Source: blog de Maxim Suhanov — Publication de recherche décrivant un artefact DFIR issu d’un bug du service Windows Event Logging (wevtsvc) qui réécrit de la mémoire non initialisée dans des fichiers EVTX après une purge. Le chercheur explique qu’un bug de sécurité mémoire (utilisation de mémoire non initialisée) dans le service de journalisation Windows peut entraîner, lorsqu’un journal EVTX rarement mis à jour est vidé, le remplissage de la zone ElfChnk par des restes de mémoire du service. Ces restes peuvent contenir des entrées récemment supprimées d’autres journaux, qui réapparaissent alors comme entrées « non allouées ». Dès que la première vraie entrée est écrite dans ce journal, la partie résiduelle est effacée, rendant le phénomène observable surtout sur des journaux peu actifs. ...

Selon le dépôt GitHub du projet Chronix, l’outil propose un espace de travail collaboratif auto‑hébergé destiné aux pentesters et opérateurs Red Team, pour capturer notes, commandes, sorties et contexte opérationnel tout au long des engagements. 🛠️ Fonctionnalités principales : journalisation chronologique (source, destination, outil, commande, sortie, résultat), notes collaboratives en Markdown avec auto‑sauvegarde et historique, synchronisation temps réel via WebSocket, filtres/recherche (par outil, cible, texte), exports CSV/Markdown (notes en .md ou archive .zip avec pièces jointes), et collage d’images (PNG/JPEG/GIF/WebP) directement dans les notes. ...

Source et contexte: Morphisec Threat Labs publie un bulletin d’alerte détaillant une compromission de la chaîne d’approvisionnement d’eScan (MicroWorld Technologies) identifiée le 20 janvier 2026, où des mises à jour légitimes ont distribué un malware multi‑étapes à l’échelle mondiale. • Chronologie: Le 20/01, un package de mise à jour malveillant est diffusé via l’infrastructure d’update d’eScan et Morphisec bloque l’activité chez ses clients. Le 21/01, Morphisec contacte eScan. eScan indique avoir détecté l’incident par supervision interne, isolé l’infrastructure affectée en 1 h et mis hors ligne le système de mises à jour global pendant plus de 8 h. Après l’incident, la plupart des clients Morphisec ont dû contacter proactivement eScan pour obtenir la remédiation. ...

Source: France 24 — Dans un contexte de tensions entre Copenhague et Washington au sujet du Groenland, le service de renseignement danois a mis en garde contre des vulnérabilités Bluetooth et conseillé aux autorités et à la police de désactiver cette fonctionnalité sur leurs appareils. Les inquiétudes se concentrent sur une vulnérabilité du mécanisme de ‘fast pair’ (association rapide) des appareils Bluetooth. Selon des experts cités, elle permet à un attaquant ou un espion de se connecter directement à des oreillettes 🎧 pour écouter des conversations en cours. Avec des casques plus avancés, il serait également possible d’allumer/éteindre un téléphone, passer/arrêter un appel, et dans certains cas récupérer l’historique d’appels et les contacts. ...

Selon Datadog (billet technique signé par la chercheuse Tesnim Hamdouni), un nouvel outil open source, IDE‑SHEPHERD, renforce la sécurité de VS Code et Cursor en surveillant et bloquant en temps réel des comportements malveillants d’extensions et de workspaces, une surface d’attaque trop peu couverte par les protections classiques. 🛡️ IDE‑SHEPHERD s’intègre au runtime Node.js de l’extension host via require‑in‑the‑middle pour patcher précocement des modules critiques (child_process, http, https). Il offre deux couches complémentaires: une défense à l’exécution (interception de l’exécution de processus, surveillance des connexions réseau, blocage de tâches VS Code dangereuses) et une détection heuristique (analyse des métadonnées d’extensions: versions suspectes, activation wildcard, commandes cachées, signes d’obfuscation). Il introduit un modèle de confiance affiné, évaluant le comportement de chaque extension et ne relayant pas automatiquement la « Workspace Trust » de l’IDE. ...

Source: Google Threat Intelligence Group (GTIG), 27 janvier 2026. GTIG décrit une exploitation active et étendue de CVE-2025-8088 dans WinRAR, utilisée comme vecteur d’accès initial et de persistance par des acteurs étatiques et financiers, avec des indicateurs de compromission fournis et un rappel du correctif disponible depuis fin juillet 2025. Vulnérabilité et chaîne d’exploitation: la CVE-2025-8088 est une faille de traversée de répertoires dans WinRAR exploitant les Alternate Data Streams (ADS). Des archives RAR piégées contiennent des documents leurres et des entrées ADS malveillantes; lors de l’ouverture avec une version vulnérable, le contenu caché est écrit à un emplacement arbitraire, souvent le dossier Startup de Windows pour la persistance (ex. via des fichiers LNK). L’exploitation a été observée dès le 18 juillet 2025 et RARLAB a corrigé via WinRAR 7.13 le 30 juillet 2025. 🔧 ...

Selon Positive Technologies (PT Cyber Analytics), ce rapport synthétise l’évolution technique et l’organisation économique des forums du dark web, en s’appuyant sur l’expertise interne, des rapports de vendees cybersécurité, des sources ouvertes (agences et forces de l’ordre) et des canaux Telegram de groupes criminels. 🔍 Le rapport décrit le passage des CMS prêts à l’emploi (phpBB, vBulletin, XenForo) à des plateformes sur mesure et hybrides, rendant l’analyse et la recherche de vulnérabilités plus difficiles. Il met en avant une architecture en couches (vitrines clearnet, miroirs, proxys) qui améliore la résilience face à la surveillance et aux blocages, et l’usage de mesures anti-bot (JavaScript challenges) et VPN limitant le scraping automatisé. L’OPSEC renforcée (accès multi-niveaux, contrôle communautaire, PGP, minimisation des logs) freine l’infiltration, déplaçant l’enquête vers l’analyse comportementale et des métadonnées. ...

Selon Cybermalveillance.gouv.fr (publication du 22/01/2026, mise à jour le 23/01/2026), des opérateurs de crypto‑actifs ont subi des fuites de données personnelles, avec une enquête préliminaire en cours visant la société WALTIO, diligentée par la section J3 du parquet de Paris et confiée à l’Unité nationale cyber de la Gendarmerie nationale (UNCyber). Cybermalveillance.gouv.fr indique recevoir de nombreux témoignages via 17Cyber faisant état de contacts par de faux employés d’opérateurs crypto ou de faux services anti‑fraude bancaires. À la manière des fraudes au faux conseiller bancaire, ces appels visent à manipuler les détenteurs de cryptomonnaies pour détourner leurs actifs vers des portefeuilles frauduleux. D’autres cas impliquent de faux représentants de l’ordre (policiers, gendarmes, douaniers, magistrats) cherchant des informations complémentaires ou des éléments sensibles (clés de récupération « seed », moyens de paiement, documents). Des menaces, agressions physiques, enlèvements et séquestrations ont été signalés en janvier 2026. ...

Source et contexte: ESET Research (WeLiveSecurity) publie une analyse le 28 janv. 2026 d’une campagne d’espionnage multicanale visant principalement des utilisateurs au Pakistan, combinant un spyware Android baptisé GhostChat, une attaque ClickFix sur Windows et une technique d’appairage de comptes WhatsApp. • GhostChat (Android/Spy.GhostChat.A) se présente comme une appli de chat/dating avec des profils féminins « verrouillés » nécessitant des codes d’accès. Ces identifiants et codes sont en réalité hardcodés et servent d’appât d’exclusivité. L’appli n’a jamais été sur Google Play et nécessite l’installation depuis des sources inconnues. Dès l’exécution (même avant connexion), elle réalise de la surveillance furtive et de l’exfiltration (ID de l’appareil, contacts au format .txt, fichiers locaux: images, PDF, documents Office/Open XML) vers un serveur C2. Elle implémente un content observer pour téléverser les nouvelles images, et un scan périodique (toutes les 5 minutes) des documents. Elle utilise des numéros WhatsApp +92 intégrés pour rediriger les victimes vers des conversations opérées par l’attaquant. Google Play Protect bloque les versions connues via l’ADA. ...

Selon TechCrunch (rubrique In Brief, 26 janvier 2026), Google a accepté de verser 68 millions de dollars pour régler une action collective l’accusant d’interception et enregistrement non autorisés de communications via Google Assistant, sans reconnaître de faute. Les plaignants soutenaient que des « faux déclenchements » (false accepts) amenaient l’assistant à s’activer sans mot d’activation, capturant des communications confidentielles qui auraient été transmises à des tiers pour des publicités ciblées et d’« autres usages ». 🎤 ...