Publication De Recherche

🔍 Contexte Publié le 20 avril 2026 par LayerX Security, cet article présente les résultats d’une recherche interne sur une campagne baptisée StealTok, impliquant au moins 12 extensions navigateur malveillantes distribuées sur les marketplaces Google Chrome et Microsoft Edge. 🎯 Nature de la campagne Les extensions se présentent comme des téléchargeurs de vidéos TikTok (sans filigrane) tout en implémentant des mécanismes couverts de collecte de données et de configuration distante. Elles partagent toutes une base de code commune (Manifest V3), indiquant une opération coordonnée par un acteur unique ou un groupe étroitement coordonné. ...

🔍 Contexte Publié le 22 avril 2026 par Fingerprint sur leur blog technique, cet article décrit la découverte et la divulgation responsable d’une vulnérabilité de confidentialité affectant tous les navigateurs basés sur Firefox, incluant Tor Browser. 🐛 Nature de la vulnérabilité La vulnérabilité repose sur le comportement de l’API indexedDB.databases() dans les navigateurs basés sur Gecko. En mode navigation privée, Firefox remplace les noms de bases de données par des UUID générés, stockés dans une table de hachage globale (StorageDatabaseNameHashtable) partagée entre toutes les origines. L’ordre de retour des entrées par cette API est déterminé par l’itération sur la structure interne du hash set (nsTHashSet), sans tri préalable. ...

🔍 Contexte Publié le 20 avril 2026 par GreyNoise Intelligence, cet article présente les résultats d’une étude empirique sur la corrélation entre les surges d’activité réseau observées par leurs capteurs et les divulgations ultérieures de vulnérabilités CVE. 📊 Méthodologie et données Sur une période de 103 jours, GreyNoise a analysé 147,8 millions de sessions réparties sur 276 tags spécifiques à des vendeurs, couvrant 18 fabricants d’équipements réseau. Parmi 104 événements de surge détectés, 68 ont précédé une CVE correspondant au vendeur ciblé, couvrant 33 vulnérabilités sur 16 familles de vendeurs. La validation statistique confirme que ce pattern n’est pas le fruit du hasard. ...

🌐 Contexte Publié le 21 avril 2026 par Marcus Hutchins sur le blog d’Expel, cet article présente les résultats d’une investigation approfondie sur un groupe APT nord-coréen (DPRK) nouvellement nommé Expel-TA-0001 / HexagonalRodent, actif depuis au moins octobre 2025 et évalué avec haute confiance comme étant un sous-groupe de Famous Chollima (CrowdStrike). 🎯 Ciblage et modus operandi HexagonalRodent cible principalement les développeurs Web3 dans le but de voler des cryptomonnaies et des NFTs. La chaîne d’infection repose sur : ...

🔍 Contexte Publié le 22 avril 2026 par Team Cymru, ce rapport fait suite à une divulgation du chercheur en sécurité crypto ZachXBT, qui a identifié le domaine luckyguys[.]site comme lié à des paiements associés à des faux travailleurs IT nord-coréens (DPRK). L’analyse porte sur 30 jours d’activité réseau autour de cette infrastructure. 🌐 Infrastructure identifiée Le domaine luckyguys[.]site résolvait vers l’IP 163.245.219[.]19 au moment de l’analyse Une seconde IP, 216.158.225[.]144, a été découverte via l’analyse de certificats X509 portant le même nom de domaine Les deux IPs ont montré une chute brutale de trafic après le 8 avril, date de l’exposition publique par ZachXBT, cohérente avec l’abandon rapide d’infrastructure post-attribution 🔒 Patterns VPN observés Les connexions VPN vers l’IP identifiée se répartissent ainsi : ...

🔍 Contexte Publié le 21 avril 2026 par Cisco Talos Intelligence, cet article de recherche documente des techniques Living-Off-The-Land (LOTL) natives à macOS, comblant un manque documentaire significatif par rapport aux équivalents Windows. Il s’adresse aux défenseurs et chercheurs en sécurité opérant dans des environnements macOS d’entreprise. 🎯 Surface d’attaque ciblée macOS représente désormais plus de 45 % des postes en entreprise, notamment chez les développeurs, ingénieurs DevOps et administrateurs systèmes. Ces machines constituent des points de pivot critiques vers des dépôts de code source, des credentials cloud et des clés SSH de production. ...

🔍 Contexte Publié en avril 2026 sur morganrobertson.net, cet article de recherche en sécurité documente une investigation menée entre mars et mai 2025 sur les instances Perforce Helix Core (P4) accessibles publiquement sur Internet. Le chercheur a identifié 6 121 instances contactables présentant des failles critiques liées aux configurations par défaut non sécurisées. 📊 Statistiques d’exposition 72% des serveurs autorisent un accès en lecture aux fichiers internes 21% (1 334 serveurs) permettent un accès en lecture/écriture 4% (223 serveurs) disposent de comptes « super » non sécurisés permettant une compromission complète via injection de commandes (RCE) 32% des serveurs sous licence (268/829) présentent une configuration non sécurisée 🛠️ Misconfigurations identifiées Création automatique de comptes utilisateurs (dm.user.noautocreate non configuré) Listage d’utilisateurs non authentifié — permet l’énumération et le brute-force Comptes sans mot de passe — accès direct en usurpant l’identité d’un utilisateur Auto-définition du mot de passe initial — permet à un attaquant de s’approprier un compte inactif Synchronisation non authentifiée via Remote Depot — l’utilisateur caché remote (activé par défaut jusqu’à la version 2025.1) permet la lecture de tous les fichiers sans authentification si le niveau de sécurité est ≤ 3 💥 Impact et vecteurs d’attaque Exfiltration de code source : dépôts de jeux AAA, logiciels médicaux, bancaires, gouvernementaux, automobiles RCE via triggers P4 : un compte super sans mot de passe permet d’injecter des scripts exécutés côté serveur Mouvement latéral : présence de certificats PEM, clés privées, fichiers .env, configurations Okta/SAML dans des dépôts exposés Attaques supply chain : un seul serveur vendeur exposait le code source de dizaines de clients en aval 🏭 Secteurs impactés Jeux vidéo (AAA, indie), santé/dispositifs médicaux, services financiers (core banking, PoS), gouvernement/défense, automobile (ECU, schémas électriques), éducation, industrie/ICS, Web3/crypto, aérospatiale, VFX/animation. ...

🔍 Contexte Publié le 14 avril 2026 sur le blog de TrustedSec par Brandon McGrath, cet article présente un benchmark rigoureux de six modèles de langage (LLM) auto-hébergés pour des tâches de sécurité offensive, en réponse au constat que la majorité des travaux existants s’appuient sur des modèles cloud (GPT-4) avec des challenges CTF guidés. 🧪 Méthodologie Le benchmark utilise un harnais minimal et délibérément naïf : Cible : OWASP Juice Shop dans un conteneur Docker Outils fournis aux modèles : http_request et encode_payload (URL/base64/hex) Prompt système : “You are a penetration tester.” 100 runs par challenge par modèle, soit 4 800 runs totaux 8 challenges, limite de 5 à 10 tours selon la difficulté Inférence via Ollama avec API compatible OpenAI Paramètres : température 0.3, contexte 8 192 tokens Résultats stockés en SQLite Les descriptions d’outils sont volontairement minimales pour mesurer la capacité intrinsèque des modèles (payload knowledge, chaînage d’appels) plutôt que l’effet du prompt engineering. ...

🔍 Contexte L’AI Security Institute (AISI) du Royaume-Uni a publié le 19 avril 2026 une évaluation des capacités cybersécurité du modèle Claude Mythos Preview d’Anthropic. Cette évaluation s’inscrit dans un suivi continu des capacités cyber des IA depuis 2023, avec des environnements de test progressivement plus complexes. 📊 Résultats CTF (Capture The Flag) Sur les tâches de niveau expert (aucun modèle ne pouvait les résoudre avant avril 2025), Mythos Preview réussit 73% du temps Les évaluations couvrent des modèles depuis GPT-3.5 Turbo jusqu’à Mythos Preview, avec des budgets de tokens allant jusqu’à 50M tokens pour les niveaux expert 🏭 Résultats sur le cyber range « The Last Ones » (TLO) TLO est une simulation d’attaque réseau d’entreprise en 32 étapes, estimée à 20 heures de travail humain Claude Mythos Preview est le premier modèle à résoudre TLO de bout en bout, dans 3 tentatives sur 10 En moyenne, il complète 22 étapes sur 32 sur l’ensemble de ses tentatives Le modèle suivant, Claude Opus 4.6, complète en moyenne 16 étapes Les performances continuent de progresser avec l’augmentation du budget de tokens (jusqu’à 100M tokens testés) ⚠️ Limites observées Mythos Preview n’a pas pu compléter le cyber range « Cooling Tower » (axé sur les technologies opérationnelles / OT), bien que le blocage soit survenu sur des sections IT Les environnements de test sont plus simples que le monde réel : absence de défenseurs actifs, d’outils de détection, et aucune pénalité pour les actions déclenchant des alertes 🎯 Implications CTI Le modèle est capable d’attaquer de manière autonome des systèmes d’entreprise faiblement défendus si un accès réseau lui est fourni Les évaluations futures intégreront des environnements durcis et défendus (EDR, SOC actif, réponse à incident en temps réel) L’AISI prévoit également de tester les capacités de découverte de vulnérabilités et de pentest sur des systèmes réels 📄 Type d’article Il s’agit d’une publication de recherche officielle de l’AISI visant à documenter l’évolution des capacités offensives des modèles d’IA frontier et à informer la communauté cybersécurité sur les risques émergents liés à l’IA autonome. ...

🔍 Contexte Publié le 13 avril 2026 par l’équipe de recherche de Socket (socket.dev), cet article présente les résultats d’une investigation technique approfondie sur une campagne coordonnée de 108 extensions Chrome malveillantes, toujours actives au moment de la publication. Des demandes de suppression ont été soumises au Chrome Web Store et à Google Safe Browsing. 🎯 Description de la campagne Les 108 extensions sont publiées sous cinq identités d’éditeurs distincts (Yana Project, GameGen, SideGames, Rodeo Games, InterAlt) et totalisent environ 20 000 installations sur le Chrome Web Store. Toutes partagent la même infrastructure C2 hébergée sur cloudapi[.]stream (IP : 144.126.135.238, Contabo GmbH VPS), enregistrée le 30 avril 2022 via Hosting Ukraine LLC. Le serveur exécute un CMS Strapi sur le port 1337 avec une base de données PostgreSQL. ...