Publication De Recherche

Dans une publication de recherche, l’auteur explore et étend la technique d’obfuscation par caractères Unicode invisibles popularisée par GlassWorm, en l’appliquant à de nouveaux contextes comme les lignes de commande et les journaux de sécurité, avec POC, simulations et détection. L’étude part d’observations sur des « faux » répertoires Windows utilisant des espaces intégrés, puis se penche sur GlassWorm, qui dissimule des charges utiles dans le code via des caractères Unicode ressemblant à des espaces. L’auteur élargit l’inventaire des caractères invisibles/près-invisibles, teste leur rendu dans PowerShell et les journaux Windows Defender, et constate que certains restent totalement invisibles en télémétrie, compliquant la détection. ...

Selon une publication de recherche de Mario Candela, une campagne baptisée « PCPcat » cible des déploiements Next.js/React en exploitant les vulnérabilités CVE-2025-29927 et CVE-2025-66478 pour obtenir une exécution de code à distance, voler des identifiants et installer une infrastructure C2 persistante. Résumé opérationnel ️: la campagne combine scans massifs, exploitation RCE Next.js, exfiltration d’identifiants (.env, clés SSH, AWS, Docker, Git, historiques bash, etc.) et déploiement de proxies/tunnels (GOST, FRP) via un installeur (proxy.sh). Un accès non authentifié à l’API C2 a exposé des métriques en temps réel : 59 128 serveurs compromis sur 91 505 IPs scannées (succès 64,6 %) et des lots de 2 000 cibles par requête. ...

Source: “The Art of Pivoting - Techniques for Intelligence Analysts to Discover New Relationships in a Complex World” (document ouvert). Ce livre expose comment les analystes en renseignement et cybersécurité peuvent découvrir des liens cachés entre l’infrastructure d’acteurs menaçants et des enquêtes en cours, en pivotant sur des indicateurs classiques et non conventionnels. L’objectif est de fournir une boîte à outils pratique d’approches analytiques, illustrées par des exemples concrets, pour enrichir les workflows d’enquête sans imposer un modèle rigide. Le livre encourage l’exploration créative, le raisonnement fondé sur les données et l’usage de points de données variés — des IOCs traditionnels aux traces de métadonnées subtiles — dans un processus flexible et reproductible. ...

Selon RSF Digital Security Lab (Reporters sans frontières), en collaboration avec RESIDENT.NGO et avec un appui d’Amnesty International Security Lab, un nouveau spyware Android nommé « ResidentBat » a été mis au jour après l’infection du téléphone d’un journaliste biélorusse au T3 2025, consécutive à une saisie par le KGB. • Le spyware, empaqueté en APK et installé via accès physique (pas d’exploits), abuse de permissions étendues et d’un service d’accessibilité pour collecter des SMS, appels entrants/sortants (avec enregistrement d’appels), fichiers, photos/vidéos, microphone, captures d’écran/vidéo (MediaProjection), presse-papiers (jusqu’à Android 10), localisation, notifications et contenus d’apps (messageries comme Telegram, Viber, Skype, VK, Signal, WhatsApp, etc.). Il se déclare Device Admin, peut verrouiller ou effacer l’appareil, et persiste en service au premier plan. ...

Source : Kaspersky (Security technologies, 11 décembre 2025). Contexte : l’article analyse comment identifier le framework de post‑exploitation open source Mythic dans le trafic réseau, alors que ces outils (Mythic, Sliver, Havoc, Adaptix C2) sont de plus en plus utilisés par des acteurs malveillants, dont Mythic Likho (Arcane Wolf) et GOFFEE (Paper Werewolf). Le focus porte sur la tactique MITRE ATT&CK Command and Control (TA0011) et la détection NDR/IDS. • Aperçu du framework et des canaux C2. Mythic multiplie agents (Go, Python, C#) et transports (HTTP/S, WebSocket, TCP, SMB, DNS, MQTT). Deux architectures sont décrites : P2P entre agents via SMB/TCP, ou communication directe vers le serveur C2 via HTTP/S, WebSocket, MQTT ou DNS. Les agents priorisent l’évasion EDR, mais restent détectables via l’analyse réseau. ...

Selon une publication de recherche de Koi (blog Koi.ai) datée du 16 décembre 2025, des extensions populaires marquées comme mises en avant sur les stores Chrome et Edge interceptent et exfiltrent des conversations d’IA à grande échelle. 🔍 Découverte et portée Koi, via son moteur de risque Wings, a identifié Urban VPN Proxy (plus de 6 M d’utilisateurs, badge Featured) comme collectant par défaut les conversations sur plusieurs plateformes d’IA, dont ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok (xAI), Meta AI. La même logique de collecte apparaît dans sept autres extensions du même éditeur, totalisant plus de 8 millions d’utilisateurs. ...

Selon Check Point Research, cette publication détaille les opérations d’« Ink Dragon » (chevauchement avec Earth Alux, Jewelbug, REF7707, CL-STA-0049), un cluster APT évalué comme aligné PRC, actif depuis au moins 2023 contre des entités gouvernementales, télécom et secteur public, d’abord en Asie du Sud-Est et Amérique du Sud, avec une expansion récente en Europe. Le rapport met en avant l’usage d’un module ShadowPad pour IIS qui transforme les victimes en nœuds de relais C2, ainsi qu’un nouvel échantillon de FinalDraft plus furtif. ...

Selon une publication de recherche d’Infoblox datée du 16 décembre 2025 et reprise par le journaliste spécialisé Brian Krebs, la navigation directe vers des domaines expirés, parkés ou typosquattés expose désormais majoritairement les internautes à des redirections malveillantes. 🚨 Constat clé: alors qu’en 2014 les redirections malveillantes sur domaines parkés étaient observées dans <5 % des cas, Infoblox relève qu’en 2025 plus de 90 % des visites mènent à du contenu illégal, arnaques, scareware/abonnements antivirus, ou malwares. Les parkings vendent les « clics » à des réseaux publicitaires qui les revendent souvent, jusqu’à un annonceur final sans lien direct avec le parking. ...

Source: Kaspersky ICS CERT — Contexte: publication de recherche (16 déc. 2025) décrivant l’évaluation de sécurité du SoC Unisoc UIS7862A intégré aux head units de véhicules chinois et à divers appareils mobiles. Les chercheurs ont identifié plusieurs vulnérabilités critiques dans la pile protocolaire cellulaire du modem intégré. L’article se concentre sur une vulnérabilité de type dépassement de pile dans l’implémentation 3G RLC en mode UM, référencée CVE-2024-39432, permettant une exécution de code à distance (RCE) dès les premières étapes de connexion, avant l’activation des mécanismes de protection. Une section distincte mentionne également CVE-2024-39431 liée à l’accès distant au modem. ...

Dans un billet de blog daté du 10 décembre 2025, Simcha Kosman décrit une méthode qui combine analyse statique CodeQL et raisonnement LLM afin de réduire drastiquement les faux positifs et de concentrer les équipes sur des failles réellement exploitables. L’auteur introduit l’outil Vulnhalla, conçu pour laisser passer uniquement les « vrais » problèmes. En moins de 48 h et pour moins de 80 $, l’approche a permis d’identifier des vulnérabilités publiées sous les identifiants CVE-2025-38676 (Linux Kernel), CVE-2025-0518 (FFmpeg), CVE-2025-27151 (Redis), CVE-2025-8854 (Bullet3), CVE-2025-9136 (RetroArch), CVE-2025-9809 (Libretro) et CVE-2025-9810 (Linenoise), avec divulgation responsable préalable aux éditeurs. ...