Publication De Recherche

🔬 Source et contexte : Publication de recherche de l’équipe Unit 42 de Palo Alto Networks, datée du 3 août 2026, constituant la troisième partie d’une série sur la sécurité des passkeys. L’article analyse des attaques inédites contre l’écosystème de passkeys synchronisées de Google Password Manager sur Chrome/Windows avec TPM. ⚠️ Contexte général : Les passkeys remplacent les mots de passe par de la cryptographie à clé publique, éliminant les secrets partagés. Cependant, des failles dans les implémentations réelles permettent des prises de contrôle de comptes malgré ces protections. ...

📰 Contexte Article publié le 3 août 2026 par TechCrunch (Zack Whittaker), basé sur une recherche publiée par la société norvégienne de cybersécurité Mnemonic, conduite par Harrison Sand, consultant en sécurité offensive. 🔍 Découverte principale Plusieurs applications populaires disponibles sur le Samsung Smart TV App Store contiennent du code de proxy résidentiel (resproxy), fourni par la société israélienne Bright Data. Ces applications, dont certaines revendiquent des centaines de millions d’installations, incluent notamment un jeu Pac-Man mis en avant dans la section « Editor’s Choice » de Samsung. ...

📰 Source : WIRED | Date : 5 août 2026 | Contexte : Présentation à la conférence Black Hat Las Vegas Depuis 22 mois, Vangelis Stykas, chercheur en cybersécurité basé en Grèce et CTO de la société Kumio, a maintenu un accès non autorisé aux serveurs de commande et contrôle (C2) utilisés par des groupes de hackers nord-coréens. Il a présenté ses conclusions lors de la conférence Black Hat 2026 à Las Vegas. ...

🔍 Contexte Publié le 2 juillet 2023 sur le blog personnel de memn0ps (mis à jour en 2025), cet article présente RedLotus, un bootkit UEFI Windows expérimental écrit en Rust, développé à des fins de recherche et d’éducation en sécurité offensive. 🛠️ Description technique RedLotus (codename) est implémenté comme un UEFI_RUNTIME_DRIVER (redlotus.efi) qui s’exécute avant ntoskrnl.exe. Il contourne le Driver Signature Enforcement (DSE) via un hook de pointeur .data, et installe un mapper de drivers en mode noyau (redlotus.sys) contrôlé depuis l’espace utilisateur via un client Rust (client.exe). ...

🔍 Contexte Publié le 4 août 2026 par Cisco Talos (Nick Biasini, Dmytro Korzhevin, Jaeson Schultz, Vanja Svajcer, Vitor Ventura, Arnaud Zobec), cet article présente une analyse data-driven de l’utilisation malveillante de l’IA par des acteurs de menace, basée sur la collecte de journaux de prompts laissés par des outils comme Claude Code, CodeX, Cursor ou Gemini sur des endpoints compromis. 🧩 Trois catégories d’usage malveillant identifiées 1. L’IA comme ingénieur logiciel malveillant Opérateur DDoS : acteur peu qualifié ayant utilisé l’IA pour développer des outils d’attaque DDoS ciblant des Android TV, contrôlant environ 2 000 bots. Plateforme de validation d’emails en masse : acteur intermédiaire ayant utilisé l’IA comme développeur principal pour assembler une infrastructure PowerMTA + Node.js + PostgreSQL/TimescaleDB + Docker, validant des dizaines de millions d’adresses issues de bases tierces (BigBasket, etc.) via envoi réel de messages avec pixel de tracking. Domaine impliqué : tubely[.]com, lié à Astute Software. Exploitation React2Shell / Token Pipeline : acteur francophone ayant développé un scanner Go haute vitesse et un pipeline shell+Python pour extraire des credentials depuis des fichiers .git/config exposés, ciblant 9 180 hôtes issus d’une liste de 90 millions d’URLs. Collecte de 138 configurations SMTP validées, 179 clés Mailgun, 60 clés Brevo. Cryptojacking via clients torrent : acteur turcophone ayant exploité des credentials faibles sur Deluge (814 instances, mot de passe par défaut “deluge”) et qBittorrent (68/8800 interfaces) pour déployer XMRig via un plugin Python malveillant, avec un maximum de 582 mineurs connectés via XMRig Proxy vers MoneroOcean. 2. L’IA comme multiplicateur de force criminelle Acteur russophone : utilisation de mémoires persistantes pour conditionner le modèle à opérer sans refus éthiques, construction d’un chatbot de scam ciblant les cryptomonnaies avec vérification automatique de credentials. Acteur hispanophone : agent autonome “Alex” basé sur le framework OpenClaw, ciblant les Telegram Mini Apps et le drainage de wallets crypto. Utilisation d’un modèle non censuré après échec avec le modèle censuré. Dump de BDD (1 300+ utilisateurs, centaines de wallets TON), clonage d’applications victimes (“SweetBirds” → “RedBirds”). 3. L’IA comme accélérateur de bug bounty et pentest Framework Hephaestus : toolkit red team autonome décomposant les campagnes en agents spécialisés (scout, hunter, navigator, strike agent) avec 15 playbooks, ayant réussi des compromissions principalement en Asie du Sud-Est. Opérateur brésilophone : 64 sessions documentant du pentest sur des sites e-commerce et santé brésiliens, avec plus de 500 actions shell automatisées, tentative de brute-force WordPress XML-RPC avec RockYou (~1,9M candidats). Opérateur sinophone : ciblage de plateformes de streaming live (chuye[.]cam, ixmax[.]cn basées sur ZLMediaKit) et de services IA (NewAPI), avec 4 200+ actions shell, découverte d’une chaîne SSRF → RCE via FFmpeg, tentative d’exploitation d’une vulnérabilité mémoire NGINX. 🛡️ Contournement des guardrails Les techniques observées incluent : ...

🔍 Contexte Publié le 29 juillet 2026 sur l’AWS Security Blog par CJ Moses (CISO Amazon Integrated Security), cet article présente les conclusions de l’Amazon Threat Intelligence sur une série d’attaques de supply chain open source attribuées à un acteur lié à la Corée du Nord (DPRK). 🎯 Campagnes identifiées Amazon Threat Intelligence a relié plusieurs compromissions de packages NPM populaires au même acteur : Mars 2025 : compromission du package typo-crypto (campagne test à faible volume) Septembre 2025 : compromission des packages debug et chalk Mars 2026 : compromission du package axios (>100 millions de téléchargements hebdomadaires) Dans chaque cas, l’acteur a utilisé du social engineering pour compromettre un mainteneur de confiance, puis a publié une mise à jour contenant du code malveillant. ...

🔍 Contexte Publié le 10 juillet 2026 par Nebula Security sur leur blog de recherche, cet article présente une analyse technique approfondie de CVE-2026-10702, une vulnérabilité découverte par leur agent d’IA VEGA dans le compilateur JIT IonMonkey de SpiderMonkey, le moteur JavaScript de Firefox. 🐛 Nature de la vulnérabilité La vulnérabilité est une miscompilation JIT (Just-In-Time) résultant d’une modélisation incorrecte des effets de bord dans l’instruction MIR MObjectToIterator. Lorsque skipRegistration_ est activé (via le remplacement scalaire de Object.keys()), l’alias set est incorrectement défini comme un simple chargement (AliasSet::Load(ObjectFields | Element)), alors que l’instruction peut en réalité allouer un nouveau buffer de propriétés dynamiques. ...

🌐 Contexte Source : BleepingComputer, publié le 27 juillet 2026. Les chercheurs de QiAnXin XLab ont publié un rapport détaillé sur un nouveau botnet nommé Dysphoria, détecté pour la première fois le 25 mars 2026 et suivi activement depuis. 🦠 Description du botnet Dysphoria est issu de l’évolution des malwares jackskid et fbot, auxquels ont été ajoutés des mécanismes avancés de résilience. Le botnet compromet environ 200 000 appareils à travers le monde et est utilisé pour des attaques DDoS et des opérations de relais de trafic. ...

🗓️ Contexte : En juillet 2026, le think tank britannique Demos publie un rapport de recherche intitulé GEO for Geopolitics, produit par Carl Miller, Hannah Perry et Flynn Devine, avec le concours de CASM Technology. Ce rapport documente l’émergence d’une nouvelle menace pour la sécurité épistémique du Royaume-Uni : la manipulation des grands modèles de langage (LLMs) par des acteurs étatiques hostiles via des techniques de Generative Engine Optimisation (GEO) appliquées à des fins de guerre informationnelle. ...

🔍 Contexte Publié le 29 juillet 2026 par Aryon Security (chercheurs Ariel Litmanovich, Tom Tsabar, Ido Dar), cet article de recherche présente les résultats d’une investigation sur les mauvaises configurations éphémères de partage public de ressources AWS, baptisée « ShutterGap ». 🎯 Problème identifié Les outils CSPM (Cloud Security Posture Management) et CNAPP reposent sur des scans périodiques (souvent toutes les 24 heures). Or, des ressources AWS peuvent être partagées publiquement puis supprimées en quelques minutes, créant un angle mort structurel : ces expositions apparaissent et disparaissent entre deux cycles de scan. ...