Publication De Recherche

🔍 Contexte Publié le 23 juillet 2026 par HoneyLabs, cet article de recherche présente une méthodologie d’analyse de 30 millions de sondes honeypot visant à identifier des acteurs ayant sondé des chemins d’exploitation avant la publication officielle des CVE correspondants. 📡 Cas principal : CVE-2026-41940 (cPanel/WHM) Le 11 avril 2026, l’IP 85.122.114.177 (AS200019, Alexhost, Roumanie) a envoyé 16 requêtes vers /login/?login_only=1 sur le port 2087 (interface WHM de cPanel) sur une période de trois jours, puis est devenue silencieuse. Cette adresse n’a jamais requis aucun autre chemin sur aucun autre port. ...

🌐 Contexte Publié le 17 juillet 2026 par DomainTools (Security Snacks), cet article présente une analyse technique et CTI d’une campagne de fraude en ligne pluriannuelle baptisée “Mexican Cita Express” / “Cita Express SRE México”, ciblant des citoyens mexicains cherchant à obtenir des rendez-vous pour des documents gouvernementaux (passeport). 🎯 Mécanisme de la fraude La campagne exploite la pénurie de rendez-vous officiels auprès de la Secretaría de Relaciones Exteriores (SRE) mexicaine pour proposer un faux service d’accélération. Le schéma d’extorsion progressive fonctionne ainsi : ...

🔍 Contexte Publié le 20 juillet 2026 par Rapid7 (Anna Širokova & Jan Recinsky), cet article de recherche détaille la découverte d’une infrastructure de livraison de malware entièrement exposée, identifiée à partir d’une alerte MDR. L’investigation a révélé un serveur WebDAV fonctionnant comme un laboratoire QA opérationnel contenant plus de 1 048 fichiers. 🧪 Infrastructure exposée L’alerte initiale a été déclenchée par l’exécution d’un fichier via rundll32.exe davclnt.dll depuis un serveur WebDAV distant. L’analyse du répertoire ouvert a révélé : ...

📅 Source et contexte : Publié le 18 juillet 2026 sur GitHub (An0nUD4Y/Offensive-COM), ce dépôt constitue une base de connaissances technique générée par IA (Kimi K3 Swarms) sur la sécurité offensive de Windows COM (Component Object Model), destinée aux red teamers et chercheurs en sécurité. 📚 Contenu et structure : Le dépôt est organisé en 8 chapitres thématiques couvrant l’ensemble de la surface d’attaque COM : Fondamentaux COM : vtables, IUnknown/IDispatch, GUIDs, registre HKCR, activation, marshaling, appartements Mouvement latéral DCOM : MMC20.Application, ShellWindows, ShellBrowserWindow, Excel (DDE/RegisterXLL), Outlook + DotNetToJScript, mobsync Élévation de privilèges : famille Potato complète (RottenPotato → GodPotato/DCOMPotato), DiagHub, USO, CVE-2015-2370, Trapped COM objects (2025) Contournement UAC : fodhelper, eventvwr, sdclt, CMSTPLUA/ICMLuaUtil, IFileOperation, CVE-2019-1388, UACME Persistance : hijacking HKCU, TreatAs/TypeLib (Turla, APT28, ComRAT), Black Basta (2025), pass-through proxy DLLs Exécution et évasion : Squiblydoo, DotNetToJScript + AMSI, PPL injection, RemotePotato0, RemoteMonologue Detection Engineering : Sysmon/ETW, matrice de couverture par famille d’attaque Recherche zero-day : pipeline complet d’énumération, triage, RE statique, fuzzing NDR, weaponization, reporting MSRC/ZDI 🔧 Outils et frameworks référencés : impacket dcomexec, SharpMove, Cobalt Strike, OleViewDotNet, incendium.rocks. ...

🔍 Contexte Publié le 16 juillet 2026 sur le blog technique d’Aikido Security, cet article présente un benchmark méthodique de 13 modèles d’IA évalués sur leur capacité à redécouvrir 26 vulnérabilités connues issues de la base GitHub Advisory Database. 🧪 Méthodologie Les 26 CVEs couvrent plusieurs langages et types de projets (SQL injection, RCE par désérialisation, XSS stocké, etc.) Chaque modèle est exécuté dans un harness d’analyse de code (AI Code Analysis d’Aikido), non dans une interface de chat Les agents sont pointés directement sur le snippet vulnérable pour isoler la capacité de raisonnement Chaque modèle est exécuté 3 fois, les résultats étant poolés (pass@3) Deux niveaux de raisonnement testés : “high” et “xhigh/max” 📊 Résultats clés GPT-5.6 : meilleur rappel à 23/26 (88,5%) grok-4.5 : 20/26 Claude Opus 4-7 / 4-8 : 15 à 18/26 GLM-5.2 (open weight) : 16/26 (59%), dans la moyenne des modèles propriétaires Tous les modèles redécouvrent les 2 CVEs critiques (RCE par désérialisation et XSS stocké) La séparation réelle se fait sur les vulnérabilités à chaînes complexes (ex : SQL Injection via alias de colonne non échappé par l’ORM) 💰 Rapport coût/performance 3 runs de gpt-5.4-nano (~170$) atteignent 18/26, équivalent à un seul pass d’un modèle phare 3 runs de gpt-5.4-mini (~460$) atteignent 20/26 Le niveau de raisonnement supérieur apporte un gain notable pour gpt-5.5 (+3) et glm-5.2 (+3), mais peu ou pas pour les autres 📌 Type d’article Article de publication de recherche à visée comparative, destiné aux équipes AppSec et CTI pour orienter le choix de modèles d’IA dans les workflows d’analyse de code. ...

📰 Source : SecurityWeek (Eduard Kovacs), publié le 16 juillet 2026. L’article s’appuie sur une recherche du groupe de threat intelligence Natto Thoughts, co-rédigée avec Eugenio Benincasa (ETH Zurich), croisant des avis publics du réseau de marchés publics militaires chinois avec des divulgations d’entreprises et des médias chinois. 🔍 Contexte général Le système de marchés publics de l’Armée populaire de libération (APL) a prononcé au moins 21 mesures d’exécution entre 2021 et 2026 à l’encontre de grands fournisseurs de cybersécurité chinois. Ces sanctions sont liées à des irrégularités dans les appels d’offres (collusion, fraude aux enchères), et non à des défaillances techniques ou produits. ...

📰 Source : TechXplore / Phys.org — Article publié le 19 juillet 2026, basé sur un preprint arXiv (DOI: 10.48550/arxiv.2607.06595) des chercheurs George Torres, Sharad Shrestha et Satyajayant Misra de la New Mexico State University. 🎯 Contexte Les agents LLM dotés de mémoire persistante à long terme (ex. : assistants personnels basés sur ChatGPT, Gemini) sont désormais capables d’agir de manière autonome : gestion d’emails, prise de rendez-vous, mise à jour de code. Cette mémoire persistante introduit de nouvelles surfaces d’attaque. ...

🎯 Contexte Source : BleepingComputer, publié le 19 juillet 2026. Kaspersky a documenté une campagne active baptisée HelloNet, ciblant des organisations russes via l’abus du mécanisme de mise à jour du logiciel ViPNet, suite de produits de sécurité réseau développée par InfoTeCS et certifiée pour usage gouvernemental en Russie. 🔍 Vecteur d’attaque Les attaquants ont placé un fichier malveillant (wtsapi32.dll, nommé HelloInjector) dans le répertoire local du système de mise à jour ViPNet. Ce fichier est chargé latéralement (DLL sideloading) au démarrage du système via le processus légitime itcsrvup64.exe. HelloInjector injecte ensuite dans svchost.exe pour obtenir des privilèges élevés et assurer la persistance au redémarrage. Kaspersky ne précise pas le vecteur d’accès initial ni ne confirme une compromission de l’infrastructure de mise à jour ViPNet elle-même. ...

📅 Source et contexte : Article technique publié le 20 juillet 2026 sur le blog officiel de Mozilla (hacks.mozilla.org), en complément d’une mise à jour sur le projet Distilled. Il s’inscrit dans le cadre d’une réflexion sur la tension entre protection de la vie privée des utilisateurs et lutte contre les abus de bots sur le web ouvert. 🔍 Problème identifié : Les mécanismes anti-abus actuels (CAPTCHAs, fingerprinting passif, murs d’inscription) échouent doublement : les protections de vie privée des navigateurs démantèlent les signaux passifs utilisés par les systèmes anti-abus, tandis que les IA génératives résolvent les CAPTCHAs plus vite et plus fiablement que les humains. Les sites migrent vers des mécanismes plus invasifs (email, login fédéré, désactivation du VPN), aggravant le compromis vie privée / accès. ...

🔍 Contexte Publié le 16 juillet 2026 par l’équipe Red Team d’Okta sur sec.okta.com, cet article présente la découverte d’une vulnérabilité de type Denial of Service (DoS) dans OpenSSL, baptisée HollowByte. 🧩 Mécanisme technique La vulnérabilité exploite le comportement de la machine à états TLS lors du traitement du message ClientHello. Les versions vulnérables d’OpenSSL allouent un buffer de réception basé sur la taille déclarée dans l’en-tête du message (3 octets du header de 4 octets), sans validation préalable du payload : ...