International

📰 Source : PCMag UK | Date : 8 avril 2026 | Contexte : Incident opérationnel affectant la chaîne de distribution logicielle de projets open-source critiques sous Windows. 🔍 Faits principaux Microsoft a suspendu sans préavis explicite les comptes développeurs utilisés par plusieurs projets logiciels open-source majeurs : VeraCrypt (chiffrement de disque) — développeur Mounir Idrassi WireGuard (protocole VPN) — créateur Jason Donenfeld, société Edge Security Windscribe (VPN commercial) Thermotron (fabricant de cartes PCIe) OSR Open Systems Resources (développement kernel Windows) ⚙️ Impact technique Un compte Microsoft Hardware Developer est requis pour certifier les drivers tiers sous Windows 10/11. Sans signature valide, le système d’exploitation bloque le chargement des drivers au niveau kernel. Les développeurs concernés ne peuvent plus : ...

🗓️ Contexte Article publié le 7 avril 2026 (mis à jour le 8 et 9 avril 2026) par BleepingComputer. L’article rapporte une campagne de vol de données ciblant des clients de la plateforme cloud Snowflake, initiée via la compromission d’un fournisseur tiers d’intégration SaaS. 🔓 Incident initial : compromission d’Anodot Le vecteur initial est une violation de sécurité chez Anodot, société d’analyse de données basée sur l’IA spécialisée dans la détection d’anomalies en temps réel, acquise par Glassbox en novembre 2025. Des tokens d’authentification ont été dérobés depuis les systèmes d’Anodot, permettant aux attaquants d’accéder aux environnements cloud des clients. ...

📰 Source : The Register | Date : 9 avril 2026 | Contexte : Annonce officielle de Zephyr Energy plc, société pétrolière et gazière cotée à Londres, opérant dans la région des Rocheuses américaines. 🎯 Nature de l’incident Une filiale américaine de Zephyr Energy a été victime d’une fraude au virement bancaire (Business Email Compromise ou attaque similaire), dans laquelle un paiement destiné à un sous-traitant a été redirigé vers un compte bancaire contrôlé par les attaquants. Le montant détourné s’élève à environ 700 000 £. ...

🍎 Contexte Le 2 octobre 2026, Apple a publié sur son portail développeur une annonce officielle concernant des modifications à venir de la permission Full Disk Access (FDA) dans macOS. Cette permission, initialement conçue pour permettre aux applications de sauvegarde de fonctionner correctement, contourne largement les mécanismes de protection des données privées d’Apple. ⚠️ Problème identifié Apple indique que certains développeurs utilisent la permission Full Disk Access de manière abusive, exposant potentiellement l’intégralité des données présentes sur les systèmes des utilisateurs, notamment : ...

🔍 Contexte Publié sur GitHub (ThomasPoppelgaard/netscaler-ctx697096-checker), cet outil est un script POSIX shell en lecture seule destiné à vérifier l’exposition et la compromission des appliances Citrix NetScaler ADC / NetScaler Gateway face aux bulletins de sécurité CTX697096 (CVE-2026-88771 à CVE-2026-88778) et CTX697174 (CVE-2026-88779). ⚠️ Vulnérabilités couvertes CVE-2026-88771 et CVE-2026-88772 : exploitées activement dans la nature, inscrites au CISA KEV catalog CVE-2026-88779 (CVSS 8.7) : attaque SAML par requêtes craftées crashant les NetScalers patchés depuis le 2 octobre, dans le cadre d’attaques ciblées Versions corrigées pour CVE-2026-88779 : 14.1-73.41, 13.1-64.28, 14.1-73.41 FIPS, 13.1-37.282 FIPS/NDcPP Les appliances déjà patchées pour CTX697096 doivent être mises à jour une seconde fois 🛠️ Fonctionnalités du checker (v1.12) Vérification du build vs versions corrigées, détection des releases en fin de vie Analyse des préconditions de configuration pour chaque CVE (partitions admin incluses) Détection de problèmes potentiels lors de la mise à jour Avec --ioc : sweep complet des indicateurs de compromission publiés par Mandiant/GTIG, Unit 42, Arctic Wolf, watchTowr, CERT-EU, GreyNoise, Beazley Security, Elastic, PitScaler.com, etc. 🚨 IoCs et artefacts de compromission recherchés Webshells : .ctxs.receiver, LogonPoint/.local_journal, nsg64.deb, nsgclient18.deb, code PHP obfusqué Implants : nsmon.pl (Perl), agent Platypus (TENEX), SLAPSHOT (slapshot.py, whipd.py), WHIPSHOT Fichiers suspects : /.x, /s, lula, /var/1.py, update_c*.pl, themes/wt88771*, /var/tmp/.s, x.sh Backdoor : compte sec_monitor, EPA default group NO_AUTH, nsmon.pl en cron Réseau : 99 IPs attaquantes connues, domaines echvista.com, entretiensol.com, white-guard.pro, gsocket.io, pylrk.cc, oast.fun, dnsl.cc, gs.thc.org, webhook.site, dnshook.site Techniques d’injection : fake pitboss messages, ${IFS}, backticks, base64 en User-Agent, commandes FreeBSD fetch CVE-2019-19781 (NOTROBIN) : artefacts legacy également détectés 📋 Type d’article Il s’agit d’une publication d’outil open-source accompagnée d’une analyse technique détaillée des vulnérabilités, des techniques d’exploitation et des indicateurs de compromission associés aux CVE-2026-88771 à CVE-2026-88779 sur Citrix NetScaler. ...

🔍 Contexte Publié sur GitHub (x86byte/adm-zip_LPE-PoC), cet article est un advisory de sécurité accompagné d’un PoC fonctionnel pour la vulnérabilité CVE-2026-102282 affectant adm-zip, une bibliothèque JavaScript pure pour Node.js comptant plus de 20 millions de téléchargements hebdomadaires sur npm. 🐛 Description de la vulnérabilité La bibliothèque adm-zip supporte une option keepOriginalPermission permettant de restaurer les permissions POSIX enregistrées dans une archive ZIP. Dans les versions >= 0.5.10 et <= 0.6.0, le masque binaire utilisé dans headers/entryHeader.js était 0xfff (12 bits), préservant non seulement les permissions standard (0o777) mais aussi les bits spéciaux : ...

🔍 Contexte Publié le 02/10/2026 sur GitHub par Michalis Michalos (cyb3rmik3), ce dépôt open source met à disposition un jeu de test structuré destiné à évaluer la résistance des passerelles de sécurité email et des assistants IA face aux attaques par injection de prompt indirecte. 🎯 Objectif et structure du jeu de test Le jeu comprend 10 fichiers .eml organisés en matrice croisant 3 intentions d’attaque et 3 méthodes de livraison, plus un email bénin de contrôle : ...

🧩 Contexte Publié sur GitHub (https://github.com/g13net/lockjaw), cet article est la documentation officielle de Lockjaw v0.2.15, un framework de command-and-control (C2) open source à destination des équipes red team et des simulations adversariales. Le projet est en phase alpha et n’a pas encore fait l’objet d’une revue de code complète. 🏗️ Architecture Lockjaw repose sur une architecture multi-composants : Teamserver : écrit en Rust (Tokio/Axum/Rustls), gère les checkins agents, la distribution de tâches, les listeners et la persistance via SQLite. Intègre un pipeline de cross-compilation à la demande via Zig. Implant : écrit en Zig, ciblant x86_64-windows, sans dépendance externe au C-runtime. Stagers : assembleur x64 position-independent (PIC) et cradles PowerShell. Operator CLI : interface TUI asynchrone en Python 3 (prompt_toolkit). 🛡️ Techniques d’évasion Indirect Syscalls (Hell’s Gate + Halo’s Gate) : extraction des SSNs depuis ntdll.dll en mémoire via hachage DJB2, avec scanning des voisins pour récupérer les syscalls hookés. Ghost AMSI Bypass : neutralisation d’AMSI via Hardware Breakpoints (DR0/DR7) et Vectored Exception Handling, sans modification de la mémoire .text. IAT-Clean & Dynamic API Resolution : zéro import statique pour les APIs sensibles, résolution dynamique via parcours du PEB et hachage DJB2. Communications chiffrées RC4 : chiffrement symétrique de toutes les communications agent-teamserver. Self-Destruct : suppression du binaire via commande détachée asynchrone. 💉 Injection de processus Reflective Manual Mapping (migrate <pid> reflective) : mapping PE dans un processus distant via sections mémoire partagées (NtCreateSection + NtMapViewOfSection), sans NtAllocateVirtualMemory/NtWriteVirtualMemory. PoolParty Injection (migrate <pid> reflective_poolstomp) : exploitation des worker factories de thread pool (TpWorkerFactory) via NtSetInformationWorkerFactory, sans création de thread distant (contourne Sysmon Event ID 8). 📡 Transports HTTP/HTTPS : listener Axum/Rustls avec support du domain fronting via header Host personnalisé. DNS Tunneling : tunneling DNS covert via requêtes TXT autoritatives, payload encodé en Base32 + RC4 dans les sous-domaines. 🔧 Post-exploitation Exécution de Beacon Object Files (BOF) AMD64 en mémoire avec loader COFF intégré. Commandes de reconnaissance : ps, whoami, ipconfig, sc_enum, sc_query, pid. Gestion de fichiers : ls, cat, rm, upload, download. Exécution shell via cmd.exe /c sans fenêtre. 📌 Type d’article Il s’agit d’une publication de nouveaux outils offensifs open source, dont le but principal est de documenter les capacités et l’utilisation du framework C2 Lockjaw pour des opérations red team. ...

🛡️ Contexte Publié sur GitHub (https://github.com/NuGuardAI/nuguard), NuGuard est un toolkit open source de sécurité pour applications IA développé par NuGuardAI. Il cible les équipes de sécurité et d’ingénierie souhaitant évaluer la posture de sécurité de leurs agents et applications IA avant qu’un attaquant ne le fasse. 🔧 Fonctionnalités principales NuGuard couvre cinq étapes d’analyse : AI-SBOM (Software Bill of Materials) : génération d’un inventaire structuré de la pile IA (frameworks, SDKs, MCP servers, prompts, outils, guardrails, endpoints) Cognitive Policy : analyse des politiques comportementales de l’agent Static Analysis : analyse statique des risques structurels dans la pile IA et l’infrastructure logicielle Behavior : analyse comportementale sur une instance en sandbox Red-Team automatisé : catalogue de 100+ scénarios adversariaux couvrant l’injection de prompt, l’abus d’outils, l’exfiltration de données, etc. 🎯 Couverture technique Le toolkit supporte : ...

🛠️ Contexte Publié le 01/10/2026 sur GitHub (dtonon/outis), cet article présente Outis, un outil open source écrit en Go conçu pour lutter contre le spam, notamment les emails automatisés générés par IA. ⚙️ Fonctionnement technique Outis génère un faux message de rebond (bounce) conforme à la RFC 3464 (Delivery Status Notification) imitant le comportement de Postfix : Format multipart/report avec partie lisible, partie message/delivery-status (statut 5.1.1) et message original attaché en message/rfc822 Envoyé à l’adresse Return-Path originale depuis MAILER-DAEMON@<votre domaine> Utilise un null envelope sender si le serveur SMTP le permet L’objectif est de convaincre l’expéditeur que l’adresse de destination n’existe pas, afin d’être retiré de leurs listes d’envoi. ...