TTP

Publié par Darknet.org.uk, cet article propose une analyse du credential stuffing en 2025, décrivant la chaîne allant des malwares infostealers à la revente de combolists, jusqu’aux attaques d’Account Takeover (ATO) automatisées à l’échelle industrielle. Credential stuffing : principal vecteur d’intrusion dans les entreprises Contexte Les identifiants compromis sont désormais le moyen d’accès initial le plus fiable pour pénétrer les réseaux d’entreprise. Selon le Verizon Data Breach Investigations Report (DBIR) 2025 : ...

Source et contexte — nadsec.online (par NadSec) publie en mars 2026 une rétro‑ingénierie de 28 modules JavaScript du kit d’exploits iOS « Coruna », complémentaire aux rapports de Google Threat Intelligence Group et iVerify (03/03/2026). L’étude (6 630 lignes) reconstitue, depuis le JavaScript obfusqué, une chaîne complète visant iOS 16.0–17.2, détaillant 8 vulnérabilités (WebKit RCE, PAC bypass, JIT cage escape, sandbox escape), jusqu’au binaire kernel récupéré dans la nature. Principaux résultats techniques ...

🔍 Contexte Publié le 01/11/2026 sur GitHub (dis0rded0x00/TrustedHive), cet article est un rapport de divulgation technique décrivant une vulnérabilité d’élévation de privilèges locale sur Windows 11 et Windows Server 2025, suspectée d’être couverte par CVE-2026-81963. 🧩 La vulnérabilité Le composant Component Based Servicing (CBS), exécuté dans TrustedInstaller.exe en tant que SYSTEM, expose une interface COM activable par tout utilisateur interactif. La quasi-totalité des méthodes de cette interface appellent EnsureCallerIsAdministrator, à l’exception de CreateExternalTransformerExecutor, qui retourne un exécuteur de transformation CSI sans aucune vérification d’autorisation. ...

🔍 Contexte Le 30 octobre 2026, Akamai (plateforme cloud Linode) a publié un avis de sécurité client sur sa page de statut officielle concernant la CVE-2026-98432, une vulnérabilité d’exécution de code à distance (RCE) récemment divulguée affectant son infrastructure et les charges de travail clients. 🛡️ Nature de la vulnérabilité La CVE-2026-98432 est une vulnérabilité RCE dont le vecteur d’attaque distant est lié à MPTCP (Multipath TCP) au niveau du noyau Linux (kernel). La vulnérabilité repose sur le traitement des en-têtes optionnels des paquets IPv4 sur les interfaces publiques et VPC. ...

🔍 Contexte Publié sur GitHub (xen0bit/netprobe-cve-2026-98432), ce dépôt présente une analyse technique approfondie de la CVE-2026-98432, une vulnérabilité de type Use-After-Free (UAF) dans la pile TCP IPv4 du noyau Linux, accompagnée d’un outil de détection réseau nommé netprobe. 🐛 Nature de la vulnérabilité La vulnérabilité réside dans la gestion des options IP lors de l’établissement d’une connexion TCP : tcp_v4_init_req() stocke les options IP du SYN dans ireq->ireq_opt tcp_v4_syn_recv_sock() transfère le pointeur vers le socket enfant sans copie Un SYN retransmis concurrent lit ireq->ireq_opt sous rcu_read_lock() via ip_options_build() Si le socket enfant est libéré avant cette lecture, il y a use-after-free Le noyau copie alors les octets périmés dans un SYN-ACK, ce qui constitue le signal de détection sur le fil Le correctif est le commit e3f33b0a1d89d738e2b913dab519226eaf76e15b : remplacement de kfree() par kfree_rcu() dans inet_sock_destruct() et tcp_v4_reqsk_destructor(). ...

🔍 Contexte Le 28 octobre 2026, l’équipe de sécurité Drupal a publié l’avis de sécurité SA-CONTRIB-2026-254 concernant le module Commerce Core (nom machine : commerce), utilisé pour la vente de biens et services via Drupal. ⚠️ Vulnérabilité Type : Access bypass (contournement d’accès) Criticité : Highly critical — score 21/25 (AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All) CVE : CVE-2026-118539 Versions affectées : < 2.41 et >= 3.0.0 < 3.3.13 Le module ne protège pas suffisamment certaines routes et champs d’entités, permettant un contournement d’accès susceptible d’avoir un impact financier direct sur les vendeurs. ...

Source : GitGuardian (blog), en collaboration avec Google — résultats présentés à Real World Crypto (RWC) 2026 à Taipei. L’étude analyse à l’échelle d’Internet l’impact réel des fuites de clés privées en reliant des clés exposées publiquement aux certificats TLS via Certificate Transparency (CT). • Portée et risque 🔐: Depuis 2021, environ 1 M de clés privées uniques ont été détectées sur GitHub et DockerHub. En s’appuyant sur l’infrastructure CT de Google, les chercheurs ont associé >40 000 clés à 140 000 certificats TLS. Au septembre 2025, 2 622 certificats restaient valides, dont >900 protégeant des Fortune 500, des établissements de santé et des agences gouvernementales. Les fuites de clés TLS permettent l’usurpation de sites, l’interception/manipulation de données et potentiellement la décryption de communications passées si la PFS n’était pas généralisée. ...

Selon SentinelOne (billet de blog DFIR), plusieurs incidents début 2026 montrent des FortiGate compromis servant de point d’entrée pour des mouvements latéraux profonds dans Active Directory, avec exploitation de failles SSO corrigées par Fortinet et carences de logs compliquant l’attribution. • Vulnérabilités et accès initial: exploitation de CVE-2025-59718 et CVE-2025-59719 (SSO ne validant pas les signatures cryptographiques) et de CVE-2026-24858 (FortiCloud SSO), permettant un accès administrateur non authentifié. Des acteurs tentent aussi des connexions avec identifiants faibles. Une fois sur l’appliance, l’attaque consiste à extraire la configuration via la commande show full-configuration et à déchiffrer les identifiants AD/LDAP, les fichiers de configuration FortiOS étant chiffrés de façon réversible. Le délai entre compromission périmétrique et action réseau a varié de 2 mois à quasi immédiat. ...

📅 Publié le 02/11/2026, cet article est la documentation officielle du projet open source SpikeStrip, hébergé sur GitHub par Arcanum-Sec. 🎯 Contexte et objectif SpikeStrip est un outil défensif expérimental conçu pour perturber les agents IA d’automatisation de tests de sécurité, notamment les forks publics d’ARTEX. Il insère des commentaires-leurres réversibles dans des fichiers .html, .htm, .js, .mjs et .cjs afin de rediriger, distraire ou saturer ces agents lors de leurs évaluations. ...

🎯 Contexte Publié sur GitHub (nishikawaakira/waf-dojo), WAF Dojo est un projet open source de formation pratique à AWS WAF (Web Application Firewall). Il s’adresse aux équipes de sécurité souhaitant acquérir des compétences opérationnelles en configuration de règles WAF à travers une approche ludique et compétitive. 🏗️ Architecture et fonctionnement Chaque joueur dispose de son propre environnement AWS isolé comprenant : ALB (Application Load Balancer) avec un Web ACL dédié Lambda pour la génération de trafic (trafficgen), l’application cible (targetapp) et l’API de jeu (gameapi) DynamoDB pour le stockage des scores et des sessions CloudFront avec un Web ACL distinct pour l’inspection de corps jusqu’à 64 KB La plateforme utilise uTLS pour générer des ClientHellos TLS variés (Chrome, Firefox, Safari, outils d’attaque) afin de pratiquer la détection par empreinte JA4. ...