International

Source : SpecterOps (billet de blog de Daniel Mayer). Contexte : l’auteur détaille la création d’un Beacon Object File (BOF) permettant d’énumérer et d’exécuter des commandes dans WSL2 sur différentes versions, afin de faciliter le pivot depuis des hôtes Windows fortement surveillés. • Constats clés : WSL2 s’exécute comme une VM Hyper‑V séparée et est « rarement » monitorée, offrant aux attaquants un espace d’exécution discret. Les approches classiques via WslLaunch/WslApi.dll appellent en réalité WSL.exe via CreateProcess, générant des artefacts visibles mais communs. L’interface COM de WSL2 a évolué de façon non rétrocompatible, rendant un client COM unique difficile sans gérer de multiples versions. ...

Contexte: Dans un article d’actualité, des chercheurs décrivent le mode opératoire du groupe DeadLock, actif depuis juillet 2025, et sa manière de rester discret tout en multipliant les attaques. — Profil et discrétion — Le groupe DeadLock, repéré pour la première fois en juillet 2025, a attaqué un large éventail d’organisations tout en restant presque sous les radars. — Tactique d’extorsion — DeadLock rompt avec la double extorsion traditionnelle (vol de données, chiffrement des systèmes, puis menace de publication). Le groupe n’exploite pas de Data Leak Site (DLS) pour publiciser ses attaques. En l’absence d’un levier de dommage réputationnel en cas de non-paiement, il menace de vendre les données sur le marché souterrain — une stratégie que des experts ont déjà qualifiée de potentiellement « du vent ». ...

Source: S2W — S2W TALON (Byeongyeol An) publie le 14 janvier 2026 une analyse approfondie de DragonForce, un ransomware actif depuis fin 2023, détaillant son fonctionnement, ses liens avec d’autres groupes, ses TTPs et la découverte de déchiffreurs dédiés. — Contexte et évolution — • Découvert le 13 décembre 2023 via un post sur BreachForums, le groupe « DragonForce » maintient un DLS (Data Leak Site) et comptait déjà 17 victimes à cette date. En juin 2024, il officialise son modèle RaaS sur le forum RAMP (affiliés IAB, pentesters solo/équipes), promettant 80% des rançons aux affiliés et revendiquant une organisation de type « cartel ». Le groupe propose un service « Ransombay » pour des charges utiles personnalisées. ...

Source: Check Point Research (CPR) – Analyse publiée sur le blog de recherche de Check Point. CPR documente « Sicarii », une opération de ransomware-as-a-service (RaaS) observée depuis fin 2025, qui revendique une identité israélienne/juive tout en opérant surtout en russe et en anglais, et n’ayant à ce jour publié qu’une victime revendiquée. 🔎 Contexte et identité: Sicarii affiche une imagerie et des références idéologiques israéliennes (hébreu, symboles historiques, références à des groupes extrémistes) et affirme une motivation à la fois financière et idéologique (incitations contre des cibles arabes/musulmanes). CPR relève toutefois des incohérences linguistiques (hébreu non natif, erreurs de traduction), une activité souterraine principalement en russe, et un comportement qui suggère une manipulation d’identité ou un signalement performatif plutôt qu’une affiliation authentique. ...

Source: Jamf Threat Labs (blog Jamf). Contexte: publication du 14 janvier 2026 présentant des découvertes originales issues de l’ingénierie inverse d’un échantillon de Predator, en complément des travaux de Google Threat Intelligence Group (GTIG) de 2024. Jamf expose une architecture de surveillance anti-analyse centrée sur la classe C++ CSWatcherSpawner::CSWatcherSpawner et sa fonction check_perform(), avec un système de codes d’erreur (301–311) qui envoie au C2 un diagnostic précis avant auto-nettoyage. Plusieurs codes sont mis en évidence (p. ex. 311 pour multi‑instances, 309 pour restriction géographique, 310 pour console active, 304 pour outils de sécurité), tandis que 302, 303, 305, 306 sont absents dans cet échantillon. ...

Selon l’extrait d’actualité du 16 janvier 2026, Moxie Marlinspike (créateur de Signal) lance Confer, un assistant IA privé et open source misant sur le chiffrement de bout en bout et un environnement d’exécution de confiance (TEE) pour protéger les conversations. Le contexte évoque les risques de stockage centralisé des chatbots grand public et rappelle une ordonnance de juin 2025 imposant à OpenAI de conserver indéfiniment les conversations de ChatGPT, alimentant la défiance. Le billet de blog de Confer et des échanges avec Ars Technica sont cités. ...

Dans un billet technique publié le 14 janvier 2026, l’auteur détaille une méthode permettant à un adversaire de forger des cookies d’authentification pour des applications Next.js utilisant NextAuth/Auth.js, en s’appuyant sur la vulnérabilité React2Shell (CVE-2025-55182). Le contexte décrit que l’exploitation de React2Shell peut laisser très peu de traces et permettre à un attaquant d’exfiltrer des variables d’environnement, notamment des identifiants OAuth et surtout le secret d’application de NextAuth (NEXTAUTH_SECRET/AUTH_SECRET). L’article souligne que la rotation des seuls secrets OAuth est insuffisante : le secret NextAuth est la clé pour chiffrer et authentifier les cookies de session. ...

The Register rapporte que des chercheurs du CISPA (Allemagne) ont présenté « StackWarp » (CVE-2025-29943), une vulnérabilité des CPU AMD Zen affectant les environnements de virtualisation sécurisée SEV‑SNP. AMD a publié des correctifs en juillet 2025 et un bulletin de sécurité classant le problème « faible sévérité », avec nécessité de mises à jour firmware par les OEM. 🧪 Les chercheurs décrivent une faille de la microarchitecture (stack engine) qui permet, en désynchronisant la gestion du pointeur de pile, de « geler » le delta de pile lors de certaines opérations. En basculant un bit de contrôle non documenté (bit 19 du MSR 0xC0011029) côté hyperviseur, un attaquant peut manipuler le pointeur de pile d’un invité protégé. ...

Selon BleepingComputer (Sergiu Gatlan), des chercheurs de KU Leuven ont dévoilé une vulnérabilité critique, baptisée WhisperPair (CVE-2025-36911), dans le protocole Fast Pair de Google. Elle touche des centaines de millions de casques, écouteurs et enceintes Bluetooth, indépendamment du système d’exploitation du smartphone, car la faille réside dans les accessoires eux‑mêmes. Le problème provient d’implémentations incorrectes du protocole Fast Pair : bien que la spécification exige qu’un accessoire ignore les requêtes d’appairage hors « mode appairage », de nombreux produits ne font pas ce contrôle. Un attaquant peut ainsi initier la procédure Fast Pair, obtenir une réponse du périphérique vulnérable, puis terminer l’opération via un appairage Bluetooth classique — le tout sans consentement de l’utilisateur. ...

Selon The Verge, Instagram affirme avoir résolu un problème ayant provoqué l’envoi massif d’e-mails de réinitialisation de mot de passe et indique qu’aucune intrusion de ses systèmes n’a eu lieu. L’entreprise a déclaré sur X que l’incident — attribué à une « partie externe » — a été corrigé et que les e-mails peuvent être ignorés. La nature précise du problème n’est pas détaillée, et The Verge indique avoir sollicité Meta sans réponse à ce stade. ...