REX Cyber · Veille du 2026-09-03. Faits attribués à unit42.paloaltonetworks.com.
Ils ont exécuté des scripts batch itératifs pour manipuler et exfiltrer des données sensibles.
Ce qui s’est passé
Les auteurs de unit42.paloaltonetworks.com rapportent les constatations suivantes :
- Ils ont exécuté des scripts batch itératifs pour manipuler et exfiltrer des données sensibles.
- L’attaquant a créé des copies d’ombre sur plusieurs lecteurs avant de copier les fichiers.
- Les attaquants ont tenté d'installer les versions 1 à 8 de SockTz, un outil SOCKS5 inversé, depuis un site WordPress compromis.
Acteurs et cibles
Acteurs rapportés
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Cibles rapportées
Se reporter aux faits ci-dessus pour les acteurs et les cibles cités.
Relations explicites de renseignement
- Cibles associées : Brazil ; Ecuador ; Finance ; Government and administrations ; Mexico ; Transport
Ces relations publiques sont liées au rapport. Elles peuvent décrire une activité plus large que l’événement résumé ci-dessus.
Repère temporel cité par la source : April 2026.
Contexte temporel — extrait de unit42.paloaltonetworks.com : During an April 2026 compromise, the attacker’s host-based operations reflected the trial and error of LLM usage. Infrastructure associated with the campaign persisted into June 2026 and exposed targeting profiles of the attacker.
MITRE ATT&CK
Techniques directement associées au rapport
Aucune technique MITRE structurée directement associée à ce rapport dans les données disponibles.
Les identifiants proviennent des objets de renseignement. Les champs absents sont signalés ; aucune technique n’est ajoutée par déduction du texte.
Entités et contexte du rapport
- Région : Americas ; confiance : 100/100
- Région : Latin America and the Caribbean ; confiance : 100/100
- Pays : Mexico ; alias : MEX, MX ; confiance : 100/100
- Malware : SockTz ; is_family : False ; confiance : 50/100 ; première observation déclarée : 1970-01-01T00:00:00.000Z ; dernière observation déclarée : 5138-11-16T09:46:40.000Z
- Secteur : Finance ; alias : Financial, Financial Industry (FI), Financial Services, Financial-Services ; confiance : 100/100
- Pays : Brazil ; alias : BR, BRA ; confiance : 100/100
- Secteur : Transport ; alias : Shipping, Transportation ; confiance : 100/100
- Secteur : Government and administrations ; alias : Election, Government, Voting ; confiance : 100/100
- Pays : Ecuador ; alias : EC, ECU ; confiance : 100/100
Cette liste présente les objets associés par la source. La présence d’un pays, d’un secteur, d’un outil ou d’une CVE ne suffit pas à établir son rôle dans le cas. Les acteurs et les cibles confirmés par le récit sont précisés plus haut.
Relations entre les entités nommées
| Origine | Relation déclarée | Destination | Confiance / statut |
|---|---|---|---|
| Brazil | situé dans | Latin America and the Caribbean | 100/100 |
| Latin America and the Caribbean | situé dans | Americas | 100/100 |
| SockTz | cible | Mexico | 50/100 |
| SockTz | cible | Brazil | 50/100 |
| SockTz | cible | Finance | 50/100 |
| Ecuador | situé dans | Latin America and the Caribbean | 100/100 |
| SockTz | cible | Transport | 50/100 |
| Mexico | situé dans | Latin America and the Caribbean | 100/100 |
| SockTz | cible | Government and administrations | 50/100 |
| SockTz | cible | Ecuador | 50/100 |
IOC et observables pour la recherche
8 valeurs typées issues des objets publics du rapport. Les valeurs ci-dessous sont neutralisées pour éviter les liens actifs. L’export CSV conserve les valeurs exactes.
Statuts de validité calculés au 2026-10-10T06:12:34+00:00, à partir du snapshot collecté. Ils doivent être réévalués avant un usage opérationnel ultérieur.
La confiance est le score de la source sur 100 ; elle n’est pas une probabilité de compromission.
| Type | Valeur neutralisée | Qualification | Confiance | Usage / validité |
|---|---|---|---|---|
| ipv4 | 167[.]148[.]195[.]53 |
Indicateur | 50 | Révoqué — recherche historique |
| md5 | 29eee8a0e2c63360e361a0d462d30ae6 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha1 | 4e58c2617eeee39bb7492040f25d22d2eca263e1 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 46ac289ce0c13666de616446f5d5a68da8bd150f4f065c3bec02f63776d3899c |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 4e218e70afdbb116209ec0ebe8fc556e296e69648aa4e0425b83c0e863a8fee5 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 7d766942ef34542cee39c852286599958c4c2e23187010c4d38dbf88fcb40bf8 |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | 87bf8bc8b4a2cf34f0af1afe161f123a3d200e77f6c6f41b81bf6ae66ee172ec |
Indicateur | 50 | Dans la période de validité déclarée |
| sha256 | a38b2cf8beff32a276eed8783723ecf8cc53d7dc88669e1b998dddc4db6fe996 |
Indicateur | 50 | Dans la période de validité déclarée |
Télécharger les IOC en CSV · Lire les IOC neutralisés (TXT) · Télécharger les renseignements structurés (JSON)
Comment utiliser les exports
Le CSV sert à rechercher les valeurs dans les journaux DNS, proxy, réseau et EDR selon leur type. La présence d’un observable dans un rapport ne suffit pas à justifier son blocage. Les indicateurs révoqués ou expirés sont conservés pour la recherche historique, avec leur statut.
Couverture et provenance
Rapport publié le 2026-09-03T12:45:15.963Z ; 37 objets publics et 38 relations publiques explicitement associées. Pagination complète. Une entité mentionnée n’établit pas, à elle seule, une attribution ou un ciblage. 12 patterns non pris en charge ou valeurs invalides ont été exclus de l’export. La fiche est générée automatiquement depuis les données du rapport et ses références publiques ; elle ne décrit pas un incident observé chez Gringao.
Texte de la source publique lu : extrait de 11999 caractères retenu, dans la limite de 12000 caractères. Le récit est vérifié sur cet extrait.
- Titre source : Attackers Expose Ongoing AI Tool Use Targeting Organizations in Latin America
- Types de rapport : threat-report
- Labels : ai-enabled attacks, nextchat, phishing campaign, socks5 proxy, socktz
- Confiance du rapport : 50/100
- Création déclarée par la source : 2026-09-03T12:45:15.963Z
- Modification déclarée par la source : 2026-09-25T11:11:11.817Z
- Import de l’objet de renseignement : 2026-09-25T11:10:55.924Z
- Mise à jour de l’objet de renseignement : 2026-09-25T11:11:11.817Z
Le JSON rassemble les métadonnées, les alias, les attributs structurés, les références, les relations, les techniques MITRE et tous les IOC retenus. Les dates d’import et de mise à jour sont distinctes de la date d’incident.
Source
Attackers Expose Ongoing AI Tool Use Targeting Organizations in Latin America — unit42.paloaltonetworks.com.