Posts

🔍 Contexte Publié le 31 août 2026 par Lukas Maar (Calif), cet article de recherche présente la première partie d’une série décrivant une stratégie d’exploitation générique permettant de passer du contexte untrusted_app Android aux privilèges root sur les appareils flagship de Samsung, Xiaomi et Oppo/OnePlus/Realme. 🎯 Stratégie OEMpocalypse La stratégie repose sur deux étapes : Stage 1 (optionnel) — Sandbox Escape : Exploitation d’une faille logique dans un endpoint IPC OEM (Binder, intent, socket local) pour passer du domaine SELinux untrusted_app vers un processus OEM privilégié (app système, daemon natif) ayant accès au driver ciblé. Stage 2 — Page Use-After-Free (UAF) : Exploitation d’un page UAF dans un driver kernel OEM-spécifique, fournissant un primitif de lecture/écriture physique indépendant des protections slab (CONFIG_SLAB_BUCKETS, KASLR, CFI). 📱 Couverture des appareils testés OEM Appareils Chipset Android Kernel Samsung Galaxy S26 Ultra Snapdragon 8 Elite Gen 5 16 6.12.30 Samsung Galaxy S26 Exynos 2600 16 6.12.38 Samsung Galaxy S23 Snapdragon 8 Gen 2 14 5.15.148 Xiaomi Xiaomi 17 Snapdragon 8 Elite Gen 5 16 6.12.23 Oppo Find X9 Ultra Snapdragon 8 Elite Gen 5 16 6.12.58 OnePlus Ace 6 Ultra MediaTek Dimensity 9500 16 6.12.58 Tous les appareils testés fonctionnaient avec un bootloader verrouillé et un firmware stock signé (Verified boot: green, VBMeta: locked). ...

🔍 Contexte Le 27 août 2026, PaperCut Software a publié un bulletin de sécurité urgent concernant l’exploitation active de vulnérabilités affectant PaperCut NG et PaperCut MF (toutes versions). Le bulletin a été mis à jour le 1er septembre 2026 avec la publication de l’Emergency Patch Release 3. 🚨 Vulnérabilités identifiées Deux CVE ont été rendues publiques : CVE-2026-82078 (CVSS 9.4 – CRITIQUE) : Chargement dynamique non sécurisé de classes Java dans les utilitaires de connexion à la base de données. Permet à un attaquant ayant accès à la configuration système d’exécuter du bytecode Java arbitraire dans le contexte du processus PaperCut. Type : CWE-470. CVE-2026-81578 (CVSS 8.8 – HIGH) : Contournement d’authentification dans l’interface de gestion web. Permet à un attaquant non authentifié de modifier certaines configurations système. Type : CWE-306. 🛠️ Patch et correctifs Emergency Patch Release 3 publié le 1er septembre 2026, couvrant PaperCut NG/MF v24, v25 et v26 (Windows, Linux, macOS). Ce patch cumule les correctifs des Release 1 et 2, corrige deux régressions (flux SAML cassés, support du driver legacy Microsoft SQL Server) et ajoute un durcissement supplémentaire contre des chaînes d’attaque observées en production. Développé en collaboration avec Huntress et watchTowr. 🔎 Indicateurs de compromission Entrées dans server.log : ...

Analyse hebdomadaire générée par Claude à partir des 50 articles publiés sur CyberVeille du 24.08.2026 au 30.08.2026, puis relue et validée avant publication. Les chiffres du bloc de métriques sont calculés automatiquement. 🔭 Ce qu’il faut retenir La chaîne d’approvisionnement logicielle concentre l’actualité offensive et l’actualité judiciaire de la semaine. Deux membres présumés de TeamPCP ont été arrêtés en Australie (arrestations TeamPCP), l’investigation ayant conduit à la déanonymisation étant documentée séparément (enquête Flare). En parallèle, le pipeline de publication NPM d’AsyncAPI a été compromis (AsyncAPI NPM) et des packages npm servent d’hébergeurs de phishing via les miroirs publics (miroirs npm). ...

📰 Source : Ars Technica (Dan Goodin), publié le 31 août 2026. L’article s’appuie sur une recherche publiée par la société de sécurité Plume, focalisée sur le lecteur multimédia SuperBox S7 Pro et son écosystème malveillant. 🎯 Contexte Face au blocage croissant du trafic malveillant par les services en ligne, les attaquants recourent massivement aux réseaux proxy résidentiels. Ces réseaux agrègent des millions de connexions domestiques pour permettre aux cybercriminels de router leur trafic via des adresses IP à bonne réputation. Les appareils de streaming proposant du contenu piraté gratuit constituent un vecteur privilégié de recrutement de ces nœuds, souvent à l’insu des utilisateurs. ...

🔍 Contexte Publié le 26 août 2026 par Group-IB Threat Intelligence, ce rapport présente les résultats d’une investigation enrichie à partir de données publiques récentes (notamment un rapport Kaspersky/Securelist) sur le groupe APT Tortoiseshell, acteur iranien actif depuis au moins 2018 et affilié à l’IRGC (Islamic Revolutionary Guard Corps). 🎯 Acteur de la menace Tortoiseshell (alias Mirage Kitten, UNC1549, Nimbus Manticore) est un groupe APT à nexus iranien ciblant principalement : ...

🔍 Contexte : Le 28 août 2026, le média d’investigation BIRN publie les résultats d’une enquête OSINT reliant un élu local allemand du parti AfD à un réseau d’infrastructure cybercriminelle russo-centrique sanctionné par les États-Unis. 👤 Acteur central : Andreas Maul, 38 ans, né au Kazakhstan, citoyen allemand, conseiller municipal AfD à Selm (Rhénanie-du-Nord-Westphalie), a fondé en octobre 2022 la société Smart Digital Ideas D.O.O. à Belgrade (Serbie), enregistrée comme revendeur IT. ...

📅 Source : RansomLook (ransomlook.io), rapport de rétro-ingénierie publié le 2026-08-29, basé sur l’analyse statique du binaire SHA-256 33d3afddaa5710cdcc4e93a7bae8be010c19747fb53d85fcd54ef32056a1eb0b. 🎯 Contexte et cible ZAWOOO est un encrypteur Linux/ELF64 statique-pie conçu exclusivement pour les NAS Synology DSM. La liste d’exclusion de répertoires ne contient que des partages internes Synology, la racine de scan par défaut est le glob /volume*, et le mode d’exécution rapide exploite un index de fichiers pré-construit sous /etc/f-index. Le binaire est compilé avec GCC 11.2.1, sans packing, obfuscation, anti-debug, anti-VM, ni C2. ...

🔍 Contexte Publié en août 2026 sur GitHub par l’utilisateur MSNightmare, le dépôt HardBreacher expose un proof-of-concept (PoC) d’élévation de privilèges zero-day ciblant Kaspersky Antivirus for Endpoint. Le code source est disponible publiquement sous licence MIT. 🎯 Vulnérabilité et impact La vulnérabilité est décrite comme un Zero-Day d’Elevation of Privileges (EoP) affectant : Windows 11 25H2 (entièrement patché au moment de la publication) Kaspersky for Endpoint v14.0.0.504 En cas de succès, le PoC crée le fichier C:\Windows\System32\MY_SNAKE_IS_SOLID.dll avec des permissions complètes pour l’utilisateur courant, démontrant une écriture arbitraire dans un répertoire système protégé. ...

🔬 Contexte Publié le 13 août 2026 par l’Université de Californie San Diego (UC San Diego) et présenté à l’USENIX Security Symposium à Baltimore, cet article décrit une recherche académique sur la sécurité physique des systèmes avioniques du Boeing 737. La vulnérabilité a été divulguée à Boeing dès 2020 et validée dans les laboratoires de l’avionneur. ⚙️ Mécanisme de l’attaque Les chercheurs ont conçu un implant hardware sur mesure exploitant un port de maintenance inutilisé situé dans la soute électronique (Electronics and Equipment bay) sous le nez de l’appareil, accessible depuis le sol et non verrouillé. ...

🏛️ Contexte Communiqué officiel publié le 28 août 2026 par le Presse- und Informationsamt du Land de Berlin, relatant les suites d’un incident IKT (technologies de l’information et de la communication) ayant touché le réseau informatique du Land de Berlin (Landesnetz Berlin). 🔴 Nature de l’incident Suite à un incident IKT sur le réseau du Land de Berlin, les investigations forensiques en cours ont révélé des exfiltrations de données supplémentaires dans le périmètre de la Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt (Sénat pour la Mobilité, les Transports, la Protection du Climat et l’Environnement). ...