConnection, permettant au web shell d'accéder à la base de données et de déchiffrer les identifiants stockés via les propres fonctions de l'application. Le web shell est contrôlé par un protocole personnalisé via l'en-tête HTTP X-windchill-req et supporte huit commandes distinctes, dont le vol de secrets, l'énumération du coffre-fort de fichiers et l'exécution de bytecode Java arbitraire.

Points d'attention

L'outil n'est pas un web shell générique adapté, mais résulte d'une connaissance détaillée des APIs internes, du schéma de base de données et de la structure du coffre-fort Windchill, marquant une évolution applicative du playbook de Clop.
L'activité exploite les fonctions d'authentification existantes de Windchill, faisant passer les requêtes de base de données pour des appels légitimes du service applicatif et brouillant la détection par télémétrie de base de données.
Clop possède un historique d'exploitation de masse contre Accellion FTA, GoAnywhere MFT, SolarWinds Serv-U et MOVEit Transfer, confirmant un modus operandi itératif contre les serveurs d'accès aux données critiques d'entreprise.

→ Lire la source

Un seul serveur pille Salesforce et ServiceNow depuis mars 2025

Une infrastructure unique, basée en Allemagne sur le serveur 158.220.87.79, extrait des données de portails Salesforce et ServiceNow depuis plus d'un an, selon Reco. La campagne City Forum touche des secteurs variés : télécoms, banques, éditeurs de logiciels et administrations. Chaque requête porte la signature du client Go net/http, révélant un outil compilé spécialisé.

L'attaquant exploite un problème courant : les identités invité persistent avec des droits d'accès excessifs. Il abuse du framework Aura et, innovation remarquée, accède à la couche UI-API de Salesforce Lightning (versions v56.0 à v66.0) et au point de terminaison ServiceNow POST /api/now/sp/search, tous deux peu documentés publiquement. Les enregistrements lisibles par un invité deviennent de facto publics, même sans authentification navigateur.

Points d'attention

L'attaquant s'identifie via le user agent Go-http-client par défaut, laissant une trace numérique unique. Le Passive DNS montre le domaine pointant vers le serveur 158.220.87.79 depuis mars 2025, sans changement d'adresse IP ni modification de signature.
L'exploitation cible un défaut structural : le profil invité de Salesforce ne peut être supprimé, seulement restreint, créant une surface d'attaque permanente si ses droits ne sont pas explicitement réduits.
ServiceNow et Salesforce permettent tous deux à leurs portails publics de servir des données via des API conçues pour fonctionner correctement, plaçant la responsabilité de sécurité entièrement sur la configuration du profil invité.

→ Lire la source

Autres actus importantes

Merci d'avoir pris le temps de me lire. Si tu as trouvé cette newsletter utile, n'hésite pas à la partager autour de toi ✉️

À demain pour la prochaine veille 🔐 – Kilian de Cybere