Trufflehog

🔍 Contexte Publié sur GitHub (HotStartLabs/sift), cet article présente Sift Secrets, un outil de triage de credentials et de données sensibles exposées sur des partages de fichiers réseau (SMB/DFS). Il est conçu pour les analystes en réponse à incident (IR) opérant sur des machines isolées. 🛠️ Fonctionnalités principales Scan de partages réseau (SMB, DFS) à la recherche de credentials et secrets exposés Interface de triage interactive avec raccourcis clavier, contexte élargi, et ouverture directe dans VS Code ou Notepad Boucle de feedback : création de règles à la volée depuis l’interface, avec rescan incrémental (~1 seconde) Copie locale rate-limitée (5 MB/s par défaut, résumable) pour préserver l’intégrité du partage source Exportation en PDF, CSV, MD et JSON, avec redaction automatique des valeurs sensibles Import de règles depuis gitleaks (TOML), Kingfisher/Titus (YAML), trufflehog (JSON) Mode portable : archive zip ~11 MB avec runtime Python embarqué, sans installation ni droits admin 🎯 Types de fichiers ciblés (non couverts par les outils CI classiques) web.config avec chaînes de connexion SQL Scripts PowerShell avec net use ... /user: Fichiers Office (.docx, .xlsx) contenant des mots de passe unattend.xml, GPP Groups.xml (artefacts de déploiement Windows) confCons.xml, .rdg, WinSCP.ini (mots de passe réversibles stockés) Fichiers .kdbx, .pfx, id_rsa (détection par nom de fichier) Fichiers .bak contenant des chaînes de connexion 🔐 Sécurité de l’outil lui-même Interface web liée à 127.0.0.1 uniquement Token aléatoire par lancement, cookie SameSite=Strict Validation du header Host (protection contre DNS rebinding) CSP sans origines externes API /api/context et /api/open limitées aux chemins déjà indexés 📊 Système de règles (3 niveaux) Tier 1 : formats de clés vendor, blocs PEM, GPP cpassword, dumps NTLM — non ambigus Tier 2 (défaut) : règles de proximité (mot-clé secret + valeur) Tier 3 : chaînes haute entropie, hex long, IBANs — haute sensibilité, bruit élevé 📝 Type d’article Il s’agit d’une présentation d’outil open-source (nouveaux outils) destinée aux analystes IR et CTI, visant à combler les lacunes des scanners CI (gitleaks, trufflehog) dans le contexte spécifique du triage de partages de fichiers exposés. ...

🔍 Contexte Publié le 9 septembre 2026 par Jeremy Kirk, Director of Okta Threat Intelligence, cet article constitue la deuxième partie d’une série de recherches sur la fraude liée aux services d’IA générative. Il s’appuie sur l’analyse d’un dump d’infostealer publié gratuitement sur Telegram le 2 août 2026. 📦 Dataset analysé Le dump analysé comprend 5 871 dossiers représentant 5 871 machines infectées pour un total de 7 Go de données, réparties sur 162 pays. Chaque dossier contient des données d’authentification : credentials, session tokens, clés API, JWTs. ...

🔍 Contexte Publié le 19 août 2026 par Truffle Security Co. sur leur blog de recherche « The Dig », cet article présente les résultats d’une campagne de re-vérification massive de clés AWS exposées publiquement, menée en coordination avec le lancement de leur outil TruffleHog AWS Analyze. 📊 Périmètre de l’étude Les scanners de TruffleHog ont identifié 64 024 paires de clés AWS uniques issues de 431 875 findings publics collectés entre août 2022 et août 2026, provenant de : ...

🔍 Contexte Publié le 29 juillet 2026 par Aryon Security (chercheurs Ariel Litmanovich, Tom Tsabar, Ido Dar), cet article de recherche présente les résultats d’une investigation sur les mauvaises configurations éphémères de partage public de ressources AWS, baptisée « ShutterGap ». 🎯 Problème identifié Les outils CSPM (Cloud Security Posture Management) et CNAPP reposent sur des scans périodiques (souvent toutes les 24 heures). Or, des ressources AWS peuvent être partagées publiquement puis supprimées en quelques minutes, créant un angle mort structurel : ces expositions apparaissent et disparaissent entre deux cycles de scan. ...

📅 Article technique publié le 25 mai 2026 par Guillaume Ross sur recyclebin.zip, présentant une solution open-source de détection de secrets en clair sur les postes de travail des développeurs. 🎯 Contexte L’expansion de la surface d’attaque via les gestionnaires de paquets (PyPI, npm, VS Code Extensions, OpenVSX, brew) expose les postes développeurs à des vols de credentials. La prolifération des agents IA qui consomment les mêmes paquets étend ce risque à l’ensemble des postes de travail, y compris non techniques. ...

🧭 Contexte Publié le 12 mai 2026 par Ross McKerchar (CSO de Sophos), cet article de recherche traite des risques de sécurité liés au déploiement d’agents IA en entreprise, en particulier face à la menace d’injection de prompt indirecte (indirect prompt injection). L’article s’appuie sur des travaux de recherche récents, notamment une étude Google d’avril 2026 sur le dépôt Common Crawl. ⚠️ La menace : la « trifecta létale » Les agents IA opèrent souvent au centre de ce que Simon Wilson nomme la « lethal trifecta » : ils accèdent à des données privées, traitent du contenu non fiable, et communiquent vers l’extérieur. Cette combinaison les rend vulnérables à l’injection de prompt indirecte, où un attaquant plante des instructions dans du contenu lu par l’agent (email, page web, document), qui les exécute avec les privilèges de l’utilisateur légitime. ...

🔍 Contexte Article publié le 4 mai 2026 par Roman Dedenok sur Securelist (Kaspersky). Il documente une tendance croissante d’abus du service légitime Amazon Simple Email Service (Amazon SES) à des fins de phishing et d’attaques BEC (Business Email Compromise). ⚙️ Mécanisme d’attaque Les attaquants obtiennent un accès à Amazon SES principalement via des clés IAM AWS compromises ou exposées, trouvées dans : Dépôts GitHub publics Fichiers ENV Images Docker Sauvegardes de configuration Buckets S3 accessibles publiquement Pour automatiser la recherche de ces clés, les attaquants utilisent des outils comme TruffleHog, un utilitaire open-source de détection de secrets exposés. ...

🏛️ Contexte Le 2 avril 2026, CERT-EU publie un post-mortem détaillé sur un incident de cybersécurité majeur ayant affecté la plateforme web publique de la Commission européenne (europa.eu), hébergée sur Amazon Web Services (AWS). L’incident a été notifié à CERT-EU le 25 mars 2026, conformément à l’article 21 du Règlement (UE, Euratom) 2023/2841. 🔓 Vecteur d’accès initial L’accès initial a été obtenu le 19 mars 2026 via la compromission de la chaîne d’approvisionnement de Trivy, un outil de scan de vulnérabilités, attribuée avec haute confiance au groupe TeamPCP (attribution publique par Aqua Security). La Commission européenne utilisait une version compromise de Trivy reçue via ses canaux normaux de mise à jour logicielle. ...

🔬 Contexte Publication de recherche académique (arXiv, mars 2026) conduite par des chercheurs de Stanford University, UC Davis et TU Delft. L’étude porte sur l’exposition de credentials API sur le web public via l’analyse dynamique de 10 millions de pages web issues du dataset HTTP Archive (crawl septembre 2025). 📊 Périmètre et méthodologie Les chercheurs ont utilisé TruffleHog (v3.90.8) pour détecter les credentials dans les fichiers HAR (HTTP Archive), couvrant environ 200 TB de données. Seuls les credentials vérifiés via les API officielles des fournisseurs ont été retenus, constituant une borne inférieure des expositions réelles. 14 types de services ont été analysés : AWS, Azure, Alibaba, Cloudflare, Stripe, RazorPay, Telegram, Mailchimp, SendGrid, Twilio, Slack, OpenAI, GitHub, Bitly. ...

🔍 Contexte Publié le 31 mars 2026 par Wiz Research et le Wiz Customer Incident Response Team (CIRT), cet article détaille les activités post-compromission du groupe TeamPCP, identifié comme responsable d’une série d’attaques supply chain ciblant des outils open source populaires entre le 19 et le 27 mars 2026. 🎯 Campagne supply chain initiale TeamPCP a injecté des malwares de vol de credentials dans quatre projets open source : 19 mars : Trivy (Aqua Security) — binaires, GitHub Actions et images container 23 mars : KICS (Checkmarx) — GitHub Action et extensions OpenVSX 24 mars : LiteLLM — packages PyPI malveillants 27 mars : Telnyx — packages Python malveillants sur PyPI Le malware déployé collecte des credentials cloud, clés SSH, fichiers de configuration Kubernetes et secrets CI/CD, puis les chiffre et les exfiltre vers des domaines contrôlés par l’attaquant. ...