International

🔍 Contexte Publié le 01/10/2026 sur GitHub (github.com/St0rn/SigLens), cet article présente SigLens, un toolkit de sécurité local Windows développé par St0rn / CybersecurIT, destiné au triage d’artefacts, au diagnostic de signatures, à l’investigation de faux positifs et aux workflows Red Team / detection engineering. 🛠️ Fonctionnalités principales SigLens orchestre plusieurs capacités d’analyse sans modifier l’artefact analysé : Analyse statique PE : hashes, entropie, sections, imports/exports, ressources, overlay, strings ASCII/UTF-16LE Corrélation YARA : offsets natifs YARA corrélés aux sections PE, RVA, VA et symboles PDB/source Scan multi-moteurs AV : Microsoft Defender, ClamAV, ESET Endpoint Security, Sophos, Avast Business, Malwarebytes, et scanners CLI génériques via engines.json AMSI full-buffer : soumission du buffer complet via AmsiScanBuffer sans découpage ni obfuscation Analyse structurelle de scripts : PowerShell (AST natif), JavaScript, VBScript, WSF avec cartographie des fonctions et blocs Prefix-based AV detection-boundary narrowing : bornage reproductible de la transition CLEAN -> DETECTED par scans de préfixes progressifs Extraction d’IOCs : URLs, IPv4, domaines, chemins Windows depuis le contenu imprimable Intégration capa : embedding des résultats de capa dans le rapport Rapports JSON et HTML ⚙️ Architecture technique L’outil fonctionne sous Windows 10/11 ou Windows Server, nécessite PowerShell 5.1+ et Python 3.11+ pour l’exécution en mode source. Un exécutable standalone SigLens.exe est générable via Build.ps1. La configuration des moteurs AV tiers s’effectue via un fichier engines.json avec des adaptateurs CLI paramétrables. ...

🔍 Contexte Publié sur GitHub (sims718718/UnifiedThreatHunting), cet article présente un Unified Threat Hunting Process développé par un Lead Threat Hunter pour construire un programme de threat hunting structuré et reproductible à partir de zéro. 🏗️ Structure du processus Le processus se décompose en 9 étapes séquentielles : Step 0 : Environment Context (profil SIEM, EDR, type d’environnement, vertical métier, rétention des logs) Step 1 : Triggering Event (CTI, incidents passés, red teaming, TTPs MITRE, exigences métier) Step 2 : Hypothesis Development (hypothèse SMART, méthode des hypothèses concurrentes de Heuer) Step 3 : Initial Assessment (sources internes/externes, couverture de détection existante) Step 4 : Feasibility Assessment (décision GO / NO-GO / CONDITIONAL) Step 5 : Define Scope & Objectives Step 6 : Formalize Hunt Plan (Epics/Stories/Tasks dans Jira) Step 7 : Execute Hunt Step 8 : Document Outcomes & Report & Iterate 📚 Frameworks sources Le processus est une synthèse explicite de : ...

🔍 Contexte Publié le 2 octobre 2026 sur Dark Reading par Nate Nelson, cet article relaie un rapport exclusif de Bay Area Labs (fondé par James Arnott) concernant une vulnérabilité critique découverte dans SConnect, un middleware d’authentification matérielle édité par le groupe Thales. 🎯 Produit concerné SConnect est une extension de navigateur (Chrome, Edge, App Store Apple) comptant plus d’1 million d’utilisateurs. Elle est utilisée pour l’authentification à : Le système bancaire mondial SWIFT (via les tokens USB 3SKey) Le portail d’identité nationale du Qatar (Tawtheeq) L’agence fiscale suédoise Skatteverket Divers portails bancaires et d’assurance 🐛 Détail technique de la vulnérabilité La vulnérabilité CVE-2026-18397 (CVSS 4.0 : 9.4/10 – critique) repose sur deux failles combinées : ...

🏛️ Contexte Le UK National Cyber Security Centre (NCSC) a publié le 7 avril 2026 une alerte détaillant les tactiques, techniques et procédures (TTPs) associées aux opérations de détournement DNS menées par APT28, acteur étatique russe identifié comme l’Unité militaire 26165 du GRU (85e Centre principal de service spécial, GTsSS). 🎯 Nature de l’attaque Depuis 2024 et jusqu’en 2026, APT28 exploite des routeurs SOHO vulnérables pour modifier les paramètres DHCP/DNS et rediriger le trafic vers des serveurs DNS malveillants contrôlés par l’acteur. Cette technique permet des attaques de type adversary-in-the-middle (AitM) visant à collecter : ...

🔍 Contexte Le 7 avril 2026, l’équipe Sansec Forensics a publié une analyse technique détaillant une campagne Magecart de masse ayant compromis 99 boutiques Magento en quelques heures. L’article, publié sur sansec.io, décrit un skimmer de carte bancaire sophistiqué exploitant une technique d’injection inédite via des éléments SVG. 🎯 Vecteur d’entrée et méthode d’injection Le vecteur d’entrée probable est la vulnérabilité PolyShell (upload de fichier non restreint dans Magento/Adobe Commerce), qui continue d’affecter les boutiques non protégées. L’attaquant injecte un élément SVG de 1x1 pixel dans le HTML de la boutique, dont le gestionnaire onload contient l’intégralité du payload skimmer encodé en base64 via atob() et exécuté via setTimeout. Cette technique évite toute référence à un script externe, contournant ainsi les scanners de sécurité classiques. ...

📋 Contexte : Le CERT-EU, service de cybersécurité des institutions, organes et agences de l’Union européenne, publie le 8 avril 2026 son rapport annuel sur le paysage des menaces cyber pour l’année 2025 (TLP:CLEAR). Ce rapport s’appuie sur l’analyse des activités malveillantes d’intérêt (MAI) collectées tout au long de 2025, avec une expansion significative de l’usage de l’automatisation et de l’IA dans les processus de surveillance. 🎯 Acteurs et origines : En 2025, 174 acteurs malveillants distincts ont été identifiés (contre 110 en 2024). Les activités liées à la Chine représentent 37% des MAI attribuées, suivies par la Russie (32%), la Corée du Nord (11%) et l’Iran (7%). Les acteurs liés à la Chine ont principalement exploité des vulnérabilités et des compromissions de chaîne d’approvisionnement. Les acteurs liés à la Russie ont ciblé prioritairement les entités soutenant l’Ukraine. ...

📰 Source : BleepingComputer — Date de publication : 8 avril 2026 La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la vulnérabilité CVE-2026-1340 au catalogue Known Exploited Vulnerabilities (KEV) et a émis une directive contraignant les agences FCEB (Federal Civilian Executive Branch) à sécuriser leurs systèmes Ivanti Endpoint Manager Mobile (EPMM) avant le 11 avril 2026 à minuit, conformément à la Binding Operational Directive (BOD) 22-01. 🔍 Détails de la vulnérabilité : ...

🔍 Contexte Publié le 8 avril 2026 par Jamf Threat Labs (auteur : Thijs Xhaflaire), cet article documente une nouvelle variante de la technique ClickFix ciblant macOS, découverte via des détections comportementales de la plateforme Jamf Protect. 🎯 Technique d’attaque Contrairement aux campagnes ClickFix classiques qui incitent l’utilisateur à coller des commandes dans Terminal, cette variante exploite le schéma URL applescript:// pour déclencher directement l’ouverture de Script Editor depuis le navigateur. ...

🔍 Contexte Publié le 9 avril 2026 par Oleg Kupreev sur Securelist (Kaspersky), cet article décrit une campagne active depuis début 2025 distribuant le malware ClipBanker via un faux installeur du logiciel Proxifier, hébergé sur GitHub et promu via les moteurs de recherche. 🎯 Vecteur d’infection initial Les victimes recherchent « Proxifier » sur des moteurs de recherche populaires. Un des premiers résultats pointe vers un dépôt GitHub malveillant contenant une archive avec un exécutable trojanisé et un fichier texte de clés d’activation. L’exécutable est un wrapper malveillant autour du vrai installeur Proxifier légitime. ...

🗓️ Contexte Publié le 6 avril 2026 par The Hacker News, cet article s’appuie sur des recherches de Cisco Talos et Trend Micro portant sur les opérations ransomware Qilin et Warlock. 🎯 Technique utilisée : BYOVD Les deux groupes ont été observés en train d’utiliser la technique Bring Your Own Vulnerable Driver (BYOVD), qui consiste à déployer un pilote légitime mais vulnérable afin de contourner ou neutraliser les outils de sécurité actifs sur les hôtes compromis. ...