Publication De Recherche

📰 Source : The Record (Recorded Future News) — Date : 24 juillet 2026 — Auteur : Joe Warminsky L’article s’appuie sur un rapport de la société de sécurité blockchain CertiK portant sur les attaques « wrench » (attaques physiques par coercition) visant les détenteurs de cryptomonnaies au premier semestre 2026. 📊 Chiffres clés : 52 attaques recensées dans le monde entre janvier et juin 2026, contre 39 sur la même période en 2025, soit une hausse de 33 % en glissement annuel 124 millions de dollars de pertes déclarées au premier semestre 2026, contre 10,5 millions sur la même période en 2025 CertiK précise que ces chiffres sous-estiment probablement la réalité (non-signalement, enquêtes en cours) 🔍 Définition et méthodes : CertiK définit les attaques wrench comme des incidents de coercition physique visant à contraindre une victime à transférer des actifs numériques, révéler des clés privées, déverrouiller un portefeuille ou divulguer des identifiants. Les catégories d’actes recensés incluent : ...

📄 Source : Proofpoint | Date : 21 juillet 2026 | Type : Rapport annuel basé sur une enquête auprès de 953 professionnels de la sécurité dans 12 pays (mars-avril 2026) Contexte général Proofpoint publie son rapport AI-Era Ransomware Report 2026, fondé sur les réponses de 803 organisations ayant subi un incident ransomware au cours des 12 derniers mois. Le rapport identifie trois évolutions structurelles : les cibles humaines, la monétisation via l’extorsion, et l’inadéquation des défenses existantes. ...

🔍 Contexte Le 22 juillet 2026, Qualys Threat Research Unit (TRU) publie un advisory détaillé sur CVE-2026-64600, baptisé RefluXFS, une vulnérabilité de type race condition dans le chemin copy-on-write (CoW) du système de fichiers XFS du noyau Linux. La découverte a été réalisée dans le cadre d’une collaboration entre Qualys et Anthropic, en intégrant le modèle Claude Mythos Preview dans le workflow d’audit manuel. ⚙️ Mécanisme technique La vulnérabilité se déclenche lorsque deux écritures O_DIRECT concurrentes ciblent le même fichier reflinké. XFS gère les écritures sur des blocs partagés via CoW : il alloue un nouveau bloc privé, remet en correspondance le fichier, puis décrémente le compteur de référence du bloc original. Pour éviter les deadlocks, le noyau relâche le verrou inode pendant l’attente d’espace dans le journal de transactions. Durant cette fenêtre, un second thread peut compléter son propre cycle CoW, remappant le fichier vers un nouveau bloc et faisant descendre le compteur de référence du bloc original à 1. ...

🔍 Contexte Publié le 9 juillet 2026 par Eurovision News Spotlight, cet article présente les résultats d’une investigation collaborative menée par des diffuseurs publics européens (ORF, RTVE, RFI, LRT, Swissinfo, BR24, France 24, Tagesschau, ZDFheute) portant sur 17,5 millions de commentaires collectés entre avril 2025 et mars 2026 sur Instagram et Facebook. 🎯 Réseaux identifiés Trois réseaux coordonnés distincts ont été identifiés autour du thème iranien : Réseau pro-Pahlavi / opposition iranienne : le plus volumineux, utilisant des hashtags partagés (#KingRezaPahlavi, #FreeIran, #IranRevolution2026, #DigitalBlackoutIran) et des textes quasi-identiques distribués via des canaux de messagerie. Un hashtag mal orthographié (#DigitalBlackoutlran avec un ’l’ minuscule à la place du ‘I’) a été retrouvé identiquement sur ORF, ZDFheute, France 24, LRT, Tagesschau et RTBF. Tagesschau a identifié une couche automatisée distincte au sein de ce réseau (posts publiés en quelques minutes contenant exactement ‘King Reza Pahlavi’). ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🔍 Contexte Article publié le 20 juillet 2026 sur LinkedIn par David Konitzny, chercheur GEO chez Peec AI. L’auteur documente une découverte réalisée lors de sessions de test personnelles portant sur le mécanisme de partage de conversations de la plateforme d’IA DeepSeek. 📌 Découverte principale Le chercheur a constaté que les liens de conversations partagées de DeepSeek (situés dans le répertoire /share/) sont indexés par Google. En utilisant l’opérateur site: dans Google, il a pu accéder à un nombre considérable d’URLs correspondant à des conversations partagées publiquement, sans que les utilisateurs en soient nécessairement conscients. ...

🔍 Contexte Publié le 23 juillet 2026 par HoneyLabs, cet article de recherche présente une méthodologie d’analyse de 30 millions de sondes honeypot visant à identifier des acteurs ayant sondé des chemins d’exploitation avant la publication officielle des CVE correspondants. 📡 Cas principal : CVE-2026-41940 (cPanel/WHM) Le 11 avril 2026, l’IP 85.122.114.177 (AS200019, Alexhost, Roumanie) a envoyé 16 requêtes vers /login/?login_only=1 sur le port 2087 (interface WHM de cPanel) sur une période de trois jours, puis est devenue silencieuse. Cette adresse n’a jamais requis aucun autre chemin sur aucun autre port. ...

🌐 Contexte Publié le 17 juillet 2026 par DomainTools (Security Snacks), cet article présente une analyse technique et CTI d’une campagne de fraude en ligne pluriannuelle baptisée “Mexican Cita Express” / “Cita Express SRE México”, ciblant des citoyens mexicains cherchant à obtenir des rendez-vous pour des documents gouvernementaux (passeport). 🎯 Mécanisme de la fraude La campagne exploite la pénurie de rendez-vous officiels auprès de la Secretaría de Relaciones Exteriores (SRE) mexicaine pour proposer un faux service d’accélération. Le schéma d’extorsion progressive fonctionne ainsi : ...

🔍 Contexte Publié le 20 juillet 2026 par Rapid7 (Anna Širokova & Jan Recinsky), cet article de recherche détaille la découverte d’une infrastructure de livraison de malware entièrement exposée, identifiée à partir d’une alerte MDR. L’investigation a révélé un serveur WebDAV fonctionnant comme un laboratoire QA opérationnel contenant plus de 1 048 fichiers. 🧪 Infrastructure exposée L’alerte initiale a été déclenchée par l’exécution d’un fichier via rundll32.exe davclnt.dll depuis un serveur WebDAV distant. L’analyse du répertoire ouvert a révélé : ...

📅 Source et contexte : Publié le 18 juillet 2026 sur GitHub (An0nUD4Y/Offensive-COM), ce dépôt constitue une base de connaissances technique générée par IA (Kimi K3 Swarms) sur la sécurité offensive de Windows COM (Component Object Model), destinée aux red teamers et chercheurs en sécurité. 📚 Contenu et structure : Le dépôt est organisé en 8 chapitres thématiques couvrant l’ensemble de la surface d’attaque COM : Fondamentaux COM : vtables, IUnknown/IDispatch, GUIDs, registre HKCR, activation, marshaling, appartements Mouvement latéral DCOM : MMC20.Application, ShellWindows, ShellBrowserWindow, Excel (DDE/RegisterXLL), Outlook + DotNetToJScript, mobsync Élévation de privilèges : famille Potato complète (RottenPotato → GodPotato/DCOMPotato), DiagHub, USO, CVE-2015-2370, Trapped COM objects (2025) Contournement UAC : fodhelper, eventvwr, sdclt, CMSTPLUA/ICMLuaUtil, IFileOperation, CVE-2019-1388, UACME Persistance : hijacking HKCU, TreatAs/TypeLib (Turla, APT28, ComRAT), Black Basta (2025), pass-through proxy DLLs Exécution et évasion : Squiblydoo, DotNetToJScript + AMSI, PPL injection, RemotePotato0, RemoteMonologue Detection Engineering : Sysmon/ETW, matrice de couverture par famille d’attaque Recherche zero-day : pipeline complet d’énumération, triage, RE statique, fuzzing NDR, weaponization, reporting MSRC/ZDI 🔧 Outils et frameworks référencés : impacket dcomexec, SharpMove, Cobalt Strike, OleViewDotNet, incendium.rocks. ...