Posts

🏛️ Contexte Publié le 4 novembre 2026 sur KrebsOnSecurity, cet article rapporte la découverte par des sociétés de sécurité de nœuds de proxy résidentiels actifs au sein du réseau de l’Executive Office of the President (AS2650), le réseau dédié à la Maison Blanche. 🔍 Faits principaux La société Layer3 Intel a détecté plusieurs nœuds de proxy résidentiels émettant depuis AS2650 entre le 5 octobre et le 3 novembre 2026, avec 236 sorties enregistrées depuis ce réseau. 28 services de proxy résidentiels distincts ont été capables d’utiliser ce réseau comme point de sortie. L’activité est concentrée en soirée, entre 17h et minuit, sur 26 des 30 jours observés, depuis 6 adresses IP. La société Synthient a attribué l’activité à des installations de Windows 11 équipées du service Infatica, un programme de proxy souvent intégré dans des applications gratuites via des SDKs. 🇷🇺 Lien avec la Russie Vladimir Fomenko, fondateur d’Infatica, est également fondateur de King Servers, une société d’hébergement russe dont 6 des 8 adresses IP utilisées par les services de sécurité russes pour compromettre les bases de données électorales de l’Arizona et de l’Illinois en 2016 provenaient de son infrastructure. ⚠️ Risques identifiés L’accès au réseau AS2650 via ces proxies est public et disponible pour quelques dollars, sans processus KYC. En fin 2025, une vulnérabilité généralisée dans ces services permettait de sonder les réseaux locaux des endpoints proxy pour infecter des systèmes avec des malwares. En janvier 2026, des dizaines de services de proxy ont dû patcher leurs réseaux suite à la démonstration par Ben Brundage (Synthient) d’une vulnérabilité permettant de prendre le contrôle de dispositifs sur les réseaux locaux d’utilisateurs. Selon Spur, des proxies résidentiels ont été trouvés dans près de 300 réseaux gouvernementaux, 318 entreprises de services publics, 166 établissements de santé et 141 entreprises financières. Infoblox a constaté que 65% de sa base clients interrogeait des domaines liés à des proxies résidentiels. 📰 Nature de l’article Article de presse spécialisée à visée investigative, documentant une exposition de sécurité sur un réseau gouvernemental critique via des services de proxy résidentiels à risque. ...

🔍 Contexte Source : BleepingComputer, publié le 4 novembre 2026. DreamHost, hébergeur web et registrar de domaines américain, a notifié ses clients d’une violation de données affectant sa plateforme File Manager accessible via files.dreamhost.com. 📅 Chronologie de l’incident Début de l’intrusion : août 2026 Découverte : 23 octobre 2026 Durée totale : environ deux mois d’accès non autorisé 🎯 Nature de l’attaque Un tiers non autorisé a exploité une vulnérabilité dans le logiciel du File Manager web de DreamHost. L’attaque est décrite comme délibérée par la société. L’attaquant a pu accéder aux noms d’utilisateur et mots de passe FTP/SFTP de tous les utilisateurs s’étant connectés au File Manager durant la période concernée. ...

🌐 Contexte Source : The Cyber Express, publié le 5 novembre 2026. L’article rapporte l’élargissement d’un incident de cybersécurité affectant Amadeus IT Group, fournisseur mondial de technologie de réservation aérienne basé en Espagne, ayant permis un accès non autorisé aux données de réservation de passagers de nombreuses compagnies aériennes internationales. 🎯 Nature de l’incident Un accès non autorisé à l’environnement d’affichage centralisé des réservations d’Amadeus a été détecté. Deux explications coexistent dans l’article : ...

🗓️ Contexte Article publié le 2 novembre 2026 par Nextgov/FCW, basé sur des sources anonymes (un ancien officiel américain et un ancien officiel DHS). Il couvre une décision gouvernementale américaine concernant la firme de cybersécurité suisse Acronis. 📋 Faits principaux Le Department of Homeland Security (DHS), sous la direction du secrétaire Markwayne Mullin, a signé le 31 juillet 2026 une directive ordonnant aux agences civiles fédérales d’éliminer tous les logiciels Acronis de leurs systèmes d’ici le 27 janvier 2027. La directive fait suite à une recommandation formelle du Federal Acquisition Security Council (FASC). ...

🌐 Contexte Publié le 2 novembre 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, ce rapport documente plusieurs incidents de LLMJacking investigués en 2026. Cette tactique consiste à détourner l’accès d’entreprises à des Large Language Models (LLM) hébergés dans le cloud pour en monétiser les ressources. Les victimes sont situées en Amérique du Nord, Amérique du Sud et Asie-Pacifique, dans les secteurs financier, retail, technologique et transport. 💰 Impact financier Contrairement au cryptojacking, le LLMJacking peut générer des pics de facturation frauduleuse dépassant 100 000 USD en une seule journée, avec des charges cumulées atteignant 1 million USD dans certaines organisations avant révocation des accès. ...

🔍 Contexte Publié le 2 novembre 2026 sur le blog officiel Microsoft Edge Dev par Rob Franco et Lu Huang, cet article présente les nouvelles capacités de détection côté client intégrées à Microsoft Edge pour contrer l’abus des notifications de navigateur à des fins malveillantes. 🎯 Technique d’attaque documentée Des escrocs exploitent le mécanisme légitime de notifications web des navigateurs pour diffuser de fausses alertes de virus et des arnaques de type scareware. Le schéma d’attaque suit un pattern récurrent : ...

🎯 Contexte Publié le 4 novembre 2026 sur trojan-killer.net, cet article de Brendan Smith analyse un incident de sécurité affectant le launcher PC du jeu mobile NIKKE, développé par Level Infinite (Tencent). Une correction client a été déployée le 4 novembre 2026 à 02h30 UTC+9 (soit le 3 novembre à 17h30 UTC). 🔍 Nature de la compromission Selon le rapport technique de MotherSphere, des scripts modifiés ont été déposés sur les serveurs de distribution de Level Infinite, entraînant la livraison d’un agent d’accès distant lors de certains lancements du client PC. Le premier démarrage d’agent rapporté remonte au 23 octobre 2026. L’article précise que la compromission concerne uniquement le launcher Windows ; le jeu Android et les autres jeux Tencent ne sont pas établis comme infectés. ...

🔍 Contexte Cet article de recherche publié le 26 octobre 2026 par Marco Pedrinazzi (SecurityBreak Research) analyse Omega AI, une plateforme IA underground découverte sur Cracked Forum le 14 mars 2026. L’analyse est basée sur des captures d’écran de l’interface et de l’annonce forum, sans test direct de la plateforme. 🧩 Description de la plateforme Omega AI se présente comme une alternative non censurée aux assistants IA grand public, dans la lignée de WormGPT et KawaiiGPT. Elle est annoncée par le compte newcracked0 comme un modèle « fine-tuné » pour la communauté underground, sans preuve technique à l’appui. ...

📰 Source : The Hacker News — Article publié le 26 octobre 2026, couvrant un second correctif de sécurité publié par PHP pour ses packages Windows officiels. 🔍 Contexte Cinq jours après les publications du 21 octobre 2026 corrigeant deux failles RCE dites « PHP2Shell », PHP a reconstruit ses packages Windows pour les versions 8.2, 8.3, 8.4 et 8.5 afin d’intégrer Brotli 1.2.1, la version corrigée de la bibliothèque de compression Brotli. ...

🔍 Contexte Publié le 28 octobre 2026 par Mukul Goyal (Parameter Labs), cet article de recherche détaille une vulnérabilité critique (P1) découverte en octobre 2026 dans ChatGPT (chatgpt.com), permettant la prise de contrôle de comptes via une chaîne d’exploitation multi-composants. OpenAI a corrigé le problème le 26 octobre 2026. ⚙️ Mécanisme d’exploitation La chaîne repose sur la combinaison de plusieurs fonctionnalités légitimes de ChatGPT : Graphique interactif : charge la bibliothèque MathLive, qui installe un listener postMessage dans la page principale chatgpt.com. HTML Preview (iframe sandboxé sur un domaine différent) : envoie deux messages postMessage de type mathlive#virtual-keyboard-message au listener MathLive. Absence de vérification d’origine : MathLive accepte ces messages sans valider event.origin ni event.source (politique none). Injection HTML : le message update-setting injecte du HTML arbitraire via innerHTML dans la page principale, via createHTML qui agit comme un wrapper Trusted Types sans sanitisation. Contournement du sandbox : un <iframe srcdoc> sans attribut sandbox est créé dans la page principale, héritant de l’identité https://chatgpt.com. Contournement de la CSP : la CSP de ChatGPT autorisait les scripts depuis www.youtube.com. L’endpoint YouTube oEmbed JSONP (/oembed?callback=) permettait d’injecter du JavaScript arbitraire via le paramètre callback, retourné avec Content-Type: text/javascript. 💥 Impact confirmé Exécution de JavaScript arbitraire dans la session authentifiée de la victime sur chatgpt.com Énumération des conversations privées via GET /backend-api/conversations Lecture du contenu de conversations privées via GET /backend-api/conversations/<id> Exfiltration de données vers un serveur contrôlé par l’attaquant via une requête image Accès complet aux APIs authentifiées de ChatGPT au nom de la victime La victime n’avait qu’à ouvrir le lien partagé (aucune installation, aucun clic supplémentaire requis dans la version automatique) 📅 Timeline 13 oct. 2026 : Confirmation du chemin MathLive → HTML en production 14 oct. : Reproduction complète, exécution JavaScript arbitraire 16 oct. : Confirmation de la livraison via lien de partage public entre comptes séparés 17 oct. : Confirmation du Preview automatique à l’ouverture du lien 18 oct. : Soumission au bug bounty OpenAI 19 oct. : Ajout de la preuve d’exfiltration de conversation privée 21 oct. : OpenAI reproduit le bug, sévérité élevée de P2 à P1 26 oct. : Correction déployée sur les deux frontends web, bounty de 5 000 USD accordé 📄 Nature de l’article Il s’agit d’une publication de recherche technique (post-mortem / write-up de bug bounty) dont le but est de documenter en détail la chaîne d’exploitation, les décisions de conception fautives et la remédiation appliquée par OpenAI. ...