Publication De Recherche

🔍 Contexte Publié en août 2026 sur GitHub par Angelo Frasca Caccia (lem0nSec_) et Alejandro Pinna, SgrmFault est un Proof-of-Concept (PoC) d’exploitation Windows présenté aux conférences REcon 2026 et DEF CON 34. ⚙️ Mécanisme technique La chaîne d’exploitation repose sur deux composants Windows légitimes : WerFaultSecure.exe : utilisé pour une technique d’injection de code basée sur COM (revivifiée), permettant l’exécution de shellcode dans un contexte privilégié. SgrmAgent.sys (driver Microsoft System Guard Runtime Monitor) : expose une primitive de tampering de processus via APC (Asynchronous Procedure Call). La chaîne complète permet d’altérer des processus protégés (ex: MsMpEng.exe, processus PPL) depuis un contexte non-privilégié disposant de SeDebugPrivilege. ...

📄 Contexte : Article de recherche académique publié sur arXiv (juillet 2026) par des chercheurs d’ETH Zurich, Anthropic, University of Haifa, Technische Universität Berlin et Tel Aviv University. L’étude évalue la capacité des grands modèles de langage (LLMs) à effectuer de la cryptanalyse sur des primitives cryptographiques réelles. 🔬 CryptanalysisBench : Le benchmark comprend 191 tâches réparties sur six familles de primitives cryptographiques (chiffrements par blocs, fonctions de hachage, AEAD, KEM, PKE, signatures numériques), issues principalement de quatre compétitions de standardisation NIST (AES, SHA-3, LWC, PQC). Il est structuré en trois niveaux : ...

🔍 Contexte Publié le 11 août 2026 sur vulone.com, cet article présente une analyse d’attribution OSINT concernant un individu opérant sous plusieurs pseudonymes sur des forums cybercriminels, et son lien avec le groupe ransomware REvil. 👤 Attribution et corrélation des personas L’enquête établit qu’un seul individu a utilisé trois comptes de forum depuis les mêmes deux adresses IP, aux mêmes horaires, pendant trois mois consécutifs. L’un de ces comptes est celui d’un modérateur du forum exploit.in. ...

🔍 Contexte Publié le 11 août 2026 par Check Point Research, cet article documente une nouvelle vague de la campagne Operation Dream Job, attribuée au groupe nord-coréen Lazarus, ciblant les secteurs de la défense, de l’aérospatiale et de l’aviation en Europe, Asie et Amérique du Sud. 🎯 Vecteur d’infection Les attaquants usurpent l’identité de recruteurs sur LinkedIn et via des applications de messagerie directe, proposant de fausses offres d’emploi auprès d’entreprises reconnues (ex : Lockheed Martin). Deux chaînes d’infection parallèles ont été identifiées : ...

🔍 Contexte Publié le 10 août 2026 par Hunt.io, cet article de recherche présente les résultats d’une investigation déclenchée par la découverte d’un répertoire ouvert sur le serveur 89.208.97[.]165:8888, hébergé par Aeza Group LLC (AS210644), un hébergeur bulletproof russe sanctionné par l’OFAC en juillet 2025. La découverte a été signalée au CERT-UA le 30 juillet 2026. 🎯 Vecteurs d’accès initiaux et infrastructure L’opérateur a compromis un site e-commerce ukrainien sous OpenCart via : ...

🔍 Contexte Publié le 12 août 2026 sur le blog d’A Security (https://a.security/blog/asecurity-zoomsday), cet article de recherche offensive détaille la découverte de trois vulnérabilités critiques dans Zoom, plateforme utilisée par 70% du Fortune 100. La recherche a été conduite par Idan Levcovich, Senior Vulnerability Researcher, assisté d’un agent IA utilisant des modèles publics. 🎯 Vulnérabilités identifiées Trois CVE ont été attribuées : CVE-2026-53413 : Stack buffer overflow dans CAnnoFormatBlock::Deserialize — un compteur 32 bits fourni par l’attaquant contrôle une copie dans un buffer fixe de 128 octets sans vérification de borne, permettant d’écraser la pile jusqu’à l’adresse de retour. CVE-2026-53414 : Heap over-read dans le buffer de glyphes — allocation basée sur un compteur attaquant avec un corps court, exposant des pointeurs vtable et des adresses de modules en mémoire (primitif de fuite ASLR). CVE-2026-53415 : Write-what-where dans le handler du type de message 75 (CAnnoObjAutoMetaShape) — des pointeurs de liste chaînée fournis par l’attaquant sont utilisés sans validation lors du déchainement, offrant un primitif d’écriture arbitraire. ⚙️ Mécanisme d’exploitation La surface d’attaque réside dans libannotate.so, bibliothèque partagée compilée identiquement pour Windows, macOS, iOS, Android et Linux. Le protocole d’annotation propriétaire de Zoom transmet des PDU (CAnnoPduAddObj) via le routeur MMR, avec un canal direct entre chaque participant et le partageur d’écran. L’absence de vérification du rôle de l’émetteur dans CAnnoPduFactory::create permet à un attaquant d’envoyer un opcode AddObj (0x10001) là où un AddObjAck (0x10002) est attendu, déclenchant la désérialisation complète côté victime. ...

🔍 Contexte Publié le 6 août 2026 par Gareth Heyes (PortSwigger Research), cet article de recherche technique présente une série de techniques d’attaque exploitant le rendu CSS dans les clients webmail. Les cibles étudiées incluent Yahoo Mail, AOL Mail, Fastmail, ProtonMail, Gmail et Outlook. 🎯 Techniques d’attaque principales Abus des éléments HTML/CSS autorisés Détournement de balises <label> : les attributs for permettent de déclencher des actions UI arbitraires (ex: épingler un message dans Outlook, ouvrir le ruban). Vulnérabilité non corrigée par Microsoft. Injection de prompt indirect via CSS : utilisation des pseudo-éléments :before/:after pour masquer du texte aux victimes humaines tout en le rendant visible aux LLM (navigateur IA OpenAI Atlas), permettant l’exfiltration du nom de la victime via des onglets ouverts automatiquement. Exfiltration de tokens par CSS Race condition lors du collage dans un brouillon (AOL Mail, Yahoo Mail) : du HTML/CSS malveillant dans le presse-papiers est injecté sans sanitization correcte sous Firefox. Vol de token Medium (12 caractères hex) : via des sélecteurs d’attributs CSS imbriqués (^=, *=, $=) et du CSS nesting pour réduire la taille du payload. Technique permettant de reconstituer le token complet côté serveur. Exfiltration sans requêtes externes (CSP strict) : utilisation d’oracles de hauteur de police (@font-face + descent-override), d’animations CSS et de la propriété inset pour forcer un clic sur un lien encodant les digits du token. Contournements de proxy d’image Fastmail : content:url(/\5c/user.fm/...) — le sanitizer croit que l’URL est relative, le navigateur résout vers user.fm. ProtonMail : imbrication de Url( dans un commentaire CSS pour tromper le sanitizer et exposer l’IP de la victime. Gmail : background:image-set(var(--x,'//02.rs')) — le fallback de variable CSS contourne la sanitization. Mutation CSS (Fastmail) Mutation via CSSOM : les noms de keyframes et media queries contenant des escapes hex (\7d\2a) sont décodés par Chrome lors de la lecture CSSOM, produisant des sélecteurs arbitraires (}*{color:red}). Deux bugs corrigés par Fastmail, chacun récompensé par 1000$ de bounty. CSS Gadgets (Outlook) Gadgets CSS : des attributs data-* autorisés par le sanitizer déclenchent une manipulation DOM par une bibliothèque JS tierce, injectant position:fixed hors de la liste blanche. Permet de déface Outlook et de sortir des limites du message. CSS Hotwiring (Fastmail) Technique permettant de forcer un clic sur une action UI spécifique (ex: marquer comme VIP) lorsque la victime clique n’importe où sur la page, via :before/:after avec position:fixed et z-index élevé. Keylogger CSS (Outlook) Keylogger via <select> et sélecteurs CSS (option+option:checked, :has(), :checked) combiné au gadget CSS position:fixed pour spoofier l’écran de connexion Outlook. Keylogger temps réel (Firefox) : exploitation d’un comportement Firefox qui réinitialise le timer du <select> lors d’un déplacement hors écran via animation CSS. Bypass du sanitizer Outlook : injection via @media --narrow-window;/*"*/.xyz{position:fixed} — le sanitizer traite le sélecteur comme faisant partie de la media query. Exfiltration via prompt injection + Gmail bypass (Cowork/Slack) Collaboration avec Pete Hendy : email piégé convainquant l’IA Cowork (connecteur Gmail) de créer un brouillon contenant du CSS exfiltrant un token Slack via le bypass Gmail (image-set(var(...))). 🔮 Attaques futures décrites Keylogger HTML-only (Chrome) : via l’élément <selectedcontent> et images lazy-loaded. Keylogger temps réel Chrome : via l’attribut interestfor (interest invokers) pour chaîner des <select> popovers. 📋 Type d’article Publication de recherche offensive détaillée, présentant des techniques CTI exploitables contre des webmails grand public et des clients IA, avec preuves de concept et code source disponible sur GitHub. ...

🔍 Contexte : Le 2 avril 2026, la société australienne dotSec publie une analyse technique détaillant la découverte et la divulgation responsable à Microsoft d’une vulnérabilité de désérialisation non sécurisée dans un binaire du Windows Assessment and Deployment Kit (ADK). ⚠️ Vulnérabilité : La faille, référencée CVE-2026-25166 et attribuée à Dr Tim Baker (Head of Testing and Assessment chez dotSec), affecte le binaire imgmgr.exe, composant du Windows System Image Manager (WSIM) livré avec le Windows ADK. Ce binaire est une application .NET Framework (WPF) qui utilise BinaryFormatter.Deserialize sans SerializationBinder sur un fichier fourni par l’utilisateur via l’argument /i, exposant une vulnérabilité classique de type CWE-502 (Désérialisation de données non fiables). ...

🔍 Contexte Article publié le 9 août 2026 par TechCrunch (auteur : Zack Whittaker). Il couvre la présentation publique du projet noRecognition lors de la conférence Def Con à Las Vegas, par le chercheur en cybersécurité Bill Swearingen, co-fondateur du meetup SecKC à Kansas City. 🧠 Description du projet Swearingen a développé un modèle d’apprentissage par renforcement capable de générer des motifs visuels adversariaux qui, appliqués sur des vêtements ou des véhicules, neutralisent la détection algorithmique des caméras de surveillance. Le système ne bloque pas l’enregistrement vidéo mais perturbe la capacité de détection d’objets, de personnes et de visages par les algorithmes embarqués. ...

🔍 Contexte Publié le 5 août 2026 sur le blog de SpecterOps par Beyviel David, cet article constitue le volet outillage d’une série de recherches intitulée Turning Enterprise Update Servers Into Backdoor Factories. Il documente pas à pas l’utilisation de NotWSUSpicious, un outil Python open source disponible sur GitHub. ⚙️ Mécanisme d’attaque L’attaque repose sur une chaîne de compromission en plusieurs étapes : Prérequis : le serveur WSUS doit être configuré avec une base MSSQL externe et l’Extended Protection for Authentication (EPA) ne doit pas être activée sur le serveur SQL. Coercition d’authentification : l’outil PetitPotam est utilisé pour forcer le compte machine du serveur WSUS (WSUS1$) à s’authentifier vers la machine de l’attaquant via MS-EFSRPC. Relais NTLM : Ntlmrelayx (Impacket) relaie l’authentification NTLM vers le serveur MSSQL cible, établissant une session SQL en tant que compte machine WSUS. Accès à la base SUSDB : via un proxy SOCKS (proxychains) et un mssqlclient.py modifié, l’attaquant accède à la base SUSDB. Création de fausses mises à jour : NotWSUSpicious.py génère automatiquement les requêtes SQL nécessaires pour injecter une mise à jour malveillante (bundled update parent/enfant) dans WSUS, ciblant un groupe de machines ou un poste spécifique. 🛠️ Fonctionnement de NotWSUSpicious Génère deux GUIDs pour les mises à jour parent et enfant Calcule la taille, le hash SHA1 et le hash SHA256 du payload Injecte les métadonnées dans les procédures stockées WSUS (spImportUpdate, spSaveXmlFragment) Paramètres clés : URL d’hébergement du payload, nom de la mise à jour, chemin local, arguments CLI, groupe cible, machine cible 📦 Outils impliqués NotWSUSpicious (outil custom, Python 3.11) PetitPotam (coercition MS-EFSRPC) Ntlmrelayx / Impacket v0.13.0 (relais NTLM + proxy SOCKS) mssqlclient.py modifié (gestion des procédures stockées multi-résultats) proxychains (tunneling via SOCKS) 📌 Type d’article Il s’agit d’une publication de recherche offensive à vocation de red team et de tradecraft, dont le but principal est de documenter et faciliter l’exploitation des serveurs WSUS en environnement Active Directory d’entreprise. ...