Posts

📰 Source : Elastic Security Labs | Date : 26 octobre 2026 | Auteur : Pavel Yosifovich Suite à l’incident CrowdStrike du 19 juillet 2024, où une mise à jour défectueuse d’un fichier de configuration a provoqué le crash de 8,5 millions de machines Windows (BSOD), Microsoft a lancé une initiative pour déplacer les produits EDR hors du noyau Windows. Ce framework s’appelle la Windows Endpoint Security Platform (WESP). 🔍 Composants identifiés dans les builds Windows Insider : ...

🌐 Contexte Source : Symantec Threat Hunter Team / security.com, publié le 27 octobre 2026. L’article documente une campagne d’espionnage attribuée au groupe russe APT28 (alias Swallowtail, Fancy Bear, Forest Blizzard), unité du renseignement militaire russe (GRU), ciblant des organisations dans deux États membres de l’OTAN. 🎯 Ciblage Trois organisations ont été identifiées comme victimes : Un constructeur naval militaire Un fabricant de moteurs d’avions militaires Une agence de police Le dénominateur commun est leur pertinence pour la sécurité nationale et la politique de défense. ...

🗓️ Contexte Source : BankInfoSecurity, publié le 26 octobre 2026. Cet article rapporte une attaque de type supply chain ayant ciblé LiteLLM, une passerelle open-source pour modèles d’IA, avec des analyses complémentaires de Microsoft, Wiz et Socket. 🔑 Vecteur initial : credential exposé non révoqué En mai 2026, LiteLLM a accidentellement publié une clé maître haute-privilège de son Agent Platform sans la révoquer. Le 10 octobre 2026, un attaquant s’est connecté à la plateforme via cette clé et a extrait un token OAuth GitHub CLI de niveau owner, donnant accès à l’ensemble des dépôts. ...

📅 Source : BankInfoSecurity | Date : 23 octobre 2026 🌐 Contexte géopolitique Face à une série d’incidents suspects sur les câbles sous-marins en mer Baltique et aux accusations britanniques contre la Russie de surveiller les câbles autour du Royaume-Uni, le gouvernement britannique a publié un livre blanc proposant une réforme législative majeure sur la protection des câbles sous-marins. ⚖️ Propositions législatives britanniques Le livre blanc prévoit : Des pouvoirs d’urgence ministériels permettant de diriger les opérateurs de câbles lors d’incidents de sécurité nationale (partage de capacité, reroutage du trafic, isolation, priorisation des réparations, accès aux stations d’atterrissage) De nouvelles infractions pénales : jusqu’à 14 ans pour actes intentionnels, 10 ans pour conduite imprudente, 2 ans pour négligence grave Des amendes pouvant atteindre 17 millions de livres sterling (22,8 M$) ou 10 % du chiffre d’affaires mondial Le remplacement du Submarine Telegraph Act 1885, jugé obsolète La possibilité de garder secrètes certaines directives et d’ordonner la préservation de preuves avant réparation 🇺🇸 Situation législative américaine Les États-Unis s’appuient encore sur le Submarine Cable Act de 1888, limitant les peines à 2 ans d’emprisonnement. Des projets de loi bipartisans sont en cours : ...

🔍 Contexte Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de token replay ciblant Microsoft 365 observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026. 🎯 Mécanisme d’attaque L’attaquant n’a jamais eu besoin de mots de passe. La chaîne d’attaque repose sur : Des relais adversary-in-the-middle (AiTM) capturant les tokens de session post-MFA via de fausses pages de connexion Du device-code phishing (victimes trompées pour entrer un code sur la vraie page Microsoft) De l’ingénierie sociale lors de processus de connexion légitimes Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP 193.26.115.0/24 appartenant à 1337 Services GmbH (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés). ...

🌐 Contexte CYFIRMA publie le 24 octobre 2026 la version 3 d’un advisory évolutif (“early warning”) concernant une campagne offensive en cours, attribuée avec confiance modérée à un acteur étatique nord-coréen affilié à l’écosystème Lazarus Group (également suivi sous APT38, Hidden Cobra, ZINC / Diamond Sleet). La campagne cible des infrastructures PHP exposées sur Internet à l’échelle mondiale. 🎯 Vulnérabilités exploitées Deux CVE critiques sont au cœur de la campagne : ...

🔍 Contexte Publié le 27 octobre 2026 sur GitHub Gist, ce document est un guide d’ingénierie de détection pour CVE-2026-111497 (alias Node2Shell / Broccoli), une vulnérabilité d’écriture hors limites (OOB write) dans le décodeur Brotli (CWE-787 + CWE-252, CVSS v4.0 : 9.2). L’article couvre la reproduction et la détection, non la découverte de la vulnérabilité. 🐛 Vulnérabilité Produits affectés : Brotli 1.0.3–1.2.0 (bibliothèque upstream), ainsi que les copies embarquées dans Node.js, Python, Bun, Envoy, derrière des proxies nginx/Apache/CDN Mécanisme : le décodeur confond une entrée malformée avec une entrée incomplète, remplit un buffer d’état de 8 octets au-delà de sa limite et corrompt l’état adjacent Statut d’exploitation : CISA SSVC (au 23/10/2026) = Exploitation = None ; CVE absent du KEV Payload de test vérifié : 23 068 706 octets, SHA256 15273d4e… 🛠️ Versions corrigées Brotli : 1.0.10 / 1.1.1 / 1.2.1 Node.js : 22.23.4 / 24.22.1 / 26.12.1 (lignes EOL 25, 23, 21, 20 et antérieures : pas de correctif) Python Brotli ≥ 1.2.1, brotlicffi ≥ 1.2.1.0 Bun ≥ 1.4.4 Envoy/Istio : selon le fournisseur 📋 Règles de détection fournies Sigma (logs applicatifs) Règle ID Statut brotli-block-switch-probe d399f74f Vérifié, non déployé python-decoder-unhealthy 39cd92fe Vérifié, non déployé node-zbuf-eof 71830d89 Vérifié, FP connus (TRIAGE) python-decoder-failed 090042ad Vérifié, générique (TRIAGE) node-eof-near-zbuf (corrélation temporelle) 999a07f6 Vérifié, TRIAGE urllib3-decode-failure 4c8d283a Syntaxe vérifiée Suricata 2026114971 : tripwire corps de requête br (HTTP/1.1 + HTTP/2) 2026114972/73 : anomalie egress (direction corrigée) ModSecurity 2026114975 : corps de requête br (moteur v3, 7/7 fixtures) Falco cve111497_falco.yaml : crash→exec / memfd / egress — non compilé, validation requise ⚠️ Points d’attention opérationnels process.versions.brotli rapporte toujours 1.2.0 sur Node.js 24.22.1 patché — ne pas utiliser pour l’inventaire Les erreurs décodeur atterrissent dans les logs applicatifs sans IP client ; les IPs sont dans les logs proxy — jointure nécessaire sur request ID ou timestamp+source Un exploit armé peut provoquer un SIGSEGV avant tout flush de log — capturer stdout/stderr au niveau runtime (docker/k8s log driver, journald) Aucune règle n’est encore vérifiée en production réelle 📌 Type d’article Guide d’ingénierie de détection technique (analyse technique + recommandations de déploiement de règles), destiné aux équipes SOC et detection engineering pour opérationnaliser la détection de CVE-2026-111497. ...

🔍 Contexte Publié le 27/10/2026 sur hideandsec.sh, cet article est issu d’un retour d’expérience Red Team. L’auteur a développé un extracteur local SAM/LSA indétectable par les EDR, et documente ici la chaîne complète de déchiffrement des secrets LSA Windows stockés dans les ruches de registre SECURITY et SYSTEM. 🔑 Étape 1 : Récupération de la Boot Key La Boot Key (16 octets) est fragmentée en 4 morceaux de 4 octets, cachés dans les class names des sous-clés de HKLM\SYSTEM\ControlSet001\Control\Lsa : ...

🔍 Contexte Publié le 26 octobre 2026 par Tomasz Kaye (Axe Ghost) sur axeghost.offprint.app, cet article présente une divulgation publique anticipée d’une vulnérabilité découverte dans le moteur de jeu Godot, affectant les versions 4.1 et ultérieures (confirmée sur 4.7-stable). La divulgation intervient après l’absence de réponse du vendor suite à un signalement privé effectué le 23 septembre 2026. 🐛 Vulnérabilité Le chargeur de traductions .po de Godot stocke l’en-tête Plural-Forms sans validation grammaticale. Lors du premier appel à une traduction plurielle (tr_n()), cet en-tête est évalué par l’évaluateur d’expressions généraliste de Godot (Expression), qui peut appeler toutes les fonctions utilitaires enregistrées du moteur, y compris bytes_to_var_with_objects() — explicitement documentée comme dangereuse sur des entrées non fiables. ...

🔍 Contexte Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm. 📅 Chronologie de l’intrusion 16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt. 16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum. 17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP. Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR). 17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy. 🦠 MythicRatatoskr – Analyse technique Langage : Go Développement estimé : entre décembre 2024 et février 2025 Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile Persistance : service Windows nommé ieupdate Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel) Variante Linux : des indices suggèrent l’existence d’une variante Linux 🏗️ Infrastructure réseau Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7) MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation 🎯 Attribution UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022 La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole) 📄 Type d’article Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie. ...