Publication De Recherche

🔍 Contexte Publié le 19 mars 2026 par Security Affairs, cet article relaie un rapport de Lookout Threat Labs, en collaboration avec iVerify et Google GTIG, portant sur la découverte d’un nouveau kit d’exploitation iOS baptisé DarkSword, actif depuis fin 2025. 🛠️ Description du toolkit DarkSword est un kit d’exploitation iOS permettant une compromission complète de l’appareil via une chaîne de six vulnérabilités, dont trois zero-days : CVE-2025-31277 – Corruption mémoire JavaScriptCore (CVSS 8.8) CVE-2026-20700 – Contournement PAC via dyld (CVSS 8.6) (zero-day) CVE-2025-43529 – Corruption mémoire JavaScriptCore (CVSS 8.8) (zero-day) CVE-2025-14174 – Corruption mémoire ANGLE (CVSS 8.8) (zero-day) CVE-2025-43510 – Problème mémoire noyau iOS (CVSS 8.6) CVE-2025-43520 – Corruption mémoire noyau iOS (CVSS 8.6) Le kit cible les iPhones sous iOS 18.4 à 18.7 et nécessite une interaction utilisateur minimale (near zero-click). ...

🏥 Contexte Publié le 12 mars 2026 sur le site de l’Agence du Numérique en Santé (ANS), ce communiqué de presse présente les résultats de la première enquête nationale sur la cybersécurité des établissements de santé, réalisée en 2025 par le cabinet Occurrence (groupe IFOP) auprès de 719 directeurs d’établissements de santé. L’étude a été présentée lors des premières Rencontres de l’ANS à PariSanté Campus. 📊 Principaux enseignements de l’enquête 86% des directions générales s’impliquent dans les exercices de crise cyber (2023/2024) 72% des directeurs déclarent intervenir personnellement dans l’élaboration du plan de prévention des risques cyber En cas de cyberattaque, les impacts prioritaires identifiés sont : continuité des soins (4,1/5), coût financier (3,9/5), qualité de vie au travail (3,8/5) 9 directeurs sur 10 plébiscitent la mutualisation des expertises entre établissements d’un même territoire 42% des directeurs estiment que leur budget ne permet pas d’élaborer un plan de prévention cyber au bon niveau ⚠️ Données sur la menace 764 incidents cyber déclarés en 2025 dans les établissements de santé français, confirmant un niveau de menace élevé et persistant sur ce secteur. ...

🔍 Contexte Publié le 22 mars 2026 sur GitHub par l’utilisateur andreisss, cet article présente KslDump, un outil de recherche en sécurité offensif exploitant un driver kernel Microsoft Defender (KslD.sys) pour extraire des credentials depuis LSASS protégé par PPL (Protected Process Light), sans recourir à aucun code ou driver tiers. ⚙️ Mécanisme de la vulnérabilité Le driver KslD.sys est livré avec Microsoft Defender, signé Microsoft, et expose un objet device \\.\KslD accessible depuis l’espace utilisateur. Il accepte l’IOCTL 0x222044 avec plusieurs sous-commandes critiques : ...

Selon une publication de recherche d’Orange Innovation Poland, ce travail examine comment la cyber threat intelligence (CTI) doit évoluer pour couvrir les menaces propres aux systèmes d’IA, en structurant les sources (vulnérabilités, incidents, TTP), en définissant des IoC spécifiques à l’IA et en proposant des méthodes de similarité pour détecter modèles/datasets malveillants. Le papier compare la CTI « classique » et la CTI pour l’IA, en listant des actifs et vulnérabilités propres à l’IA (ex. empoisonnement de données, backdoors dans les modèles, adversarial examples, inversion de modèle, prompt injection). Il cartographie les phases d’attaque adaptées au cycle ML (reconnaissance des artefacts ML, accès initial via API/produit, exécution, persistance via backdoor, élévation de privilèges notamment sur LLMs, évasion, exfiltration et impact). ...

Source et contexte — International Security (MIT Press/Harvard), mars 2026: Lennart Maschmeyer analyse pourquoi l’IA, malgré les prédictions d’une révolution offensive, renforce surtout la défense en cybersécurité. En s’appuyant sur des données expérimentales et des observations in-the-wild, l’auteur avance la thèse d’un « écart d’automatisation »: l’IA excelle en détection (🛡️🔍) mais peine en tromperie créative requise par l’offensive (⚔️🤖), ce qui abaisse l’efficacité des attaques automatisées. Thèse centrale: en cyberconflit, l’offense repose sur la créativité et la déception (se cacher, manipuler sans être détecté), alors que la défense vise la détection rapide et précise. Les modèles d’IA (ML, deep learning, LLMs) sont taillés pour la reconnaissance de motifs et la classification (défense), mais échouent sur la création originale et la duperie contextuelle (offense). L’indicateur de Mandiant (Google Cloud) montre une baisse du dwell time médian de 205 jours (2014) à 11 jours (2024), sans renversement malgré les progrès récents de l’IA, ce qui n’accrédite pas une supériorité offensive automatisée. ...

Contexte: IBM X-Force publie une analyse détaillée d’un nouveau backdoor/C2 baptisé “Slopoly”, vraisemblablement généré par un LLM et observé lors d’une attaque ransomware opérée par le cluster financier Hive0163. – Découverte et portée IBM X-Force a identifié un script PowerShell client d’un framework C2 inédit, nommé Slopoly, déployé en phase tardive d’une intrusion ransomware attribuée à Hive0163 (acteur financier déjà lié à InterlockRAT, NodeSnake, JunkFiction, Interlock ransomware). Slopoly a permis une persistance > 1 semaine sur un serveur compromis. L’analyse souligne l’adoption croissante de l’IA par les cybercriminels, ouvrant une phase d’« armes éphémères » où du malware généré rapidement abaisse fortement les barrières à l’entrée. ...

Source et contexte: Prépublication (UK AI Security Institute / University of Oxford), datée du 4 mars 2026. L’article introduit SANDBOXESCAPEBENCH, un benchmark et une méthodologie d’évaluation « sandbox-in-sandbox » pour mesurer si des agents LLM peuvent sortir d’un conteneur et lire un fichier /flag.txt sur l’hôte. • Le benchmark couvre 18 scénarios d’orchestration (K8s), de runtime (Docker/OCI) et de noyau Linux, avec une architecture d’évaluation par CTF et un double isolement (VM + conteneur) afin d’éviter tout risque pour l’infrastructure. Les auteurs publient les 18 niveaux et un provider de sandbox VM pour Inspect (Vagrant/EC2), avec un jeu de test privé. ...

Source: GitHub (wh1te4ever). Contexte: l’auteur analyse l’apparition de composants « vphone600ap » dans les firmwares PCC (cloudOS 26) d’Apple fin 2025 et publie un write-up détaillant la construction d’un iPhone virtuel, en s’appuyant sur des outils de virtualisation Apple et des patchs du firmware pour la recherche sécurité. L’auteur adapte super-tart en s’appuyant sur Virtualization.framework et des binaires AVPBooter/AVPSEPBooter de recherche, force un modèle matériel spécifique (VRESEARCH101), configure le SEP, le NVRAM/auxiliary storage et un écran iPhone (résolution d’un 14 Pro Max/15 Plus/15 Pro Max/16 Plus). Le VM expose clavier, multi-touch et graphiques via VZMacGraphicsDevice. ...

Source : ICLR 2026 Workshop on Agents in the Wild — Des chercheurs introduisent ZeroDayBench, un nouveau benchmark visant à évaluer la capacité d’agents LLM à détecter et corriger des vulnérabilités critiques dans des bases de code open source, en se concentrant sur la remédiation et non l’exploitation. Principales contributions 🧪 Portage de CVE réelles vers des dépôts cibles « fonctionnellement similaires » pour créer des failles inédites et limiter la mémorisation par les modèles. Couverture exclusive de vulnérabilités critiques (CVSS ≥ 7.0) et scénarios à fort impact (RCE, élévation de privilèges, dépassements mémoire, etc.). Évaluation par pentest: une correction n’est validée que si un exploit actif est effectivement bloqué après patch. 5 niveaux d’information fournis à l’agent (zero‑day, CWE, post‑exploit, one‑day, full‑info) pour mesurer la dépendance au contexte. Variantes inter‑dépôts et intra‑dépôt pour tester la généralisation (ex. portage de CVE‑2021‑23017 entre HAProxy, Squid, Tinyproxy). Résultats et comportements observés 🛡️ ...

Source et contexte — nadsec.online (par NadSec) publie en mars 2026 une rétro‑ingénierie de 28 modules JavaScript du kit d’exploits iOS « Coruna », complémentaire aux rapports de Google Threat Intelligence Group et iVerify (03/03/2026). L’étude (6 630 lignes) reconstitue, depuis le JavaScript obfusqué, une chaîne complète visant iOS 16.0–17.2, détaillant 8 vulnérabilités (WebKit RCE, PAC bypass, JIT cage escape, sandbox escape), jusqu’au binaire kernel récupéré dans la nature. Principaux résultats techniques ...