Forensique

🛰️ Contexte Source : Swissinfo.ch, publié le 3 octobre 2026. L’article rapporte une cyberattaque ciblée contre Beyond Gravity, fournisseur aérospatial détenu par l’État suisse, spécialisé dans les équipements pour l’exploration spatiale. 🔍 Déroulement de l’incident Les premières indications d’activité malveillante dans l’environnement IT de l’entreprise ont été détectées le 12 août. L’entreprise n’a communiqué publiquement que plusieurs semaines après cette détection initiale. 🏢 Réponse de l’entreprise Collaboration avec le Bureau fédéral pour la cybersécurité (BACS) et la société de sécurité Mandiant pour l’investigation Dépôt d’une plainte pénale Renforcement des mesures de sécurité Recherche active des activités des attaquants et analyses forensiques des appareils compromis 🎯 Attribution Beyond Gravity qualifie l’auteur de l’attaque d’acteur hautement professionnel. Aucune attribution formelle n’a été établie à la date de publication. ...

🗓️ Contexte Source : Tagesspiegel, publié le 18 août 2026. L’article rapporte une cyberattaque confirmée contre deux administrations du Sénat de Berlin, annoncée officiellement par le service de presse et d’information du Land de Berlin un lundi après-midi. 🎯 Cibles et impact Les deux entités touchées sont : L’administration de l’urbanisme (Stadtentwicklungsverwaltung) L’administration des transports (Verkehrsverwaltung) Les deux administrations ont été isolées du réseau régional berlinois (Landesnetz Berlin) le vendredi précédant l’annonce. Une source interne décrit la situation comme une incapacité à communiquer par Internet ou par e-mail vers l’extérieur : « sans Internet ni communication par e-mail vers l’extérieur ». ...

🔍 Contexte Publié le 28 mai 2026 sur le SANS Internet Storm Center par Manuel Humberto Santander Peláez (Handler SANS ISC), cet article présente la reconstruction complète d’une kill chain Akira ransomware dans une organisation de taille moyenne, en utilisant exclusivement des syslogs SSLVPN de pare-feu et des exports EVTX Windows (canaux Security, System, PowerShell/Operational). Aucun EDR, aucun PCAP, aucun proxy log n’était disponible. 🚪 Accès initial (Stage 1) L’attaquant a conduit une attaque par brute-force ciblant un compte SSLVPN local unique, depuis une seule adresse IP dans une plage d’hébergeur. Le compte était désactivé dans Active Directory mais toujours provisionné localement sur le firewall, sans MFA. L’authentification réussie est intervenue après environ 6 heures d’attaque, sans pause — comportement typique du credential stuffing. ...

🔍 Contexte Publié le 27 mai 2026 par Manuel Humberto Santander Peláez sur le SANS Internet Storm Center, cet article présente la reconstruction complète d’une kill chain Akira ransomware dans une organisation de taille moyenne, en utilisant exclusivement des syslogs SSLVPN de pare-feu et des exports EVTX Windows (Security, System, PowerShell/Operational). Aucun EDR, PCAP ou proxy log n’était disponible. 🎯 Environnement cible Forêt Active Directory mono-site derrière un NGFW périmétrique Accès distant via SSLVPN pour une petite équipe Logs firewall couvrant ~7 jours avant l’événement de chiffrement Exports EVTX de 2 contrôleurs de domaine et 3 serveurs membres 🔗 Déroulement de l’attaque Stage 1 – Accès initial : ...

📰 Source : TechCrunch, publié le 22 avril 2026. Cet article couvre la publication d’un correctif de sécurité par Apple pour un bug affectant iOS et iPadOS. 🔍 Contexte : Plus tôt dans le mois, le média indépendant 404 Media avait révélé que le FBI avait réussi à extraire des messages Signal supprimés depuis un iPhone à l’aide d’outils forensiques. La cause identifiée : le contenu des messages affichés en notification était stocké dans une base de données du système, et ce même après suppression des messages dans l’application Signal. ...

🔍 Contexte Publié le 01/10/2026 sur GitHub (github.com/St0rn/SigLens), cet article présente SigLens, un toolkit de sécurité local Windows développé par St0rn / CybersecurIT, destiné au triage d’artefacts, au diagnostic de signatures, à l’investigation de faux positifs et aux workflows Red Team / detection engineering. 🛠️ Fonctionnalités principales SigLens orchestre plusieurs capacités d’analyse sans modifier l’artefact analysé : Analyse statique PE : hashes, entropie, sections, imports/exports, ressources, overlay, strings ASCII/UTF-16LE Corrélation YARA : offsets natifs YARA corrélés aux sections PE, RVA, VA et symboles PDB/source Scan multi-moteurs AV : Microsoft Defender, ClamAV, ESET Endpoint Security, Sophos, Avast Business, Malwarebytes, et scanners CLI génériques via engines.json AMSI full-buffer : soumission du buffer complet via AmsiScanBuffer sans découpage ni obfuscation Analyse structurelle de scripts : PowerShell (AST natif), JavaScript, VBScript, WSF avec cartographie des fonctions et blocs Prefix-based AV detection-boundary narrowing : bornage reproductible de la transition CLEAN -> DETECTED par scans de préfixes progressifs Extraction d’IOCs : URLs, IPv4, domaines, chemins Windows depuis le contenu imprimable Intégration capa : embedding des résultats de capa dans le rapport Rapports JSON et HTML ⚙️ Architecture technique L’outil fonctionne sous Windows 10/11 ou Windows Server, nécessite PowerShell 5.1+ et Python 3.11+ pour l’exécution en mode source. Un exécutable standalone SigLens.exe est générable via Build.ps1. La configuration des moteurs AV tiers s’effectue via un fichier engines.json avec des adaptateurs CLI paramétrables. ...

🛡️ Contexte Publié le 04/05/2026 sur GitHub par Ridgeline Cyber Defence, VanGuard est un toolkit de réponse à incident (DFIR) open-source développé en Go, conçu pour les équipes de sécurité en entreprise. Il se présente comme un binaire unique, portable, sans installation requise, compatible Windows et Linux. 🔧 Fonctionnalités principales VanGuard consolide l’ensemble du cycle de vie IR dans un seul exécutable : Triage rapide : collecte de 20+ catégories d’artefacts Windows et 15+ Linux (processus, logs, tâches planifiées, historique navigateur, registre, connexions réseau, etc.) Threat Hunting : intégration de Hayabusa (Sigma), Chainsaw, Loki (IOC scanning), YARA ; détection de LOLBins, autoruns suspects, DLL hijacking, unités systemd rogues, binaires SUID, patterns C2 Forensique mémoire : capture via DumpIt, WinPMEM, AVML, LiME ; analyse via Volatility3 Collecte disque : KAPE + EZ Tools (Windows), UAC (Linux) Opérations Velociraptor : gestion complète du cycle de vie serveur/agent, déploiement via WinRM/SSH/PSExec, VQL, hunts Opérations distantes : exécution simultanée sur plusieurs endpoints, authentification NTLM/SSH/PSExec Reporting : rapports HTML auto-contenus, super-timelines CSV, clustering MITRE ATT&CK automatique 📋 Bibliothèque de 28 cas d’usage pré-construits Chaque cas d’usage inclut un mapping MITRE ATT&CK, une classification de sévérité et une collecte d’artefacts phasée : ...

Source: Blog officiel de la société Salesforce. Contexte: article didactique d’Eoghan Casey présentant une méthodologie pour enquêter sur des incidents de sécurité dans des environnements Salesforce. L’article détaille trois piliers pour l’investigation: logs d’activité, permissions utilisateurs et données de sauvegarde. Les logs répondent au qui/quoi/où/quand/comment, les permissions déterminent l’étendue d’accès et d’export, et les sauvegardes permettent d’évaluer l’impact sur les données et de restaurer l’intégrité. Des exemples incluent la Login History, le Setup Audit Trail, et pour une visibilité avancée, Shield Event Monitoring (API, exports de rapports, téléchargements de fichiers), ainsi que des journaux additionnels pour B2C Commerce Cloud. ...