IOC

🔍 Contexte Publié le 12 août 2026 sur le blog d’A Security (https://a.security/blog/asecurity-zoomsday), cet article de recherche offensive détaille la découverte de trois vulnérabilités critiques dans Zoom, plateforme utilisée par 70% du Fortune 100. La recherche a été conduite par Idan Levcovich, Senior Vulnerability Researcher, assisté d’un agent IA utilisant des modèles publics. 🎯 Vulnérabilités identifiées Trois CVE ont été attribuées : CVE-2026-53413 : Stack buffer overflow dans CAnnoFormatBlock::Deserialize — un compteur 32 bits fourni par l’attaquant contrôle une copie dans un buffer fixe de 128 octets sans vérification de borne, permettant d’écraser la pile jusqu’à l’adresse de retour. CVE-2026-53414 : Heap over-read dans le buffer de glyphes — allocation basée sur un compteur attaquant avec un corps court, exposant des pointeurs vtable et des adresses de modules en mémoire (primitif de fuite ASLR). CVE-2026-53415 : Write-what-where dans le handler du type de message 75 (CAnnoObjAutoMetaShape) — des pointeurs de liste chaînée fournis par l’attaquant sont utilisés sans validation lors du déchainement, offrant un primitif d’écriture arbitraire. ⚙️ Mécanisme d’exploitation La surface d’attaque réside dans libannotate.so, bibliothèque partagée compilée identiquement pour Windows, macOS, iOS, Android et Linux. Le protocole d’annotation propriétaire de Zoom transmet des PDU (CAnnoPduAddObj) via le routeur MMR, avec un canal direct entre chaque participant et le partageur d’écran. L’absence de vérification du rôle de l’émetteur dans CAnnoPduFactory::create permet à un attaquant d’envoyer un opcode AddObj (0x10001) là où un AddObjAck (0x10002) est attendu, déclenchant la désérialisation complète côté victime. ...

🔍 Contexte Publié le 10 août 2026 par Criminal IP (AI Spera), cet article analyse CVE-2026-18577, une vulnérabilité de bypass d’authentification affectant la plateforme de Remote Monitoring and Management (RMM) N-able N-central, confirmée comme activement exploitée fin juillet 2026. 🎯 Vulnérabilité CVE : CVE-2026-18577 Type : Authentication bypass et compromission de compte (CWE-288) Produit affecté : N-able N-central (toutes versions antérieures au build 2026.3.1.7) Prérequis : Aucune authentification préalable requise, accessible à distance Impact : Accès complet à la console de gestion et contrôle des systèmes connectés Statut : Exploitation confirmée in the wild ; ajouté au catalogue KEV de la CISA Note : La vulnérabilité persiste après le correctif de CVE-2026-18556 ; seul le build 2026.3.1.7 corrige définitivement le problème ⚔️ Déroulement des attaques observées Reconnaissance : Identification des interfaces N-central exposées sur internet via titres de pages, réponses HTTP, certificats TLS Exploitation : Bypass de l’authentification via CVE-2026-18577, contournant même le MFA Mouvement latéral : Utilisation de la fonctionnalité Take Control pour accéder aux serveurs de sauvegarde, contrôleurs de domaine et serveurs applicatifs Persistance : Déploiement de multiples outils RMM (AnyDesk, TacticalRMM, TeamViewer, RustDesk, SimpleHelp, HopToDesk) et de Cloudflare Tunnel (cloudflared.exe renommé en MicrosoftEdgeUpdate64.exe ou msmp.exe) Actions sur objectifs : Création de comptes domaine, modification de mots de passe administrateurs, tentatives de désactivation des EDR/Microsoft Defender 🌐 Surface d’attaque exposée Via Criminal IP Asset Search (août 2026) : ...

🗓️ Contexte Le CERT Polska (CERT.PL), équipe nationale CSIRT rattachée à NASK, publie le 11 août 2026 un rapport complémentaire sur les attaques coordonnées du 29 décembre 2025 contre le secteur énergétique polonais. Ce rapport couvre un incident distinct de ceux déjà documentés en janvier 2026 : l’attaque d’une petite centrale de cogénération (CHP) alimentant environ 50 000 habitants. 🔍 Vecteur d’attaque initial L’attaquant a d’abord compromis un équipement FortiGate (VPN concentrateur + pare-feu) exposé sur Internet dans une ferme éolienne, sans authentification multifacteur. Disposant de privilèges administratifs, il a ensuite identifié un routeur cellulaire Teltonika RUTX50 connecté à un réseau APN privé géré par un Distributeur Système Opérateur (DSO). ...

📅 Publié le 7 août 2026 sur le blog officiel AWS Security, cet article technique présente une méthodologie structurée pour détecter, remédier et surveiller en continu les buckets Amazon S3 sur-permissifs dans des environnements AWS mono ou multi-comptes. 🔍 Contexte et problématique Les buckets S3 mal configurés — via des politiques trop larges ou des ACL (Access Control Lists) permissives — peuvent exposer des données sensibles à des accès non autorisés. Sans revue proactive, ces configurations passent inaperçues. ...

🔍 Contexte Publié le 5 août 2026 sur shells.systems par Ian, cet article de recherche offensive présente une technique de contournement pratique d’Application Control for Business (anciennement Windows Defender Application Control / WDAC) exploitant les Kernel Extended Attributes (Kernel EAs) du système de fichiers NTFS. ⚙️ Mécanisme technique Les Kernel EAs sont une classe spéciale d’attributs étendus introduite dans Windows 8, utilisée par le noyau comme cache haute performance pour éviter des opérations coûteuses comme la vérification répétée de signatures binaires. L’attribut clé abusé est $Kernel.Smartlocker.OriginClaim. ...

🔍 Contexte Publié le 6 août 2026 par Gareth Heyes (PortSwigger Research), cet article de recherche technique présente une série de techniques d’attaque exploitant le rendu CSS dans les clients webmail. Les cibles étudiées incluent Yahoo Mail, AOL Mail, Fastmail, ProtonMail, Gmail et Outlook. 🎯 Techniques d’attaque principales Abus des éléments HTML/CSS autorisés Détournement de balises <label> : les attributs for permettent de déclencher des actions UI arbitraires (ex: épingler un message dans Outlook, ouvrir le ruban). Vulnérabilité non corrigée par Microsoft. Injection de prompt indirect via CSS : utilisation des pseudo-éléments :before/:after pour masquer du texte aux victimes humaines tout en le rendant visible aux LLM (navigateur IA OpenAI Atlas), permettant l’exfiltration du nom de la victime via des onglets ouverts automatiquement. Exfiltration de tokens par CSS Race condition lors du collage dans un brouillon (AOL Mail, Yahoo Mail) : du HTML/CSS malveillant dans le presse-papiers est injecté sans sanitization correcte sous Firefox. Vol de token Medium (12 caractères hex) : via des sélecteurs d’attributs CSS imbriqués (^=, *=, $=) et du CSS nesting pour réduire la taille du payload. Technique permettant de reconstituer le token complet côté serveur. Exfiltration sans requêtes externes (CSP strict) : utilisation d’oracles de hauteur de police (@font-face + descent-override), d’animations CSS et de la propriété inset pour forcer un clic sur un lien encodant les digits du token. Contournements de proxy d’image Fastmail : content:url(/\5c/user.fm/...) — le sanitizer croit que l’URL est relative, le navigateur résout vers user.fm. ProtonMail : imbrication de Url( dans un commentaire CSS pour tromper le sanitizer et exposer l’IP de la victime. Gmail : background:image-set(var(--x,'//02.rs')) — le fallback de variable CSS contourne la sanitization. Mutation CSS (Fastmail) Mutation via CSSOM : les noms de keyframes et media queries contenant des escapes hex (\7d\2a) sont décodés par Chrome lors de la lecture CSSOM, produisant des sélecteurs arbitraires (}*{color:red}). Deux bugs corrigés par Fastmail, chacun récompensé par 1000$ de bounty. CSS Gadgets (Outlook) Gadgets CSS : des attributs data-* autorisés par le sanitizer déclenchent une manipulation DOM par une bibliothèque JS tierce, injectant position:fixed hors de la liste blanche. Permet de déface Outlook et de sortir des limites du message. CSS Hotwiring (Fastmail) Technique permettant de forcer un clic sur une action UI spécifique (ex: marquer comme VIP) lorsque la victime clique n’importe où sur la page, via :before/:after avec position:fixed et z-index élevé. Keylogger CSS (Outlook) Keylogger via <select> et sélecteurs CSS (option+option:checked, :has(), :checked) combiné au gadget CSS position:fixed pour spoofier l’écran de connexion Outlook. Keylogger temps réel (Firefox) : exploitation d’un comportement Firefox qui réinitialise le timer du <select> lors d’un déplacement hors écran via animation CSS. Bypass du sanitizer Outlook : injection via @media --narrow-window;/*"*/.xyz{position:fixed} — le sanitizer traite le sélecteur comme faisant partie de la media query. Exfiltration via prompt injection + Gmail bypass (Cowork/Slack) Collaboration avec Pete Hendy : email piégé convainquant l’IA Cowork (connecteur Gmail) de créer un brouillon contenant du CSS exfiltrant un token Slack via le bypass Gmail (image-set(var(...))). 🔮 Attaques futures décrites Keylogger HTML-only (Chrome) : via l’élément <selectedcontent> et images lazy-loaded. Keylogger temps réel Chrome : via l’attribut interestfor (interest invokers) pour chaîner des <select> popovers. 📋 Type d’article Publication de recherche offensive détaillée, présentant des techniques CTI exploitables contre des webmails grand public et des clients IA, avec preuves de concept et code source disponible sur GitHub. ...

🔍 Contexte : Le 2 avril 2026, la société australienne dotSec publie une analyse technique détaillant la découverte et la divulgation responsable à Microsoft d’une vulnérabilité de désérialisation non sécurisée dans un binaire du Windows Assessment and Deployment Kit (ADK). ⚠️ Vulnérabilité : La faille, référencée CVE-2026-25166 et attribuée à Dr Tim Baker (Head of Testing and Assessment chez dotSec), affecte le binaire imgmgr.exe, composant du Windows System Image Manager (WSIM) livré avec le Windows ADK. Ce binaire est une application .NET Framework (WPF) qui utilise BinaryFormatter.Deserialize sans SerializationBinder sur un fichier fourni par l’utilisateur via l’argument /i, exposant une vulnérabilité classique de type CWE-502 (Désérialisation de données non fiables). ...

📰 Publié le 4 août 2026 sur IT-Connect par Alexis Koestel, cet article traite d’une vulnérabilité affectant WAPT Server, la solution de déploiement logiciel éditée par Tranquil IT, utilisée notamment dans de nombreux systèmes d’information en France. 🔍 Nature de la vulnérabilité La faille CVE-2026-33591 réside dans le mécanisme d’authentification de WAPT Server. Un attaquant distant non authentifié peut envoyer un paquet spécialement conçu pour contourner une restriction de sécurité et récupérer un jeton de session valide pour le compte ciblé, sans connaître le mot de passe de l’utilisateur visé. ...

🗓️ Contexte Source : BleepingComputer, publié le 7 août 2026. Metabase, éditeur d’une plateforme d’analytique disponible en SaaS (Metabase Cloud) et en auto-hébergement, a divulgué l’exploitation active d’une vulnérabilité zero-day affectant ses versions 1.58 et supérieures. 🔥 Vulnérabilité exploitée Type : Injection SQL non authentifiée (SQLi) Sévérité : Critique, CVSS 10.0 Versions affectées : 1.58 et supérieures (branches 0.58 à 0.63) Aucun CVE attribué à la date de publication L’exploitation permet à un attaquant distant non authentifié d’injecter du SQL arbitraire, d’obtenir un accès administrateur, de modifier la configuration, de voler des identifiants des bases connectées, de lire et d’exporter des données Endpoint exploité : POST /api/session/reset_password (retour 400) suivi d’un GET /api/user/current réussi 🏢 Victimes confirmées Framework (fabricant de laptops) : ...

🔍 Contexte En juillet 2026, les chercheurs de Kaspersky ont identifié une campagne active du groupe hacktivist Head Mare exploitant une chaîne de vulnérabilités dans des serveurs TrueConf non patchés. L’analyse technique a été publiée le 7 août 2026 sur Securelist, relayée par BleepingComputer le 8 août 2026. ⚙️ Vecteur d’attaque et chaîne d’exploitation L’attaque repose sur l’exploitation de deux vulnérabilités critiques : KLCERT-26-057 : exécution de script malveillant dans l’environnement isolé TrueConf via le port TCP 4307 (ouvert par défaut), sans authentification KLCERT-26-058 : échappement du sandbox et exécution de commandes OS avec privilèges SYSTEM Une fois l’accès obtenu, les attaquants ont : ...