Posts

🔍 Contexte Publié le 27/10/2026 sur GitHub (baguette168/nmg), cet article présente NMG (. NET Memory-shell Generator), un outil offensif open source sous licence MIT destiné aux équipes red team et aux tests de sécurité. 🛠️ Description de l’outil NMG génère des payloads memory shell .NET paramétrés qui s’injectent dans des applications IIS/ASP.NET sans laisser de fichiers sur le disque. Il est présenté comme l’équivalent .NET de JMG (Java Memory-shell Generator). ...

🔍 Contexte Publié le 27 octobre 2026 sur l’Artifact Exchange de Velociraptor, cet artefact (Generic.Detection.Yara.PHP2Shell) est signé par Matt Green (@mgreen27). Il vise à détecter l’exploitation active des vulnérabilités CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, permettant une exécution de code à distance (RCE) via PHP. ⚙️ Mécanisme d’exploitation La chaîne d’exploitation se déroule en plusieurs étapes documentées : A1 – Heap pressure : envoi de requêtes multipart upload-progress avec une query string spécifique (?q0000000=v...q0000004=v) pour provoquer un OOM pré-script B1 – Disclosure : fuite de mémoire heap via le cookie PHPSESSID (819 200 B pour le PoC 9bie, 16/256 B pour StealMyBitcoin) A2 – Heap pressure : multipart à longueur fixe pour un second OOM B2 – Execution : déclenchement d’un faux destructeur zend_array → system() → /bin/sh ou cmd.exe Pinning : maintien de N-1 workers pré-fork via exploit.py --workers 🧰 Sources et PoCs Les règles YARA sont construites à partir de : ...

🔬 Contexte Publié le 27 octobre 2026 sur le blog de Tracebit (tracebit.com), cet article présente les résultats d’une recherche offensive/défensive portant sur l’utilisation de leurres et pièges (« context bombs ») pour contrecarrer des agents IA utilisés comme outils d’attaque automatisée. 🎯 Objectif de la recherche Tracebit a développé et testé neuf techniques de déception destinées à exploiter les comportements caractéristiques des agents IA offensifs : suivi de fausses pistes, confiance excessive dans les données lues, et incapacité à abandonner un puzzle non résolu. Les tests ont été conduits dans un environnement AWS contrôlé sur 773 évaluations, contre sept modèles de langage : GPT-6 Astra, GPT-5.6 Cyber, Claude Opus 5, GLM-5.3, Kimi K3, Qwen 3.8 Max et DeepSeek V4 Pro. ...

🔍 Contexte Publié en octobre 2026 sur GitHub (https://github.com/x86rc/unthemidator), cet article présente Unthemidator, un outil open source de dépaquetage et de suppression de protections runtime pour les binaires Windows protégés par Themida, WinLicense et Code Virtualizer. ⚙️ Fonctionnement Unthemidator opère de manière entièrement statique : il n’exécute pas le binaire cible, n’appelle aucune API et n’émet aucun syscall sur la machine hôte. Il prend en charge : Les formats EXE, DLL, SYS et autres binaires Windows Les architectures x86 (32-bit) et x86_64 / amd64 (64-bit) Les systèmes Windows et Unix 🛠️ Fonctionnalités principales Dépaquetage PE complet et reconstruction du PE (runnable et déboguable) Dépaquetage des ressources Décompression des machines virtuelles Déchiffrement des imports et restauration de l’IAT Identification de la version Themida / Code Virtualizer Localisation de tous les points d’entrée Themida/CV 📦 Versions supportées Themida v3.0 – v3.2.6.0 WinLicense v3.0 – v3.2.6.0 Code Virtualizer (VMs compressées) v3.0 – v3.2.6.0 Code Virtualizer v4.0 (expérimental) ⚠️ Limitations L’outil ne dévirtualise pas le code (pas de devirtualization ni de démutation). Il ne désobfusque pas le code protégé par machine virtuelle. ...

🔍 Contexte Publié le 24 octobre 2026 sur GitHub (blasty/wake-and-break), cet article est la documentation technique d’un exploit ciblant le Platform Security Processor (PSP) des cartes graphiques AMD de la série Navi31 (RX 7900). ⚙️ Mécanisme technique L’exploit, baptisé Wake and Break, neutralise la vérification de signature firmware du PSP AMD en modifiant la mémoire PSP à la volée lors d’un warm boot de la carte. Il ne flashe rien de manière permanente : un cold power cycle (coupure d’alimentation) restaure l’état d’origine. ...

🔍 Contexte Publié en octobre 2026 sur GitHub (ivancabrera02/WHFB-PinCapture), ce dépôt présente une technique offensive permettant de capturer le PIN Windows Hello for Business (WHFB) sur des systèmes Windows 11 protégés par VBS/VSM et TPM, où les attaques hors ligne et le brute-force sont rendus inopérants. 🛡️ Pourquoi les attaques classiques échouent Le projet documente les protections en place qui rendent les attaques traditionnelles inefficaces : VBS/VSM actif : la hiérarchie de clés réside en VTL1 (secure kernel), inaccessible depuis SYSTEM en VTL0 Conteneur NgcIso : le secret PIN est descellé à l’intérieur du trustlet, pas en user mode normal Matériel scellé par TPM : aucune clé en clair sur disque, le descellement nécessite le TPM Anti-hammering : softLockoutAttemptLimit = 5, compteur enforced par VTL1, non réinitialisable depuis le disque ⚙️ Technique d’attaque : hardware breakpoint capture La technique repose sur l’injection de ngccap.dll dans le processus LogonUI.exe (SYSTEM, non-PPL) via logonui_watch.ps1 : ...

🔍 Contexte Recherche publiée le 27 octobre 2026 par Quentin Kaiser sur son blog personnel, présentée à la conférence Hexacon 2026. Broadcom a refusé d’attribuer un identifiant CVE. Le nom WPSplinter est un nom attribué par le chercheur. 🐛 Vulnérabilité La vulnérabilité réside dans l’implémentation legacy du WPS Monitor de Broadcom, un composant logiciel Wi-Fi partagé. Le code ne contraint pas correctement la taille des fragments EAP-WPS réassemblés par rapport au buffer de destination, ce qui constitue un dépassement de tampon (buffer overflow). ...

Cette page présente les vulnérabilités les plus discutées sur les sources publiques (Fediverse, Bluesky, GitHub, blogs) sur la période analysée. Période analysée : 2026-10-18 → 2026-10-25. Les données sont collectées via Vulnerability-Lookup (CIRCL) et enrichies automatiquement afin d’aider à la priorisation de la veille et de la remédiation. 📌 Légende : CVSS : score officiel de sévérité technique. EPSS : probabilité d’exploitation observée. VLAI : estimation de sévérité basée sur une analyse IA du contenu de la vulnérabilité. CISA KEV : vulnérabilité activement exploitée selon la CISA. seen / exploited : signaux observés dans les sources publiques. CVE-2026-109618 CVSS: N/A EPSS: 99.98% VLAI: N/A ProduitPHP Group — PHP Publié2026-10-21T13:48:34.845Z PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code execution (RCE). ...

📉 223 revendications cette semaine (-88, -28.3% par rapport à S42) Période : 19.10.2026 au 25.10.2026 Analyse Ransomware — Semaine 43 2026 (19 – 25 octobre 2026) Source des données : eCrime.ch — Publication : CyberVeille.ch Vue d’ensemble La semaine 43 enregistre 223 revendications d’attaques par rançongiciel, soit une baisse de 88 revendications par rapport à la semaine précédente (S42 : 311 revendications), représentant un recul de 28,3 %. Ce repli ramène le volume hebdomadaire à un niveau sensiblement inférieur à celui observé la semaine précédente, qui constituait un pic notable. Il convient de noter que 28 revendications ne permettent pas d’identifier le pays de la victime, ce qui peut affecter marginalement la lecture géographique des données. ...

🔍 Contexte Publié le 26 octobre 2026 par Arctic Wolf Labs (Shubham Dubey), ce rapport documente une campagne récurrente d’ingénierie sociale exploitant la fonctionnalité de chat externe Microsoft Teams (federation/external access), activée par défaut dans Microsoft 365. L’analyse porte sur plus de 400 incidents observés dans des environnements clients. 🎯 Mécanisme d’attaque Les attaquants créent des tenants Microsoft 365 jetables (30 à 40 % utilisent des domaines *.onmicrosoft.com gratuits) ou des domaines payants (environ 50 % en .top) pour établir une identité Teams externe. La chaîne d’attaque typique est : ...