Publication De Recherche

🔍 Contexte Publié le 30 juillet 2026 par Yarix Labs (équipe YCTI), cet article présente une analyse CTI multidimensionnelle d’un phénomène observé entre octobre 2025 et mars 2026 : une augmentation significative des publications de fuites de données alléguées ciblant des entités françaises sur des forums underground. 📊 Tendance quantitative Le volume de claims contre des cibles françaises a enregistré une hausse de +300% en Q1 2026 par rapport aux mois précédents (juillet–décembre 2025). Ce pic distingue nettement la France des autres grandes économies européennes comparées (Allemagne, Italie, Espagne). Le phénomène est quasi exclusivement limité à la catégorie Data Leakage dans l’écosystème cybercriminel underground ; les activités hacktivistes et ransomware n’ont pas connu d’augmentation comparable. ...

🔍 Contexte Publié le 28 juillet 2026 sur le blog En Klype Salt par Håkon Måløy, cet article constitue la troisième partie d’une série sur les attaques par injection de prompt dans Microsoft Copilot. Il fait l’objet d’une divulgation coordonnée avec Microsoft MSRC sur une période de 144 jours (étendue deux fois depuis le rapport initial du 6 mars 2026). La vulnérabilité reste exploitable à la date de publication, aucun correctif robuste n’étant disponible. ...

🔍 Contexte Publié le 29 juillet 2026 par Michael Katchinskiy sur lavahq.io, cet article de recherche documente une campagne de scan et d’analyse menée entre mai et juillet 2026 portant sur l’exposition Internet des interfaces de gestion de serveurs (BMC/IPMI). La recherche s’inscrit dans le cadre du programme FORGE de Lava, dédié à la sécurité des infrastructures de data centers et d’IA. 📊 Périmètre de l’exposition Le scan du 6 mai 2026 a révélé 36 872 hôtes exposant IPMI sur UDP/623 depuis l’Internet public. Entre mai et juillet 2026, environ 60 nouvelles adresses IP exposaient IPMI chaque jour. Parmi les endpoints testés : ...

🔍 Contexte Publié le 24 juillet 2026 par Black Lotus Labs (Lumen Technologies), cet article de recherche approfondie analyse l’écosystème mondial des proxies résidentiels malveillants, en s’appuyant sur la télémétrie du backbone IP global de Lumen et des années de suivi de botnets. 📊 Ampleur du phénomène Black Lotus Labs suit près de 20 millions d’IPs distinctes par jour réparties sur plus de 30 clusters de botnets malveillants. Plus de 20 de ces clusters dépassent régulièrement 100 000 victimes quotidiennes. Les appareils compromis incluent des routeurs IoT/SOHO, des appareils Android (via APKs backdoorés et SDKs malveillants) et des TV boxes Android. ...

📰 Source : Ransom-ISAC (ransom-isac.org), publié le 27 juillet 2026. Article de recherche documentant une méthodologie complète de collecte et d’analyse de renseignement sur les malwares utilisant l’API Telegram comme infrastructure C2. 🎯 Contexte L’API Telegram Bot est massivement exploitée par des auteurs de malwares comme canal d’exfiltration et de commande/contrôle (C2). Le principe : un token bot et un chat_id embarqués dans le binaire permettent d’envoyer les données volées directement dans un chat Telegram via api.telegram.org, sans infrastructure propre à gérer. Cette même exposition permet à un analyste de récupérer ces credentials et d’interroger l’API pour obtenir des renseignements sur l’opérateur. ...

🔍 Contexte Publié le 22 juillet 2026 par Guardio Labs (Shaked Biner), cet article détaille la découverte et l’exploitation d’une chaîne de vulnérabilités dans l’extension Chrome Adobe Acrobat (environ 329 millions d’installations), baptisée HermeticReader. 🎯 Nature de la vulnérabilité La chaîne d’exploitation repose sur trois failles composées permettant une exfiltration cross-origin de WhatsApp Web sans interaction utilisateur au-delà d’une simple visite de page : Faille 1 – Écriture non authentifiée dans le stockage de l’extension : les ressources web accessibles de l’extension (frame.html, searchWidget.html, etc.) peuvent être embarquées en iframe par n’importe quelle page. Le JSON passé en query string est relayé au service worker comme message interne de confiance, permettant d’écrire n’importe quelle clé dans chrome.storage.local. Faille 2 – Absence de vérification de l’expéditeur : le service worker ne vérifie jamais l’objet sender des messages entrants, permettant à tout message de passer pour interne. Faille 3 – Activation du moteur Hermes via feature flag : l’écriture de floodgate-add = "dc-cv-hermes" dans le stockage local active le moteur d’intégration WhatsApp (Hermes) de l’extension. ⚙️ Déroulement de la kill chain Activation de Hermes via écriture arbitraire dans le stockage de l’extension Récupération du Tab ID de la page attaquante via un bypass de vérification de domaine (startsWith("www.google.")) permettant de lire le tabId depuis le DOM Prédiction du Tab ID WhatsApp : ouverture de web.whatsapp.com via window.open(), le Tab ID étant TabId + 1 (compteur monotone de Chrome) Envoi de commandes Hermes au content script WhatsApp via le service worker, en forgeant le champ mimeHandled et tabId Exfiltration DOM : injection d’un formulaire POST dans le DOM WhatsApp, déplacement du <body> entier dans un <option> sans attribut value, puis soumission du formulaire vers un serveur attaquant — WhatsApp soumet lui-même son DOM rendu (chats, contacts, messages, profil) 📦 Données exfiltrées Liste de chats rendus Noms de contacts Aperçus de messages Nom de profil Texte de la conversation ouverte Potentiellement des codes OTP reçus via WhatsApp 🛠️ Réponse et correction Guardio Labs a transmis la chaîne complète à Adobe PSIRT. Adobe a accusé réception, trié, corrigé et déployé un patch en un seul week-end. Le CVE CVE-2026-48294 a été émis quelques jours après. La version vulnérable identifiée est v26.5.2.1 (publiée le 3 juin 2026). ...

🔬 Contexte Publié le 22 juillet 2026 par Juan Andrés Guerrero-Saade et Gabriel Bernadett-Shapiro (SentinelLABS), cet article présente un benchmark original conçu pour évaluer les capacités des modèles de langage frontier dans le cadre d’une investigation autonome de malware sur le long terme. 🧪 Le benchmark : fast16 comme cas d’étude Le benchmark s’appuie sur fast16, un implant Windows de sabotage datant de 2005, conçu pour altérer des solveurs haute précision utilisés dans la modélisation d’armes nucléaires. Ce malware présente une architecture en couches : ...

🔍 Contexte Publié le 21 juillet 2026 par la société FearsOff (Dubai, UAE) sur leur blog de recherche, cet article détaille la découverte et l’exploitation d’une vulnérabilité RCE critique dans FastJson 1.2.83, identifiée sous CVE-2026-16723. FastJson 1.2.83 était jusqu’ici considéré comme la version sûre de la branche 1.x, notamment parce qu’AutoType est désactivé par défaut. 🧩 Mécanisme de la vulnérabilité La vulnérabilité repose sur le comportement de la fonction checkAutoType dans FastJson 1.2.83 : ...

📅 Source et contexte : Le 16 juillet 2026, le Security Lab d’Amnesty International publie une analyse technique approfondie du spyware Pegasus développé par NSO Group. Cette analyse s’appuie sur des documents internes confidentiels de NSO Group divulgués dans le cadre du procès civil WhatsApp/Meta contre NSO Group devant un tribunal américain, ainsi que sur des investigations forensiques antérieures. 🏗️ Architecture et infrastructure : Pegasus est vendu comme une solution « end-to-end » aux gouvernements clients. NSO Group opère une infrastructure anonymisée dite « whitened » via un département dédié appelé « White Services », responsable de l’enregistrement anonyme de domaines, comptes email, serveurs et comptes WhatsApp/iCloud pour chaque client. Le réseau de livraison est appelé Pegasus Anonymizing Transmission Network (PATN). Les paiements de l’infrastructure sont effectués en cryptomonnaies. Un Network Operation Center (NOC) surveille en temps réel les systèmes clients. L’infrastructure est strictement cloisonnée par client. ...

🔍 Contexte Publié le 22 juillet 2026 par Dark Reading, cet article relaie une recherche publiée par Jscrambler portant sur le comportement de pixels de tracking intégrés dans les sites web d’institutions financières européennes et américaines. 📊 Constatations principales Jscrambler a documenté 14 cas impliquant des établissements financiers dont les sites web déclenchent des technologies de tracking transmettant des données personnelles à des tiers, parfois avant tout choix de consentement, parfois après refus explicite des cookies. ...