Posts

🔍 Contexte Publié le 21 septembre 2026 par GreyNoise (Andrew Thompson, Mark Mager), ce rapport documente l’activité d’un acteur malveillant cybernétique (MCA) suivi depuis juin 2026 via le Global Observation Grid (GOG) de GreyNoise. L’acteur est suspecté d’être sinophone, opérant en UTC+8, et est relié au groupe “Red Heron” précédemment rapporté par Acronis, sur la base d’un domaine C2 commun, d’une famille de malware partagée et de TTPs similaires. 🎯 Campagne d’exploitation multi-vecteurs L’acteur a ciblé une large gamme de technologies entre juin et septembre 2026 : ...

📰 Source : BleepingComputer — Date : 22 septembre 2026 Le chercheur en sécurité Abdelhamid Naceri (alias Nightmare Eclipse) a publié un nouveau proof-of-concept (PoC) zero-day nommé BigDiskBuster, ciblant Microsoft Defender. Cet exploit empêche l’antivirus de recevoir ses mises à jour de signatures et de plateforme, laissant les systèmes protégés par une version figée de Defender tant que l’outil tourne en arrière-plan. 🔍 Caractéristiques techniques : Fonctionne sur toutes les versions Windows supportées Doit s’exécuter en arrière-plan pour maintenir le blocage Similaire à UnDefend, un précédent zero-day publié en avril 2026 permettant à des utilisateurs standard de bloquer les mises à jour de définitions Le PoC est décrit comme « un peu buggé » et nécessite une réécriture 📋 Contexte de la campagne de divulgation : Depuis avril 2026, Naceri a publié une dizaine de zero-days dans le cadre d’un différend avec Microsoft suite à son licenciement allégué en mars 2025. Les exploits publiés incluent : ...

🗞️ Contexte Source : Ars Technica, publié le 22 septembre 2026, par Dan Goodin. L’article rapporte la découverte et la divulgation publique d’une vulnérabilité zero-day dans Muse, le nouvel assistant IA de Meta, par le chercheur en sécurité macOS Patrick Wardle (fondateur de l’Objective-See Foundation). 🔍 Description de la vulnérabilité Muse est un assistant IA macOS disposant d’accès extraordinairement privilégiés : WhatsApp, email, calendrier, réseaux sociaux, microphone, caméra, localisation, écriture sur disque. Le zero-day repose sur deux décisions de conception défaillantes : ...

🛠️ Contexte Publié le 17/09/2026 sur GitHub (https://github.com/crypt0p3g/adnullenum), adnullenum est un outil open-source de reconnaissance Active Directory conçu pour fonctionner en session nulle (null session), c’est-à-dire sans aucune accréditation. Il s’appuie sur les named pipes \samr et \lsarpc accessibles via SMB sur le port 445. 🔍 Fonctionnalités principales L’outil effectue en une seule passe les opérations suivantes : Énumération des utilisateurs, ordinateurs et groupes du domaine (avec séparation des comptes machine $) Détail complet par utilisateur : description, groupes, timestamps de mot de passe et de connexion, flags de compte, restrictions de connexion Politique de domaine et de mots de passe/verrouillage Informations LSA/DNS : nom DNS, forêt, GUID de domaine, SID, relations d’approbation (trusts) RID cycling via SAMR ou LSA (fallback optionnel avec --lsa-fallback) pour contourner les restrictions d’énumération directe Flagging automatique des comptes intéressants : AS-REP roastable, mot de passe non requis, délégation non contrainte, mot de passe dans la description, etc. 📁 Sorties structurées Chaque exécution génère un dossier horodaté contenant : ...

🌐 Contexte Publié le 18 septembre 2026 par un consortium d’agences gouvernementales (NPA, NCO Japon, FBI, DC3 USA, ASD/ACSC Australie, BND et BfV Allemagne), cet advisory conjoint expose les activités du groupe nord-coréen WaterPlum, également connu sous le nom de Contagious Interview. 🎯 Acteur et attribution WaterPlum est attribué à la Corée du Nord et opère sous le 313e Bureau général du Département de l’industrie des munitions, subordonné au Comité central du Parti des travailleurs de Corée. Le groupe combine des opérations de cyberattaques ciblant les professionnels IT et des activités de travailleurs IT nord-coréens infiltrant des entreprises légitimes. ...

🗓️ Contexte Publié le 17 septembre 2026 sur le blog officiel de Rust (rust-lang.org), cet article émane de l’équipe crates.io et du groupe de travail sécurité. Il alerte sur une campagne active ciblant des membres prominents de la communauté Rust et des propriétaires de crates populaires. 🎯 Nature de l’attaque Les attaquants utilisent des appels vidéo frauduleux comme vecteur d’infection, en se présentant sous des prétextes légitimes (offre d’emploi, projet, opportunité contractuelle). Deux techniques sont employées : ...

🔍 Contexte Analyse publiée par Checkmarx Zero le 17 septembre 2026, portant sur une campagne de supply chain npm active ciblant les développeurs JavaScript via un paquet malveillant nommé indexed-btree, qui imite le paquet légitime sorted-btree. 🎯 Technique d’attaque principale Contrairement aux attaques classiques, ce paquet n’utilise aucun script preinstall/postinstall. Le code malveillant est dissimulé directement dans la méthode prototype BTree.prototype.set, déclenchée lors de l’utilisation normale de la bibliothèque. Cette approche contourne les restrictions introduites par npm v12 sur les lifecycle scripts. ...

🔍 Contexte Analyse publiée le 18 septembre 2026 par K7 Computing Labs (https://labs.k7computing.com), suite à l’investigation d’un système présentant des alertes fréquentes liées à des exécutions PowerShell. L’analyse a révélé une chaîne d’infection multi-étapes reposant massivement sur l’obfuscation, le stockage de payloads dans le registre, la livraison covert de données, des mécanismes de persistance, la neutralisation des contrôles de sécurité et l’exécution en mémoire. 🧩 Phase 1 : Exécution PowerShell via le registre et livraison PNG Le vecteur initial est un script PowerShell (vstdfehze.ps1) exécuté avec -executionPolicy Bypass qui récupère dynamiquement un payload encodé depuis la clé de registre HKLM:\Software\uf42a9660377\vstdfehzr. Le script : ...

🔍 Contexte Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix. 🎯 Vecteur d’infection et chaîne d’exécution L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI : ...

🔍 Contexte Publié le 19/09/2026 sur GitHub (S3cur3Th1sSh1t/claudemessaging), ce dépôt de recherche documente en détail le protocole de messagerie inter-sessions de Claude Code, l’outil d’IA d’Anthropic. Il cartographie les quatre couches de défense du système, identifie plusieurs observations comportementales et publie un outil offensif nommé ccforge.py. 🏗️ Architecture du système de messagerie Claude Code permet à des sessions sur la même machine de communiquer via : Named pipes Windows : \\<host>\pipe\LOCAL\cc-msg-<hash> Unix sockets Linux/macOS : /run/user/<uid>/cc-socks/<pid>.sock et /tmp/cc-socks-<uid>/<pid>.sock Le modèle de confiance repose sur quatre couches : ...