Pentest

Selon Ars Technica (Dan Goodin), Dallas County (Iowa) a accepté, cinq jours avant l’ouverture d’un procès, de verser 600 000 $ à deux professionnels de la sécurité de Coalfire, Gary DeMercurio et Justin Wynn, arrêtés en 2019 lors d’un pentest physique autorisé d’un palais de justice. Contexte et fait marquant ⚖️: En septembre 2019, les pentesters menaient un exercice de red team autorisé par l’Iowa Judicial Branch, incluant explicitement des « attaques physiques » (ex. lockpicking) sous conditions. Malgré une lettre d’autorisation vérifiée par des adjoints arrivés sur place, le shérif du comté de Dallas, Chad Leonard, a ordonné leur arrestation pour cambriolage (felony), plus tard réduite à des contraventions de trespass; toutes les charges ont ensuite été abandonnées. ...

Selon le dépôt GitHub du projet Chronix, l’outil propose un espace de travail collaboratif auto‑hébergé destiné aux pentesters et opérateurs Red Team, pour capturer notes, commandes, sorties et contexte opérationnel tout au long des engagements. 🛠️ Fonctionnalités principales : journalisation chronologique (source, destination, outil, commande, sortie, résultat), notes collaboratives en Markdown avec auto‑sauvegarde et historique, synchronisation temps réel via WebSocket, filtres/recherche (par outil, cible, texte), exports CSV/Markdown (notes en .md ou archive .zip avec pièces jointes), et collage d’images (PNG/JPEG/GIF/WebP) directement dans les notes. ...

Selon Substack, NetAskari a obtenu la « toolbox » d’un pentester et analyste sécurité actif en Chine, offrant un aperçu des outils employés et de quelques résultats de tests sur infrastructure cible. Contexte: l’article situe cette découverte dans un écosystème chinois de cybersécurité opaque, parfois lié à des opérations plus offensives, sans pour autant attribuer ces outils à des APTs. L’objectif est une exploration modeste des pratiques et de l’outillage des « foot soldiers » du pentest. ...

Selon Horizon3.ai, des frameworks de pentest IA open source (notamment Cyber-AutoAgent et Villager) créent des risques de conformité majeurs en transmettant des données sensibles de tests d’intrusion vers des fournisseurs LLM externes (ex. OpenAI, Anthropic). Le problème principal n’est pas l’entraînement des modèles, mais l’exfiltration immédiate et non autorisée de données vers des tiers non approuvés, contournant DLP et SIEM, et violant des exigences PCI, HIPAA, CJIS et FedRAMP. Côté technique, ces outils enchaînent reconnaissance et exploitation en envoyant la sortie des commandes aux endpoints LLM via des appels API, générant une fuite silencieuse au travers d’un trafic HTTPS légitime. Ils utilisent souvent des clés API publiques, ne disposent pas de contrôles de configuration pour restreindre les flux, embarquent des bibliothèques de télémétrie tierces et n’offrent pas de pistes d’audit. ...

Source: Black Hills Information Security — BHIS annonce DomCat, un outil en ligne de commande (Golang) destiné aux professionnels de la cybersécurité pour repérer des domaines expirés présentant des catégorisations « sûres » susceptibles de contourner des filtres web lors d’engagements de pentest. DomCat s’intègre à deux APIs: NameSilo (récupération de données de domaines expirés) et Cloudflare Intel (vérification de la catégorisation). Il remplace des approches obsolètes fondées sur le web scraping. ...