Publication De Recherche

📄 Source et contexte : Article de recherche présenté au 35e USENIX Security Symposium (12-14 août 2026, Baltimore), par des chercheurs de l’Université de Birmingham et de l’Université de Durham. Microsoft a assigné CVE-2026-23670 et publié un patch partiel en avril 2026. 🔬 Technique centrale : L’attaque Download More RAM est la première attaque d’aliasing mémoire réalisée uniquement par logiciel, sans accès physique à la machine. Elle repose sur la réécriture du contenu SPD EEPROM des barrettes RAM via le bus SMBus/I2C, en incrémentant les bits d’adressage de rangées (row address bits), ce qui amène le DIMM à déclarer deux fois sa capacité réelle. Les adresses supérieures deviennent alors des alias des adresses inférieures. ...

📅 Source : Infoblox Threat Intelligence, publié le 13 août 2026. Il s’agit de la troisième partie d’une série de blogs sur la pratique du dropcatch de domaines malveillants. 🎯 Contexte général Chaque année, des dizaines de milliers de sites web sont compromis par des acteurs comme SocGholish ou ClearFake, qui y insèrent des scripts contactant des domaines contrôlés par l’attaquant. Lorsque ces domaines expirent, les requêtes continuent d’affluer sans réponse. Trois acteurs identifiés exploitent cette opportunité en rachetant ces domaines expirés (dropcatch) pour hériter du trafic victime et le rediriger vers leurs propres arnaques ou malwares, sans compromettre eux-mêmes les sites. ...

🧠 Contexte Publié le 14 août 2026 sur le blog de Z.ai, cet article présente GLM-5.3, un grand modèle de langage (LLM) développé par Z.ai, construit sur la même base que GLM-5.2 mais avec un post-entraînement significativement étendu via reinforcement learning à grande échelle. 🔬 Capacités cyber émergentes Lors du scaling du post-entraînement, Z.ai a observé une émergence non anticipée de capacités offensives en cybersécurité. GLM-5.3 ne se contente pas d’identifier des vulnérabilités isolées : il est capable de raisonner sur des chaînes d’exploitation complètes (multi-stage exploitation chains). ...

🔍 Contexte Publié le 16/08/2026 sur goonhost.rocks, cet article présente une implémentation complète et open source du protocole IPv8 (Internet-Draft draft-thain-ipv8-02), réalisée par l’équipe de recherche de goonhost.rocks. L’objectif était de tester concrètement les promesses du draft IETF dans un environnement distribué multi-AS. 🛠️ Ce qui a été implémenté L’implémentation couvre l’intégralité de la pile IPv8, du ring-0 jusqu’aux applications user-space : Linux Kernel 6.6 : nouvelle famille d’adresses AF_INET8 (address family 46), support SOCK_STREAM, SOCK_DGRAM, SOCK_RAW, parsing d’en-tête 28 octets, tables de routage 64 bits Musl Libc : ajout de sockaddr_in8, inet_pton8, inet_ntop8, getaddrinfo(), getnameinfo() iproute2 : commandes ip -8 route et ip -8 addr FRRouting (FRR) : démon BGP8 avec extensions multi-protocoles (AFI/SAFI) Zone Server en Go : implémentation des 10 sous-protocoles RFC (DHCP8, DNS8, SNTP, NetLog8, OAuth8 JWT, WHOIS8, ACL8, XLATE8 NAT) Nginx & cURL : support HTTP sur endpoints IPv8 64 bits Banc de test QEMU 10 nœuds : 4 AS (64496, 64497, 64498, 64499), 112 000+ routes FIB actives ✅ Résultats positifs (environnement isolé) Requêtes HTTP inter-AS fonctionnelles (curl -i http://64497.20.0.0.254/ → HTTP/1.1 200 OK) DHCP8 opérationnel avec double passerelle et synchronisation NTP8 en 2,27 ms Lookup de 112 117 routes actives avec latence sub-milliseconde ⚠️ Problèmes identifiés en conditions réelles PMTUD & MSS Blackholing : l’en-tête IPv8 de 28 octets (vs 20 pour IPv4) provoque des paquets de 1508 octets sur MTU 1500, causant des blocages silencieux de handshakes TLS Multi-homing & uRPF (BCP 38) : l’adresse IP étant liée à l’ASN primaire, le trafic sortant via un transit secondaire est silencieusement rejeté comme spoofé ASICs de commutation legacy : les puces Broadcom Tomahawk/Trident et Cisco Silicon One ne reconnaissent pas l’EtherType 0x88B8, forçant un punt CPU et réduisant le débit de 400 Gbps à <10 Gbps Zone Server monolithique : la concentration de DHCP, DNS, NTP, OAuth2 et NAT en un seul service crée une cible DDoS critique (attaque par réflexion UDP sur port 8080/53) 💥 Impacts économiques catastrophiques identifiés Effondrement financier des RIRs (ARIN, RIPE, APNIC) : 1 ASN = 4,3 milliards d’IPs, décorrélant volume d’adresses et revenus (-75% à -90%) Spéculation sur les ASNs 32 bits : ruée prévisible des squatteurs et spammeurs Explosion de la table BGP DFZ : de 1,15M à 3–5M+ routes actives, nécessitant des milliards de remplacement de linecards Destruction des revenus de transit Tier-1 : le mandat RINE (100.0.0.0/8) impose un peering régional gratuit 📄 Type d’article Il s’agit d’une publication de recherche technique open source, visant à évaluer empiriquement la faisabilité et les implications d’un draft IETF expérimental via une implémentation complète en conditions de laboratoire. ...

🔍 Contexte Publié en août 2026 sur GitHub par Angelo Frasca Caccia (lem0nSec_) et Alejandro Pinna, SgrmFault est un Proof-of-Concept (PoC) d’exploitation Windows présenté aux conférences REcon 2026 et DEF CON 34. ⚙️ Mécanisme technique La chaîne d’exploitation repose sur deux composants Windows légitimes : WerFaultSecure.exe : utilisé pour une technique d’injection de code basée sur COM (revivifiée), permettant l’exécution de shellcode dans un contexte privilégié. SgrmAgent.sys (driver Microsoft System Guard Runtime Monitor) : expose une primitive de tampering de processus via APC (Asynchronous Procedure Call). La chaîne complète permet d’altérer des processus protégés (ex: MsMpEng.exe, processus PPL) depuis un contexte non-privilégié disposant de SeDebugPrivilege. ...

📄 Contexte : Article de recherche académique publié sur arXiv (juillet 2026) par des chercheurs d’ETH Zurich, Anthropic, University of Haifa, Technische Universität Berlin et Tel Aviv University. L’étude évalue la capacité des grands modèles de langage (LLMs) à effectuer de la cryptanalyse sur des primitives cryptographiques réelles. 🔬 CryptanalysisBench : Le benchmark comprend 191 tâches réparties sur six familles de primitives cryptographiques (chiffrements par blocs, fonctions de hachage, AEAD, KEM, PKE, signatures numériques), issues principalement de quatre compétitions de standardisation NIST (AES, SHA-3, LWC, PQC). Il est structuré en trois niveaux : ...

🔍 Contexte Publié le 11 août 2026 sur vulone.com, cet article présente une analyse d’attribution OSINT concernant un individu opérant sous plusieurs pseudonymes sur des forums cybercriminels, et son lien avec le groupe ransomware REvil. 👤 Attribution et corrélation des personas L’enquête établit qu’un seul individu a utilisé trois comptes de forum depuis les mêmes deux adresses IP, aux mêmes horaires, pendant trois mois consécutifs. L’un de ces comptes est celui d’un modérateur du forum exploit.in. ...

🔍 Contexte Publié le 11 août 2026 par Check Point Research, cet article documente une nouvelle vague de la campagne Operation Dream Job, attribuée au groupe nord-coréen Lazarus, ciblant les secteurs de la défense, de l’aérospatiale et de l’aviation en Europe, Asie et Amérique du Sud. 🎯 Vecteur d’infection Les attaquants usurpent l’identité de recruteurs sur LinkedIn et via des applications de messagerie directe, proposant de fausses offres d’emploi auprès d’entreprises reconnues (ex : Lockheed Martin). Deux chaînes d’infection parallèles ont été identifiées : ...

🔍 Contexte Publié le 10 août 2026 par Hunt.io, cet article de recherche présente les résultats d’une investigation déclenchée par la découverte d’un répertoire ouvert sur le serveur 89.208.97[.]165:8888, hébergé par Aeza Group LLC (AS210644), un hébergeur bulletproof russe sanctionné par l’OFAC en juillet 2025. La découverte a été signalée au CERT-UA le 30 juillet 2026. 🎯 Vecteurs d’accès initiaux et infrastructure L’opérateur a compromis un site e-commerce ukrainien sous OpenCart via : ...

🔍 Contexte Publié le 12 août 2026 sur le blog d’A Security (https://a.security/blog/asecurity-zoomsday), cet article de recherche offensive détaille la découverte de trois vulnérabilités critiques dans Zoom, plateforme utilisée par 70% du Fortune 100. La recherche a été conduite par Idan Levcovich, Senior Vulnerability Researcher, assisté d’un agent IA utilisant des modèles publics. 🎯 Vulnérabilités identifiées Trois CVE ont été attribuées : CVE-2026-53413 : Stack buffer overflow dans CAnnoFormatBlock::Deserialize — un compteur 32 bits fourni par l’attaquant contrôle une copie dans un buffer fixe de 128 octets sans vérification de borne, permettant d’écraser la pile jusqu’à l’adresse de retour. CVE-2026-53414 : Heap over-read dans le buffer de glyphes — allocation basée sur un compteur attaquant avec un corps court, exposant des pointeurs vtable et des adresses de modules en mémoire (primitif de fuite ASLR). CVE-2026-53415 : Write-what-where dans le handler du type de message 75 (CAnnoObjAutoMetaShape) — des pointeurs de liste chaînée fournis par l’attaquant sont utilisés sans validation lors du déchainement, offrant un primitif d’écriture arbitraire. ⚙️ Mécanisme d’exploitation La surface d’attaque réside dans libannotate.so, bibliothèque partagée compilée identiquement pour Windows, macOS, iOS, Android et Linux. Le protocole d’annotation propriétaire de Zoom transmet des PDU (CAnnoPduAddObj) via le routeur MMR, avec un canal direct entre chaque participant et le partageur d’écran. L’absence de vérification du rôle de l’émetteur dans CAnnoPduFactory::create permet à un attaquant d’envoyer un opcode AddObj (0x10001) là où un AddObjAck (0x10002) est attendu, déclenchant la désérialisation complète côté victime. ...