Incident Response

🔍 Contexte Publié sur GitHub (HotStartLabs/sift), cet article présente Sift Secrets, un outil de triage de credentials et de données sensibles exposées sur des partages de fichiers réseau (SMB/DFS). Il est conçu pour les analystes en réponse à incident (IR) opérant sur des machines isolées. 🛠️ Fonctionnalités principales Scan de partages réseau (SMB, DFS) à la recherche de credentials et secrets exposés Interface de triage interactive avec raccourcis clavier, contexte élargi, et ouverture directe dans VS Code ou Notepad Boucle de feedback : création de règles à la volée depuis l’interface, avec rescan incrémental (~1 seconde) Copie locale rate-limitée (5 MB/s par défaut, résumable) pour préserver l’intégrité du partage source Exportation en PDF, CSV, MD et JSON, avec redaction automatique des valeurs sensibles Import de règles depuis gitleaks (TOML), Kingfisher/Titus (YAML), trufflehog (JSON) Mode portable : archive zip ~11 MB avec runtime Python embarqué, sans installation ni droits admin 🎯 Types de fichiers ciblés (non couverts par les outils CI classiques) web.config avec chaînes de connexion SQL Scripts PowerShell avec net use ... /user: Fichiers Office (.docx, .xlsx) contenant des mots de passe unattend.xml, GPP Groups.xml (artefacts de déploiement Windows) confCons.xml, .rdg, WinSCP.ini (mots de passe réversibles stockés) Fichiers .kdbx, .pfx, id_rsa (détection par nom de fichier) Fichiers .bak contenant des chaînes de connexion 🔐 Sécurité de l’outil lui-même Interface web liée à 127.0.0.1 uniquement Token aléatoire par lancement, cookie SameSite=Strict Validation du header Host (protection contre DNS rebinding) CSP sans origines externes API /api/context et /api/open limitées aux chemins déjà indexés 📊 Système de règles (3 niveaux) Tier 1 : formats de clés vendor, blocs PEM, GPP cpassword, dumps NTLM — non ambigus Tier 2 (défaut) : règles de proximité (mot-clé secret + valeur) Tier 3 : chaînes haute entropie, hex long, IBANs — haute sensibilité, bruit élevé 📝 Type d’article Il s’agit d’une présentation d’outil open-source (nouveaux outils) destinée aux analystes IR et CTI, visant à combler les lacunes des scanners CI (gitleaks, trufflehog) dans le contexte spécifique du triage de partages de fichiers exposés. ...

🔍 Contexte Publié le 25 septembre 2026 sur le site officiel de DIVD (Dutch Institute for Vulnerability Disclosure), cet article constitue une annonce officielle d’incident de sécurité. DIVD, organisation reconnue dans la communauté de la divulgation responsable de vulnérabilités, révèle avoir été elle-même victime d’une intrusion après presque sept ans d’activité. 🚨 Nature de l’incident L’organisation a détecté une activité suspecte sur son infrastructure, déclenchant une investigation interne qui a confirmé la compromission. L’élément distinctif de cette attaque est son modus operandi : les enquêteurs estiment qu’il s’agit d’une attaque propulsée par une IA agentique, un type d’attaque que DIVD déclare n’avoir jamais rencontré auparavant. ...

🏢 Contexte Le 20 juillet 2026, Craneware plc, éditeur de logiciels pour le secteur de la santé, a publié une notification officielle via un service d’information réglementaire (RIS) concernant une violation de données détectée dans une portion de son environnement de données. 🔍 Nature de l’incident Des attaquants ont obtenu un accès non autorisé à l’environnement de Craneware, leur permettant de visualiser et d’exfiltrer des données. Les éléments confirmés incluent : ...

🗓️ Contexte Le 16 avril 2026, Autovista a publié une mise à jour officielle sur son site (autovista.com) concernant un incident de type ransomware affectant certains de ses systèmes. La publication fait suite à une perturbation initialement signalée le 15 avril 2026. 🎯 Nature de l’incident L’incident est explicitement qualifié de ransomware par l’organisation. Les systèmes impactés sont localisés en Europe et en Australie. Des applications Autovista ont été perturbées, et certains employés ont perdu temporairement l’accès à leur messagerie électronique. ...

🛡️ Contexte Publié le 04/05/2026 sur GitHub par Ridgeline Cyber Defence, VanGuard est un toolkit de réponse à incident (DFIR) open-source développé en Go, conçu pour les équipes de sécurité en entreprise. Il se présente comme un binaire unique, portable, sans installation requise, compatible Windows et Linux. 🔧 Fonctionnalités principales VanGuard consolide l’ensemble du cycle de vie IR dans un seul exécutable : Triage rapide : collecte de 20+ catégories d’artefacts Windows et 15+ Linux (processus, logs, tâches planifiées, historique navigateur, registre, connexions réseau, etc.) Threat Hunting : intégration de Hayabusa (Sigma), Chainsaw, Loki (IOC scanning), YARA ; détection de LOLBins, autoruns suspects, DLL hijacking, unités systemd rogues, binaires SUID, patterns C2 Forensique mémoire : capture via DumpIt, WinPMEM, AVML, LiME ; analyse via Volatility3 Collecte disque : KAPE + EZ Tools (Windows), UAC (Linux) Opérations Velociraptor : gestion complète du cycle de vie serveur/agent, déploiement via WinRM/SSH/PSExec, VQL, hunts Opérations distantes : exécution simultanée sur plusieurs endpoints, authentification NTLM/SSH/PSExec Reporting : rapports HTML auto-contenus, super-timelines CSV, clustering MITRE ATT&CK automatique 📋 Bibliothèque de 28 cas d’usage pré-construits Chaque cas d’usage inclut un mapping MITRE ATT&CK, une classification de sévérité et une collecte d’artefacts phasée : ...

Selon l’annonce du projet « witr » publiée le 4 janvier 2026, l’outil vise à répondre à la question « Why is this running? » en exposant la chaîne causale menant à l’existence d’un processus. Le projet open‑source witr fournit une vue causale, lisible et unifiée expliquant pourquoi un processus/service/port est actif, sur Linux et macOS. witr privilégie l’explication plutôt que l’énumération d’états. Il part d’une cible (nom de processus/service, PID ou port) et reconstruit la chaîne d’ascendance jusqu’à la source (ex. systemd, launchd, docker, pm2, cron, shell interactif). La sortie standard comprend la cible, les métadonnées du processus, la section clé « Why It Exists », la source principale unique, le contexte (répertoire, dépôt Git/branche, conteneur, exposition réseau) et des avertissements comme processus root, écoute sur 0.0.0.0, multiples redémarrages, mémoire élevée, uptime > 90 jours. ...

Source : Elcomsoft Blog — Dans un guide détaillé orienté forensique et réponse à incident, l’article explique l’exploitation de la base Windows SRUM pour retracer l’activité utilisateur et réseau sur une fenêtre glissante de 30 jours. 🔎 SRUM conserve des historiques sur l’usage d’applications et l’activité réseau utiles pour reconstruire des chronologies lors d’incidents. L’article présente ses capacités, ses limites et des méthodes pratiques d’accès/analyses adaptées aux enquêtes numériques. 🗂️ Sur le plan technique, la base SRUDB.dat repose sur le format ESE (Extensible Storage Engine) et journalise notamment : lancements de processus, connexions réseau, CPU, I/O disque, consommation énergétique. Les enregistrements incluent des noms de processus, emplacements de fichiers, comptes d’exécution, horodatages, ainsi que des métadonnées réseau (adresses IP, ports). ...

L’article publié le 28 juillet 2025 rapporte une attaque de la chaîne d’approvisionnement qui a compromis la version 0.5.15 du package Python populaire num2words, potentiellement liée à l’acteur de menace connu sous le nom de Scavenger. Le package malveillant a été publié sur PyPI sans les balises de dépôt correspondantes, ce qui a immédiatement suscité des inquiétudes. Grâce à une réponse rapide de la communauté et à la suppression rapide par PyPI, des dommages plus importants ont été évités. Les organisations utilisant ce package sont invitées à vérifier immédiatement leurs environnements, à rétrograder à une version antérieure non compromise, et à mettre en œuvre des mesures de sécurité renforcées pour la chaîne d’approvisionnement. ...

L’article publié le 18 juillet 2025 par StepSecurity.io met en lumière un incident de sécurité de la chaîne d’approvisionnement impliquant le package npm populaire eslint-config-prettier. Plusieurs versions de ce package (10.1.6 à 10.1.9) ont été publiées avec des modifications malveillantes, sans changement de code correspondant dans le dépôt officiel. Les versions compromises contiennent un payload spécifique à Windows qui exécute un fichier DLL, ce qui pourrait affecter des milliers de projets mis à jour automatiquement par des outils de gestion de dépendances. Les organisations sont invitées à auditer immédiatement leurs dépendances et à revenir à des versions plus sûres pendant que l’enquête se poursuit. ...