Reverse Engineering

📅 Publié le 11/09/2026 sur decompilation.education, cet article présente The Decompilation Book, une série de billets de blog éducatifs co-écrite par Hugo Matousek, SeungHyun Sung et Zhuo Zhang, inspirée du modèle du Fuzzing Book. 🎯 Contexte et motivation Les auteurs constatent un manque de ressources pédagogiques accessibles sur la décompilation, contrairement à la compilation qui dispose de nombreux cours et livres. Ils soulignent également la montée en puissance des IA dans le domaine du reverse engineering, notamment GPT-6 Astra qui aurait résolu quasi-intégralement les challenges de leur benchmark SRE-Bench dans sa première version. ...

🔍 Contexte Publié en octobre 2026 sur GitHub (https://github.com/x86rc/unthemidator), cet article présente Unthemidator, un outil open source de dépaquetage et de suppression de protections runtime pour les binaires Windows protégés par Themida, WinLicense et Code Virtualizer. ⚙️ Fonctionnement Unthemidator opère de manière entièrement statique : il n’exécute pas le binaire cible, n’appelle aucune API et n’émet aucun syscall sur la machine hôte. Il prend en charge : Les formats EXE, DLL, SYS et autres binaires Windows Les architectures x86 (32-bit) et x86_64 / amd64 (64-bit) Les systèmes Windows et Unix 🛠️ Fonctionnalités principales Dépaquetage PE complet et reconstruction du PE (runnable et déboguable) Dépaquetage des ressources Décompression des machines virtuelles Déchiffrement des imports et restauration de l’IAT Identification de la version Themida / Code Virtualizer Localisation de tous les points d’entrée Themida/CV 📦 Versions supportées Themida v3.0 – v3.2.6.0 WinLicense v3.0 – v3.2.6.0 Code Virtualizer (VMs compressées) v3.0 – v3.2.6.0 Code Virtualizer v4.0 (expérimental) ⚠️ Limitations L’outil ne dévirtualise pas le code (pas de devirtualization ni de démutation). Il ne désobfusque pas le code protégé par machine virtuelle. ...

📰 Article publié le 23 octobre 2026 sur secjuice.com. Il s’agit d’une analyse technique approfondie d’un échantillon du ransomware DoNex, conduite via le framework REA (Reverse Engineer Anything) orchestré par le client MCP Google Antigravity et le modèle Gemini 3.8 Flash High, avec Ghidra comme moteur de décompilation. 🔬 Contexte et famille malware DoNex est un ransomware apparu début 2024, évolution des groupes Muse et DarkRace, spécialisé dans la double extorsion. L’échantillon analysé (SHA-256 : 0adde4246aaa9fb3964d1d6cf3c29b1b13074015b250eb8e5591339f92e1e3ca) est un PE32 x86 32 bits non packé, compilé avec MSVC, d’une taille de 229 391 octets. Il présente un overlay de 527 octets contenant la clé publique RSA-4096 et les paramètres de configuration. ...

🔍 Contexte Publié sur le dépôt GitHub officiel de GrammaTech, cet article présente DDisasm (Datalog Disassembly), un outil open source de désassemblage binaire développé par GrammaTech et ayant fait l’objet de publications académiques à l’USENIX Security 2020 et à l’IEEE Symposium on Security and Privacy 2025. ⚙️ Fonctionnement technique DDisasm utilise le langage de programmation logique déclaratif Datalog (Soufflé) pour compiler des règles et heuristiques de désassemblage. Le processus se déroule en plusieurs étapes : ...

📅 Source : numb3rs.re, publié le 5 octobre 2026. Article de recherche technique (N-Day / 1-Day) portant sur la CVE-2026-23866 affectant WhatsApp sur iOS et Android. 🔍 Contexte de la vulnérabilité La CVE-2026-23866 a été publiée le 1er mai 2026. Elle décrit une validation incomplète des messages AI Rich Response pour Instagram Reels dans WhatsApp, permettant à un attaquant de forcer le chargement d’un contenu média depuis une URL arbitraire sur l’appareil d’une victime, entraînant une fuite d’informations (headers, adresse IP, etc.). ...

📅 Publié le 23/09/2026, source : https://github.com/newliver666/apk-reverse apk-reverse est un skill conçu pour être chargé par des agents IA (Claude Code, Codex, ou tout harnais compatible Agent Skills) afin d’automatiser et de structurer les opérations d’ingénierie inverse d’APK Android. 🔧 Capacités principales documentées : Décompilation, dépatching chirurgical de DEX, repacking et signature d’APK Suppression de publicités et debloating Analyse runtime et serveur Gestion de cibles durcies/packées (identification du packer, dépacking, reconstruction d’APK depuis un dump mémoire) Contournement de mécanismes anti-analyse : certificate pinning natif, détection d’environnement, bibliothèques qui se suicident (fault addr 0x4) Analyse de protocoles non-REST : protobuf sans schéma, gRPC, QUIC/HTTP3 Travail sur split APK / App Bundle Analyse de Dart AOT, Flutter, React Native, Unity Utilisation de Frida pour le hooking dynamique et le RPC de fonctions natives Neutralisation des vérifications de version, des mises à jour forcées et des canaux de hot-update Séparation des gates côté client (patchables) des ressources côté serveur (non patchables) 📁 Structure du skill : ...

📅 Article publié le 19 août 2026 sur le blog Zerotistic. Il s’agit d’une analyse technique détaillée d’un projet de reverse engineering des protocoles privés Apple permettant d’accéder aux données de localisation du service Find My People depuis un système Linux. 🔍 Contexte et objectif L’auteur souhaitait automatiser la lecture de la localisation partagée par un ami via Apple Find My, afin de créer des géofences locales et des notifications Discord. N’ayant pas de Mac, il a entrepris de reconstituer entièrement le flux d’authentification et de communication Apple depuis Linux. ...

🔍 Contexte Publié le 4 août 2026 sur GitHub par l’utilisateur matteyeux, le dépôt binja-diff est un plugin Python pour Binary Ninja destiné à la comparaison différentielle de binaires. 🛠️ Fonctionnalités principales Le plugin s’appuie sur QBinDiff pour effectuer la mise en correspondance de fonctions entre deux binaires et afficher leurs différences à cinq niveaux d’abstraction : CFG (Control Flow Graph) Assembleur LLIL (Low Level IL) MLIL (Medium Level IL) HLIL (High Level IL) Parmi les capacités notables : ...

🔬 Contexte Publié le 22 juillet 2026 par Juan Andrés Guerrero-Saade et Gabriel Bernadett-Shapiro (SentinelLABS), cet article présente un benchmark original conçu pour évaluer les capacités des modèles de langage frontier dans le cadre d’une investigation autonome de malware sur le long terme. 🧪 Le benchmark : fast16 comme cas d’étude Le benchmark s’appuie sur fast16, un implant Windows de sabotage datant de 2005, conçu pour altérer des solveurs haute précision utilisés dans la modélisation d’armes nucléaires. Ce malware présente une architecture en couches : ...

🔍 Contexte : Le 30 juin 2026, un chercheur du blog Thereallo a publié une analyse technique de Claude Code (version 2.1.196), l’agent de codage d’Anthropic, dans le cadre d’un audit de confidentialité personnel. 🧩 Découverte principale : Le binaire de Claude Code contient une fonction qui modifie silencieusement le system prompt envoyé au modèle en substituant l’apostrophe du mot “Today’s” par différents caractères Unicode visuellement identiques (', ’, ʼ, ʹ) et en changeant le séparateur de date (- → /). Cette technique est qualifiée de stéganographie de prompt. ...