Publication De Recherche

Source: Korben — L’article relaie une publication d’IMDEA Networks et d’armasuisse montrant que les capteurs de pression des pneus (TPMS) émettent en clair des identifiants uniques sur 433 MHz, rendant possible le suivi passif de véhicules à grande échelle. Les chercheurs ont déployé 5 récepteurs SDR (~100 $ chacun, un Raspberry Pi 4 + un dongle RTL‑SDR) durant 10 semaines dans une ville et ont capté plus de 6 millions de messages provenant de plus de 20 000 véhicules. En corrélant les identifiants TPMS entre plusieurs points d’écoute, ils ont pu reconstituer des trajets, déduire des horaires de travail, identifier des jours de télétravail et même estimer des variations de charge du véhicule (indicatives de passagers), le tout sans caméras, GPS ni accès au réseau du véhicule. ...

Selon l’Institut national de test pour la cybersécurité (NTC), dans un communiqué du 26 février 2026, une analyse technique d’un an portant sur ~30 périphériques largement utilisés en Suisse (claviers, casques, webcams, systèmes de conférence) a mis au jour plus de 60 vulnérabilités, dont 13 graves et 3 critiques. Les appareils testés incluaient des produits de fabricants établis comme Logitech, Yealink, Jabra, HP, Eizo et Cherry, notamment utilisés dans des infrastructures critiques. ...

Source: watchTowr Labs — Dans une publication technique, les chercheurs détaillent une nouvelle chaîne d’attaque menant à une exécution de code à distance (RCE) pré-authentifiée sur SolarWinds Web Help Desk (WHD), via désérialisation Java et contournements du modèle de sécurité WebObjects et des mécanismes de sanitation. 🚨 Contexte et historique: Le produit SolarWinds Web Help Desk, reposant sur le framework Java WebObjects, a déjà connu plusieurs failles de désérialisation pré-auth exploitées in-the-wild (ex. CVE-2024-28986) et des correctifs ultérieurs (CVE-2024-28988, CVE-2025-26399). Les auteurs revisitent ces chemins d’exploitation et montrent comment les correctifs précédents peuvent être contournés. ...

Source: Elastic Security Labs (billet technique) — Les chercheurs détaillent une campagne ClickFix toujours active identifiée début février 2026, utilisant des sites web légitimes compromis pour livrer une chaîne d’infection en cinq étapes culminant avec MIMICRAT, un cheval de Troie d’accès à distance sur mesure. • Vecteur et leurre: la campagne compromet des sites de confiance (bincheck.io et investonline.in) pour injecter un JavaScript qui affiche une fausse vérification Cloudflare et pousse l’utilisateur à coller/exec un one-liner PowerShell depuis le presse‑papiers. Le leurre est localisé en 17 langues et a touché des victimes dans plusieurs régions (dont une université aux États‑Unis et des utilisateurs sinophones). ✅ ...

Selon Check Point Research, deux vulnérabilités critiques dans l’outil de développement IA Claude Code d’Anthropic ont permis une exécution de code à distance (RCE) et le vol de clés API en abusant de fichiers de configuration au niveau des dépôts, activés automatiquement à l’ouverture d’un projet. Les chercheurs décrivent comment des mécanismes intégrés (Hooks, intégrations MCP, variables d’environnement) ont pu contourner les contrôles de confiance et rediriger le trafic authentifié avant tout consentement utilisateur. ...

Source et contexte: Publication de recherche présentée au NDSS Symposium 2026 par des chercheurs de Georgia Institute of Technology. L’étude propose un cadre de mesure actif traçant des IoC « filigranés » pour observer, en temps réel, la chaîne de propagation (soumission → extraction → partage → disruption) au sein de l’écosystème mondial de Threat Intelligence (AV, sandboxes, plateformes TI, blocklists). • Méthodologie et portée. Les auteurs génèrent des binaires bénins mais suspects (Rockets) qui émettent des domaines/URLs encodant des empreintes d’exécution, déposent des copies (Satellites) et permettent de suivre l’extraction d’IoC, leur partage et les actions de blocage/takedown. Ils soumettent à 30 acteurs (plus de 60 fournisseurs observés au total) et utilisent des capteurs DNS/HTTP ainsi que des sondes OSINT (VirusTotal, OTX, blocklists DNS) pour mesurer couverture et délais. ...

Source: Jamf Threat Labs (19 février 2026). Contexte: publication d’une analyse technique d’un échantillon iOS de Predator (Intellexa/Cytrox) décrivant des mécanismes post‑compromis pour neutraliser les indicateurs d’enregistrement; il ne s’agit pas d’une nouvelle vulnérabilité ni d’un correctif, mais d’un éclairage destiné aux défenseurs. Jamf explique que depuis iOS 14, les pastilles vertes/oranges signalent l’usage de la caméra/micro. Contrairement à la technique « NoReboot » (2022) qui simulait une extinction complète, Predator garde l’iPhone pleinement opérationnel et supprime sélectivement les indicateurs d’enregistrement 🔴🟢, rendant la surveillance plus discrète. ...

Source : Tech Xplore (20 février 2026), relayant des travaux du Georgia Institute of Technology présentés à l’ACM CCS 2025. L’article décrit une nouvelle attaque de backdoor contre les SuperNets d’IA utilisées par les véhicules autonomes, baptisée VillainNet. Les chercheurs expliquent que les SuperNets fonctionnent comme un « couteau suisse » d’IA, activant au besoin des sous-réseaux spécialisés. L’attaque empoisonne un seul de ces sous-réseaux, reste dormante tant qu’il n’est pas sollicité, puis se déclenche sous des conditions spécifiques (ex. réponse de l’IA à la pluie) 🚗🌧️. Une fois activée, l’attaque est « presque certaine » de réussir, offrant un contrôle au pirate sur le véhicule. ...

ESET Research (WeLiveSecurity) publie l’analyse de PromptSpy, « premier » malware Android observé à intégrer de l’IA générative dans son flux d’exécution. Découvert en février 2026, il s’appuie sur Google Gemini pour guider des interactions d’interface contextuelles et maintenir la persistance, tout en déployant un module VNC pour un accès à distance complet. Les échantillons semblent viser prioritairement l’Argentine et pourraient avoir été développés dans un environnement sinophone. 🧪 Fonctionnalité IA générative (Gemini) 🤖: PromptSpy sérialise en XML l’état courant de l’UI (texte, types, packages, bounds) et l’envoie à Gemini, qui renvoie des instructions JSON (taps, swipes, long press) pour exécuter le geste « verrouiller l’app dans les applications récentes » — un mécanisme de persistance résistant aux variations d’UI selon les modèles et versions Android. Le malware boucle jusqu’à confirmation explicite de réussite par l’IA. ...

Source: LayerX — Publication de recherche détaillant une campagne d’extensions Chrome malveillantes se faisant passer pour des assistants IA grand public et des outils Gmail. 🚨 Des chercheurs de LayerX ont mis au jour une campagne coordonnée impliquant 30 extensions Chrome (dont certaines « Featured » sur le Chrome Web Store) usurpant Claude, ChatGPT, Gemini, Grok et divers outils « AI Gmail ». Ces extensions partagent le même code, les mêmes permissions et la même infrastructure backend (tapnetic[.]pro), totalisant 260 000+ installations. Leur architecture délègue les fonctions clés à des iframes distantes contrôlées côté serveur, permettant de modifier le comportement sans mise à jour du Store. ...