Posts

🛡️ Contexte Publié le 27 septembre 2026 sur GitHub par un lycéen turc (@prox0959, Çınar), MemGuard est un outil défensif open-source sous licence MIT, conçu pour protéger le processus lsass.exe contre les techniques de credential dumping sur les systèmes Windows 10/11. ⚙️ Fonctionnement technique L’outil repose exclusivement sur des appels natifs Win32/NT kernel via ctypes, sans aucune dépendance tierce. Il implémente quatre mécanismes de détection : Énumération des handles NT : utilise NtQuerySystemInformation (classe 64 — SystemExtendedHandleInformation) pour auditer tous les handles ouverts sur lsass.exe à l’échelle du système Analyse des masques d’accès : décode le champ GrantedAccess 32 bits et alerte sur PROCESS_VM_READ (0x0010), PROCESS_ALL_ACCESS (0x1FFFFF), PROCESS_VM_WRITE (0x0020), etc. Lecture PEB en mémoire : inspecte la ligne de commande des processus via NtQueryInformationProcess + ReadProcessMemory pour détecter les invocations LOLBin (comsvcs.dll MiniDump, procdump -ma) Scan d’artefacts de dump : détecte les fichiers .dmp valides (en-tête MDMP) dans les répertoires de triage 🚨 Menaces couvertes Accès direct à la mémoire LSASS via Mimikatz, Dumpert, NanoDump LOLBins : rundll32.exe comsvcs.dll MiniDump et procdump.exe -ma lsass.exe Duplication de handles depuis des services privilégiés 🔧 Modes d’utilisation --scan : audit ponctuel --monitor --interval N : surveillance continue --suspend : gel actif du processus offensif via NtSuspendProcess --json : export de rapport forensique --lang tr : support bilingue anglais/turc 📌 Positionnement Cet article est la documentation technique d’un nouvel outil défensif open-source. Il vise à fournir une alternative gratuite aux solutions EDR commerciales (CrowdStrike Falcon, SentinelOne) pour la protection contre la technique MITRE ATT&CK T1003.001. ...

🔍 Contexte Publié le 23 septembre 2026 sur GitHub (digiprosec/MicroTrick), cet article présente un exploit de preuve de concept (PoC) nommé MikroTrick, ciblant les équipements MikroTik RouterOS exposés sur Internet. La campagne d’exploitation dans la nature a débuté au moins le 2026-09-02, et CERT Polska a publié sa divulgation le 2026-09-05. 🧩 Chaîne d’exploitation L’attaque enchaîne trois vulnérabilités : CVE-2026-86060 (CVSS 9.2) — Élévation de privilèges : le helper SSH interprète un nom d’utilisateur commençant par un tiret comme un descripteur de fichier, permettant l’injection d’une identité et d’un masque de politique arbitraires. CVE-2026-67279 (CVSS 6.9) — Contournement d’authentification : un rekey SSH demandé par le client avant la fin de l’authentification supprime la vérification d’authentification côté serveur. CVE-2026-67277 (CVSS 8.8) — Non utilisé par ce PoC, mais pertinent pour l’empreinte et l’évaluation d’exposition (divulgation mémoire pré-auth via le service btest). Un bug d’état supplémentaire non nommé est également requis : un login rejeté laisse le nom d’utilisateur en attente dans l’état de session. ...

🔍 Contexte Publié le 22 septembre 2026 par Malbear Labs en collaboration avec Threat Hunting Labs, cet article constitue une analyse technique exhaustive de quatre payloads récupérés lors d’une intrusion réelle. L’article complète un write-up de Threat Hunting Labs décrivant la chaîne d’attaque initiale (SEO poisoning → RMM personnalisé → Cobalt Strike). 🧩 PavokwiLoader PavokwiLoader est un loader C++ dont la fonction WinMain contient plus de 80 000 instructions entièrement inlinées. Il implémente de nombreuses techniques d’évasion : ...

🔍 Contexte Publié le 22 septembre 2026 par D3Lab (source : d3lab.net), cet article documente une campagne de phishing ciblant des utilisateurs italiens via l’usurpation du service SEND (plateforme de notifications officielles de pagoPA), combinée à une chaîne d’exploitation iOS délivrée silencieusement. 🎣 Mécanisme de phishing La page frauduleuse reproduit l’identité visuelle du portail SEND pour inciter les victimes à interagir. Elle intègre : Un faux CAPTCHA anti-bot (aucune vérification réelle, simple ajout de paramètre URL) Une application monopage impersonnant SEND, utilisant Socket.IO pour un contrôle interactif en temps réel Des modules de collecte de données personnelles (cartes bancaires, codes de vérification, adresses, téléphones) 💥 Chaîne d’exploit iOS via iframe Un iframe charge silencieusement une ressource depuis 186.244.241.174 qui exécute une chaîne d’exploitation en trois étapes contre Safari/WebKit : ...

🗓️ Contexte Article publié le 23 septembre 2026 sur DataBreaches.net, relatant une attaque par chaîne d’approvisionnement ayant ciblé Canva Pty Ltd via l’un de ses fournisseurs, Canny. 🎯 Déroulement de l’attaque Le groupe “The Seven Deadly Sins” (TSDS) a compromis Canny, un outil de feedback produit utilisé par Canva, à partir du 26 août. L’accès a permis d’atteindre l’instance Salesforce de Canva via la connexion entre les deux plateformes. TSDS déclare avoir obtenu un accès administrateur complet à l’instance Salesforce et avoir exporté l’intégralité des données disponibles. ...

🔍 Contexte Publié le 22 septembre 2026 par ThreatDown, cet article présente l’analyse technique détaillée de CARBONATO, un botnet découvert en août 2026 via un registre Docker non authentifié exposé publiquement depuis mai 2026. L’exposition a permis la collecte passive de 59 dépôts, 234 tags d’images, 605 blobs SHA-256 vérifiés et 4,3 Go de données sur une période allant d’octobre 2024 à août 2026. ⚙️ Fonctionnement du botnet CARBONATO opère en cinq phases : ...

🔍 Contexte Publié le 22 septembre 2026 par Huntress (James Northey et Andrew Brandt), cet article documente deux incidents distincts détectés le 31 août 2026 impliquant le malware DarkMe, un RAT/espion écrit en Visual Basic 6 (VB6) précédemment attribué au groupe APT Water Hydra (alias EvilNum / Operation DarkCasino). 🎯 Changement de vecteur d’accès initial Contrairement aux campagnes de 2023-2024 qui exploitaient deux zero-days (CVE-2023-38831 WinRAR et CVE-2024-21412 Windows Defender SmartScreen), cette nouvelle campagne repose exclusivement sur l’ingénierie sociale : ...

🔍 Contexte Publié le 23 septembre 2026 par Sina Kheirkhah (@SinSinology) sur watchTowr Labs, cet article présente une analyse technique complète de CVE-2026-94127, une vulnérabilité de type heap overflow non authentifié affectant F5 BIG-IP APM, activement exploitée dans la nature au moment de la publication. 🎯 Produit et versions affectées La vulnérabilité affecte le module BIG-IP APM (Access Policy Manager) : BIG-IP APM 21.x : version 21.1.0 BIG-IP APM 17.x : versions 17.5.0 – 17.5.1 et 17.1.0 – 17.1.3 Les autres modules BIG-IP et BIG-IQ Centralized Management ne disposent d’aucun correctif applicable Les correctifs sont disponibles sous forme de hotfix ISO pour les branches 21.x et 17.x. ...

🔍 Contexte Publié le 24 septembre 2026 par The Register, cet article rapporte les travaux de chercheurs affiliés à l’Université de Technologie de Graz (TU Graz) en Autriche, portant sur des vulnérabilités dans les sous-systèmes de notification de fichiers des principaux systèmes d’exploitation. Les résultats sont présentés dans un article académique intitulé “File Notification Attacks: Templating and Exploiting Side-Channel Leakage from the File-Notification Systems on Linux, Windows, and macOS”, prévu à ACM CCS 2026 en novembre à La Haye. ...

🗓️ Contexte Publié le 24 septembre 2026 par Protos Staff, cet article rapporte la divulgation publique de données sensibles issues d’un hack de l’autorité de régulation des jeux de Curaçao (Curaçao Gaming Authority), révélé par l’institution elle-même la semaine précédente (autour du 18 septembre 2026). 🔓 Nature de l’incident Une équipe de journalistes, menée par la journaliste allemande Lilith Wittmann, en collaboration avec des médias (NDR, NRK, SVT, Follow the Money), a revendiqué avoir extrait environ 2 To de données auprès des autorités de jeux de Curaçao et de Malte. L’action est présentée comme un acte journalistique justifié par « un intérêt public supérieur ». ...