International

Source et contexte — International Security (MIT Press/Harvard), mars 2026: Lennart Maschmeyer analyse pourquoi l’IA, malgré les prédictions d’une révolution offensive, renforce surtout la défense en cybersécurité. En s’appuyant sur des données expérimentales et des observations in-the-wild, l’auteur avance la thèse d’un « écart d’automatisation »: l’IA excelle en détection (🛡️🔍) mais peine en tromperie créative requise par l’offensive (⚔️🤖), ce qui abaisse l’efficacité des attaques automatisées. Thèse centrale: en cyberconflit, l’offense repose sur la créativité et la déception (se cacher, manipuler sans être détecté), alors que la défense vise la détection rapide et précise. Les modèles d’IA (ML, deep learning, LLMs) sont taillés pour la reconnaissance de motifs et la classification (défense), mais échouent sur la création originale et la duperie contextuelle (offense). L’indicateur de Mandiant (Google Cloud) montre une baisse du dwell time médian de 205 jours (2014) à 11 jours (2024), sans renversement malgré les progrès récents de l’IA, ce qui n’accrédite pas une supériorité offensive automatisée. ...

TechCrunch rapporte une campagne mondiale attribuée au groupe chinois Salt Typhoon visant des opérateurs télécoms et fournisseurs d’accès, avec un accent sur les routeurs Cisco et les dispositifs d’interception légale, afin de collecter massivement des données de communications. Le groupe aurait mené l’une des campagnes de piratage les plus étendues de ces dernières années, ciblant des géants des télécoms et d’Internet pour voler des dizaines de millions d’enregistrements d’appels, des SMS et de l’audio de responsables américains de haut niveau. À la suite de ces intrusions, le FBI a encouragé l’usage d’applications de messagerie chiffrées de bout en bout. ...

Source : ICLR 2026 Workshop on Agents in the Wild — Des chercheurs introduisent ZeroDayBench, un nouveau benchmark visant à évaluer la capacité d’agents LLM à détecter et corriger des vulnérabilités critiques dans des bases de code open source, en se concentrant sur la remédiation et non l’exploitation. Principales contributions 🧪 Portage de CVE réelles vers des dépôts cibles « fonctionnellement similaires » pour créer des failles inédites et limiter la mémorisation par les modèles. Couverture exclusive de vulnérabilités critiques (CVSS ≥ 7.0) et scénarios à fort impact (RCE, élévation de privilèges, dépassements mémoire, etc.). Évaluation par pentest: une correction n’est validée que si un exploit actif est effectivement bloqué après patch. 5 niveaux d’information fournis à l’agent (zero‑day, CWE, post‑exploit, one‑day, full‑info) pour mesurer la dépendance au contexte. Variantes inter‑dépôts et intra‑dépôt pour tester la généralisation (ex. portage de CVE‑2021‑23017 entre HAProxy, Squid, Tinyproxy). Résultats et comportements observés 🛡️ ...

Selon Malwarebytes, des acteurs malveillants mènent une campagne « InstallFix » en clonant des pages d’installation de Claude Code et en détournant les commandes d’installation en un clic pour livrer un infostealer. Les attaquants reproduisent à l’identique des pages de documentation/téléchargement (logo, sidebar, texte, bouton « copier ») et n’en modifient que la commande d’installation afin qu’elle pointe vers leur domaine. Cette approche, similaire aux attaques ClickFix, abuse de l’habitude d’exécuter des « one‑liners » (ex. curl | bash) qui s’exécutent avec les permissions de l’utilisateur, parfois administrateur. Le payload principal observé est l’infostealer Amatera, ciblant mots de passe enregistrés, cookies, jetons de session, données d’autoremplissage et informations système, avec des rapports signalant aussi un intérêt pour des portefeuilles crypto et comptes à forte valeur. ...

Selon Darknet.org.uk, DumpBrowserSecrets est présenté comme un outil capable d’extraire des données sensibles stockées par les principaux navigateurs, en contournant des mécanismes de protection. DumpBrowserSecrets : extraction de secrets stockés dans les navigateurs Présentation DumpBrowserSecrets est un outil de post-exploitation développé par Maldev Academy permettant d’extraire des identifiants et données sensibles stockés dans les navigateurs web. Il s’agit du successeur de DumpChromeSecrets, étendu pour fonctionner avec plusieurs navigateurs utilisés en entreprise. ...

Source et contexte — nadsec.online (par NadSec) publie en mars 2026 une rétro‑ingénierie de 28 modules JavaScript du kit d’exploits iOS « Coruna », complémentaire aux rapports de Google Threat Intelligence Group et iVerify (03/03/2026). L’étude (6 630 lignes) reconstitue, depuis le JavaScript obfusqué, une chaîne complète visant iOS 16.0–17.2, détaillant 8 vulnérabilités (WebKit RCE, PAC bypass, JIT cage escape, sandbox escape), jusqu’au binaire kernel récupéré dans la nature. Principaux résultats techniques ...

Source : GitGuardian (blog), en collaboration avec Google — résultats présentés à Real World Crypto (RWC) 2026 à Taipei. L’étude analyse à l’échelle d’Internet l’impact réel des fuites de clés privées en reliant des clés exposées publiquement aux certificats TLS via Certificate Transparency (CT). • Portée et risque 🔐: Depuis 2021, environ 1 M de clés privées uniques ont été détectées sur GitHub et DockerHub. En s’appuyant sur l’infrastructure CT de Google, les chercheurs ont associé >40 000 clés à 140 000 certificats TLS. Au septembre 2025, 2 622 certificats restaient valides, dont >900 protégeant des Fortune 500, des établissements de santé et des agences gouvernementales. Les fuites de clés TLS permettent l’usurpation de sites, l’interception/manipulation de données et potentiellement la décryption de communications passées si la PFS n’était pas généralisée. ...

KrebsOnSecurity publie un article sur les assistants/agents basés sur l’IA 🤖, décrits comme des programmes autonomes capables d’accéder à l’ordinateur de l’utilisateur, à ses fichiers et à ses services en ligne, et d’automatiser quasiment n’importe quelle tâche. Les assistants IA autonomes : nouvelle surface d’attaque majeure pour les organisations Contexte Les assistants IA autonomes (“AI agents”) connaissent une adoption rapide auprès des développeurs et des équipes IT. Ces agents peuvent : ...

Source : monxresearch-sec (GitHub Pages). Contexte : publication technique du 8 mars 2026 documentant la compromission supply-chain d’une extension Chrome « Featured » (ShotBird) transformée en canal de commande/contrôle et en tremplin vers une compromission hôte Windows. Nature de l’attaque : compromission de chaîne d’approvisionnement d’une extension Chrome suivie d’abus en navigateur (injection de fausses mises à jour, capture de formulaires) et pivot vers l’hôte via un faux installeur. L’extension (ID: gengfhhkjekmlejbhmmopegofnoifnjp) aurait changé d’opérateur fin 2025-début 2026, puis a commencé à baliser vers une infra attaquante, exécuter des scripts de tâches distants, supprimer des en-têtes de sécurité, et pousser des scénarios de mise à jour factices. ...

Source: Infoblox (blog Threat Intelligence). Contexte: publication détaillant des campagnes de phishing qui exploitent le TLD .arpa via IPv6 et d’autres tactiques pour contourner les défenses, avec IOCs et schémas techniques. — Les acteurs abusent du TLD .arpa (réservé aux usages d’infrastructure DNS, notamment les reverse DNS en ip6.arpa) en créant, chez certains fournisseurs DNS, des enregistrements A sur des noms de reverse IPv6, ce qui ne devrait pas être possible. En obtenant un espace d’adresses IPv6 (souvent via des tunnels IPv6 gratuits) et la délégation du sous-domaine ip6.arpa correspondant, ils évitent d’ajouter des PTR et créent des A records qui pointent vers du contenu hébergé (souvent derrière l’edge Cloudflare), tirant parti de la confiance implicite accordée au TLD .arpa. ...