Analyse Technique

🗓️ Contexte Article publié le 27 mars 2026 par Emir Beganović (Staff SRE chez Booking.com), en marge du KubeCon EU 2026. L’auteur dresse un panorama complet de l’écosystème microVM, des CVEs d’évasion de containers récentes, et de l’émergence des sandboxes pour agents IA. 🔐 Problème fondamental : les containers ne sont pas une frontière de sécurité Les containers Linux (namespaces + cgroups) partagent le même noyau hôte. Toute exploitation du noyau (~40 millions de lignes de C, 450+ syscalls) permet une évasion vers l’hôte. La citation clé de Marina Moore (Edera) au KubeCon EU 2026 : “Containers are not a security boundary. They are a mechanism to control resource usage.” ...

🔍 Contexte Article technique publié le 4 mai 2026 par Remco van der Meer sur incendium.rocks, présentant des mises à jour du projet MS-RPC-Fuzzer et les résultats obtenus, notamment la découverte d’une escalade de privilèges vers NT AUTHORITY\SYSTEM. 🛠️ Améliorations du fuzzer MS-RPC Deux fonctionnalités majeures ont été implémentées : Fuzzing récursif des structures complexes : trois fonctions coopérantes (New-FuzzedInstance, Get-FuzzFieldValue, New-NdrEmbeddedPointerValue) permettent de traverser récursivement les structures NDR imbriquées, avec des garde-fous anti-récursion infinie (profondeur max 8, ensemble $Visited). Support des types Union : gestion des unions MS-RPC IDL en sélectionnant aléatoirement un bras (Arm_N) et en synchronisant le discriminant pour éviter l’erreur No matching union selector when marshaling. 📡 Remplacement de Process Monitor par ETW Le fuzzer utilise désormais Event Tracing for Windows (ETW) via P/Invoke sur advapi32.dll et tdh.dll pour surveiller l’activité fichier et registre : ...

📅 Source et contexte : Article publié le 4 mai 2026 par Alexander Hanff sur thatprivacyguy.com, basé sur une investigation personnelle menée via des audits automatisés WebSentinel et l’analyse des journaux système macOS (.fseventsd). 🔍 Comportement documenté : Google Chrome télécharge silencieusement un fichier de 4 Go nommé weights.bin, correspondant aux poids du modèle Gemini Nano (LLM on-device de Google), dans le répertoire OptGuideOnDeviceModel du profil utilisateur. Ce téléchargement s’effectue sans dialogue de consentement, sans case à cocher dans les paramètres, et se répète automatiquement si l’utilisateur supprime le fichier. ...

🔍 Contexte Publié le 6 mai 2026 par SEQRITE Labs (source : seqrite.com), cet article présente l’analyse technique d’une campagne ciblée baptisée Operation Silent Rotor, découverte lors d’une surveillance active des menaces émergentes. La campagne est stratégiquement alignée avec le XIII Forum International Eurasiatique « Unmanned Aviation 2026 », prévu le 23 avril 2026 à Moscou. 🎯 Cibles et vecteur d’infection La campagne cible des professionnels et organisations du secteur des systèmes d’aviation sans pilote (UAS/UAV) en Russie, Tadjikistan, Asie centrale, Moyen-Orient et Europe. Le vecteur initial est un spear phishing par pièce jointe distribuant une archive cai partner.zip contenant : ...

🎙️ Contexte Publié le 3 mai 2026 sur pwn.guide, cet article est un tutoriel technique complet sur l’attaque acoustique de récupération de frappes clavier (acoustic keystroke recovery). Il s’inscrit dans une série pédagogique sur le hardware hacking et vise à rendre la menace concrète et reproductible. 🔬 Principe de l’attaque L’attaque repose sur la physique des claviers chiclet : chaque touche génère une signature acoustique unique composée de trois éléments : ...

🔍 Contexte Publié le 30 avril 2026 par Trend Micro (Daniel Lunghi, Lucas Silva), cet article présente une analyse technique approfondie d’une campagne de cyberespionnage désignée SHADOW-EARTH-053, active depuis au moins décembre 2024 et alignée avec les intérêts stratégiques de la Chine. 🎯 Ciblage Le groupe a ciblé des entités gouvernementales et des infrastructures critiques dans au moins huit pays d’Asie du Sud, de l’Est et du Sud-Est, ainsi qu’un État membre de l’OTAN en Europe. Dans près de la moitié des environnements compromis, des chevauchements significatifs ont été observés avec un second cluster, SHADOW-EARTH-054, partageant des hachages d’outils identiques et des TTPs similaires. ...

🎯 Contexte Publié le 6 mai 2026 par Securonix Threat Research (Akshay Gaikwad, Shikha Sangwan, Aaron Beardslee), ce rapport documente la campagne VENOMOUS#HELPER (également trackée STAC6405 par Sophos), active depuis au moins avril 2025 et ayant impacté plus de 80 organisations, principalement aux États-Unis, en Europe occidentale et en Amérique latine. 📧 Vecteur initial : phishing SSA Les victimes reçoivent un email usurpant l’identité de la U.S. Social Security Administration (SSA). Le lien pointe vers un site mexicain légitime compromis (gruta.com.mx) servant de frontend de phishing avec récolte d’email, avant de rediriger vers le téléchargement du payload : ...

🔍 Contexte Analyse technique publiée le 1er mai 2026 par Ireneusz Tarnowski (DFIR & CTI Expert) sur Medium. L’article décrit une campagne active de distribution de malwares multi-étapes observée sur une période prolongée, avec une évolution des techniques au fil du temps. 🎯 Vecteur initial : SEO poisoning et malvertising La campagne repose sur du SEO poisoning et du malvertising via des résultats sponsorisés dans les moteurs de recherche. Les victimes recherchant des outils populaires (“Claude Code”, “NotebookLM download”) sont redirigées vers des pages de phishing hébergées sur des plateformes SaaS légitimes : ...

📅 Source : SANS Internet Storm Center (diary de Brad Duncan), publié le 2026-05-01. 🎯 Contexte : Dans un contexte de croissance de l’usage des appareils macOS (MacBooks, Mac Minis), des campagnes de malvertising ciblent ces hôtes. Une annonce malveillante observée le 2026-04-30 dans les résultats de recherche Google usurpe l’identité de Homebrew, le gestionnaire de paquets tiers pour macOS. 🔗 Vecteur d’infection : La publicité redirige vers une fausse page Homebrew hébergée sur sites.google.com/view/brewpage. Cette page présente un script à copier-coller que la victime est invitée à exécuter dans un terminal macOS. ...

🔍 Contexte Publié le 4 mai 2026 par les chercheurs Aliakbar Zahravi et Ahmed Mohamed Ibrahim de Trend Micro, cet article présente l’analyse technique complète de Quasar Linux (QLNX), un implant Linux précédemment non documenté découvert via une approche de threat hunting assistée par IA. Le malware présente un taux de détection très faible et cible spécifiquement les environnements de développement logiciel. 🎯 Cibles et objectifs QLNX est conçu pour compromettre les développeurs et équipes DevOps afin d’infiltrer la chaîne d’approvisionnement logicielle. Son module de credential harvesting cible explicitement : ...