Publication De Recherche

🔍 Contexte Publié le 18 juin 2026 par l’équipe PS (Paradigm Shift Technology) sur leur blog, cet article présente usbliter8, un exploit BootROM inédit ciblant les SoC Apple A12, S4/S5 et A13, avec divulgation coordonnée auprès d’Apple Product Security avant publication. 🐛 Vulnérabilité Le bug réside dans le contrôleur USB DWC2 de Synopsys intégré aux SoC Apple. Le contrôleur stocke jusqu’à trois Setup packets consécutifs en mémoire via DMA. Lors de la réception d’un quatrième paquet, il décrémente le registre DOEPDMA de 24 octets pour revenir au début du buffer. Cependant, si des paquets plus petits sont reçus (stockés en chunks de 4 octets), l’incrément ne correspond pas au décrément fixe, produisant un primitif de buffer underflow par pas de 12 octets. ...

🔍 Contexte Publié le 18 juin 2026 par Group-IB, cet article présente les résultats d’une investigation sur une campagne de phishing baptisée GitBait, ciblant au moins 12 institutions financières opérant au Mexique, active depuis environ trois ans. 🎯 Description de la campagne La campagne repose sur une architecture entièrement serverless combinant : GitHub Pages comme plateforme d’hébergement des pages de phishing L’API SheetBest pour l’exfiltration des credentials vers des Google Sheets contrôlées par les attaquants Un bot Telegram comme méthode d’exfiltration alternative pour certaines cibles Les pages de phishing imitent visuellement les portails de banque en ligne légitimes et collectent : noms d’utilisateur, identifiants clients, mots de passe et données de cartes de paiement via un flux multi-étapes. ...

🔍 Contexte : Le 16 juin 2026, Cato CTRL (Vitaly Simonovich) publie une analyse post-incident détaillée de l’opération « Poisson », couvrant la période du 30 mars au 1er mai 2026. L’analyse repose sur l’historique complet des commandes et la télémétrie capturée en temps réel. 🎯 Cibles : Une petite entreprise française du secteur automobile et quatre individus français. Les victimes sont localisées en Alsace (département 68) et en Val-d’Oise (département 95). ...

🔍 Contexte Publié le 17 juin 2026 par Hudson Rock (hudsonrock.com), cet article s’appuie sur les recherches du chercheur en sécurité Volodymyr « Bob » Diachenko. Il documente une campagne d’espionnage cyber d’envergure mondiale ciblant les équipements Fortinet FortiGate (pare-feux et passerelles VPN). 🎯 Méthodologie de l’attaque Le groupe, décrit comme multi-opérateurs et russophone, a opéré de manière hautement automatisée : 1,16 milliard de tentatives de credential stuffing contre plus de 320 000 cibles FortiGate 2,1 milliards de tentatives de brute-force contre plus de 160 000 serveurs MSSQL Interception de hachages d’authentification SSL VPN et cracking via un cluster dédié de 45 GPU géré par Hashtopolis Pivot systématique vers les environnements Active Directory internes pour établir une persistance profonde Exploitation de bases de données de credentials préalablement volés (infostealers) pour contourner les politiques de complexité des mots de passe 📊 Ampleur et victimes 73 932 URLs de pare-feux uniques compromises dans 194 pays 21 632 domaines affectés uniques Pays les plus touchés : Inde (9 629), États-Unis (6 352), Taïwan (3 637), Mexique (3 197), Turquie (3 032) Secteurs les plus impactés : IT Services, Télécommunications, Construction, Services financiers, Gouvernement Victimes nommées : Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture, Oracle, ainsi que des entités gouvernementales et des infrastructures critiques. ...

🔍 Contexte Publié le 15 juin 2026 par Varonis Threat Labs sur le blog officiel de Varonis, cet article présente la découverte de SearchLeak, une chaîne de vulnérabilités critiques affectant Microsoft 365 Copilot Enterprise. La vulnérabilité a été corrigée par Microsoft sous l’identifiant CVE-2026-42824, avec une sévérité maximale critique. ⚙️ Mécanisme d’attaque : une chaîne en trois étapes SearchLeak combine trois failles distinctes pour former une chaîne d’exploitation complète : Parameter-to-Prompt (P2P) Injection : Le paramètre q de l’URL de Copilot Enterprise Search est transmis directement au moteur IA comme une instruction exécutable, permettant à un attaquant d’injecter des commandes arbitraires. HTML Rendering Race Condition : Pendant la phase de streaming de la réponse Copilot, une balise <img> est rendue par le navigateur avant que le sanitizer de sortie ne s’active, permettant l’envoi d’une requête HTTP vers une URL contrôlée par l’attaquant. CSP Bypass via Bing SSRF : Le domaine *.bing.com étant autorisé dans la Content Security Policy, l’attaquant exploite l’endpoint Bing searchbyimage qui effectue une requête côté serveur vers une URL arbitraire, contournant ainsi la CSP du navigateur. 🎯 Déroulement de l’attaque L’attaquant envoie à la victime un lien vers m365.cloud.microsoft (domaine légitime Microsoft) La victime clique → Copilot interprète le paramètre q comme des instructions Copilot recherche dans la boîte mail, le calendrier, SharePoint, OneDrive Une balise <img> est générée avec les données volées encodées dans l’URL Le navigateur envoie la requête à Bing (autorisé par CSP) Bing effectue un fetch côté serveur vers attacker.com/<DONNÉES_VOLÉES>/img.png L’attaquant récupère les données dans les logs de son serveur 💥 Impact Les données potentiellement exfiltrables incluent : ...

🕵️ Contexte Source : BleepingComputer, publié le 13 juin 2026. L’article rapporte les conclusions de Sygnia sur une campagne d’espionnage baptisée “Operation Highland”, attribuée au groupe Velvet Ant, un acteur de cyberespionnage d’origine chinoise. La campagne a débuté en 2016 et s’est poursuivie pendant 10 ans contre une grande organisation disposant d’un réseau critique isolé (air-gapped). 🎯 Vecteur d’accès initial et pivotement L’attaque débute par la compromission de serveurs exposés sur internet (le produit ou la vulnérabilité spécifique ne sont pas mentionnés). Velvet Ant déploie ensuite : ...

🔍 Contexte Publié le 9 juin 2026 par Lucas Dodgson, Tobias Oberdörfer et Robin Hilber (InfoGuard Labs), cet article de recherche offensive décrit une vulnérabilité de configuration baptisée Ghost-Sender, affectant Microsoft Exchange Online utilisé en combinaison avec un enregistrement MX externe (solution de filtrage tiers ou anti-spam). ⚠️ Description de la vulnérabilité Ghost-Sender exploite le comportement par défaut d’Exchange Online qui accepte tout email entrant directement adressé au tenant, indépendamment des résultats des contrôles SPF, DKIM et DMARC. Lorsqu’un enregistrement MX externe est configuré (ex : Mailgun, solution anti-spam tierce), un attaquant peut contourner ce filtrage en envoyant directement au endpoint Exchange Online (*.mail.protection.outlook.com), livrant des emails usurpés depuis n’importe quel expéditeur interne ou externe. ...

🔍 Contexte Rapport publié le 9 juin 2026 par MalExt (Jean-Marie R. / Toborrm9) via la plateforme Malicious Extension Sentry Project. L’analyse a été réalisée à l’aide du scanner automatisé MalExt Sentry, qui surveille en continu les stores d’extensions de navigateur. 🎯 Description de la campagne SearchJack est une campagne structurée de 23 extensions Chrome déceptives qui détournent silencieusement le moteur de recherche par défaut des utilisateurs. Chaque extension se présente sous une apparence légitime (imagerie satellite, outils de productivité, lecteurs d’actualités, cartes) mais son objectif réel est la génération de revenus via des programmes d’affiliation de recherche (principalement Yahoo Hosted Search). ...

🗓️ Contexte Publié le 3 juin 2026 par Anthropic (Kyla Guru, Alex Moix, Jacob Klein), ce rapport analyse 832 comptes bannis de la plateforme Claude entre mars 2025 et mars 2026 pour violation de la politique d’utilisation liée à des activités cyber malveillantes. Les résultats ont partiellement alimenté le Verizon Data Breach Investigation Report (DBIR) 2026. 📊 Méthodologie 13 873 observations d’activités malveillantes mappées sur le framework MITRE ATT&CK V18 482 sous-techniques uniques couvrant les 14 tactiques ATT&CK Nouveau score de risque : ARiES (AI Risk Enablement Score), composite de 0 à 100 basé sur trois dimensions : Threat (0–35), Vulnerability (0–35), Impact (0–30) Données collectées via Claude.ai, Claude Code et l’API Anthropic 🔑 Résultats clés 1. Croissance du risque : ...

🔬 Contexte et source Article académique publié sur arXiv (soumis le 23 mai 2026) par des chercheurs de Bynario, Vanta et University College London. Il s’appuie sur les données publiques des campagnes Anthropic Mythos Preview et Mozilla Firefox pour analyser les implications économiques des LLM dans la découverte de vulnérabilités. 📐 Concept central : le « bugonomics » Les auteurs introduisent le terme bugonomics comme cadre d’analyse des coûts et incitations liés à la production d’artefacts de sécurité. Ils distinguent explicitement plusieurs catégories économiquement distinctes : ...