Windows

📰 Source : The Hacker News — Article publié le 26 octobre 2026, couvrant un second correctif de sécurité publié par PHP pour ses packages Windows officiels. 🔍 Contexte Cinq jours après les publications du 21 octobre 2026 corrigeant deux failles RCE dites « PHP2Shell », PHP a reconstruit ses packages Windows pour les versions 8.2, 8.3, 8.4 et 8.5 afin d’intégrer Brotli 1.2.1, la version corrigée de la bibliothèque de compression Brotli. ...

🔍 Contexte Publié le 12 octobre 2026 par Elastic Security Labs (auteurs : Jia Yu Chan et Daniel Stepanic), cet article présente une analyse technique approfondie de la campagne REF8801, attribuée à un groupe opérant sous le nom fictif Apex Accelerator / Apex Arena. 🎭 Présentation de l’opération L’opération se présente comme un accélérateur Web3 privé prétendant avoir plus de 200 projets en portefeuille et 124 millions de dollars levés. Elle cible des fondateurs de crypto-startups avec des offres de crédits IA gratuits (Claude, Gemini), des outils de codage, des audits de sécurité et des événements en présentiel (notamment TOKEN2049 à Singapour). Des faux avis et une présence publique soignée (site web, Luma, réseaux sociaux) sont utilisés pour paraître légitime. ...

🌐 Contexte Source : Rescana (rescana.com), publié le 23 septembre 2026. L’article est une alerte d’exploitation active basée sur des observations de terrain par des firmes de threat intelligence, dont Volexity. 🎯 Campagne et acteurs En septembre 2026, au moins deux groupes APT d’origine chinoise — UTA0560 et JungleBamboo (alias APT31, Violet Typhoon, TA412) — ont mené une campagne coordonnée d’espionnage cyber. Le partage d’infrastructure d’exploitation entre les deux groupes suggère l’implication d’un broker d’exploits commun ou une coordination au sein de l’écosystème cyber chinois. ...

🛡️ Contexte Publié le 27 septembre 2026 sur GitHub par un lycéen turc (@prox0959, Çınar), MemGuard est un outil défensif open-source sous licence MIT, conçu pour protéger le processus lsass.exe contre les techniques de credential dumping sur les systèmes Windows 10/11. ⚙️ Fonctionnement technique L’outil repose exclusivement sur des appels natifs Win32/NT kernel via ctypes, sans aucune dépendance tierce. Il implémente quatre mécanismes de détection : Énumération des handles NT : utilise NtQuerySystemInformation (classe 64 — SystemExtendedHandleInformation) pour auditer tous les handles ouverts sur lsass.exe à l’échelle du système Analyse des masques d’accès : décode le champ GrantedAccess 32 bits et alerte sur PROCESS_VM_READ (0x0010), PROCESS_ALL_ACCESS (0x1FFFFF), PROCESS_VM_WRITE (0x0020), etc. Lecture PEB en mémoire : inspecte la ligne de commande des processus via NtQueryInformationProcess + ReadProcessMemory pour détecter les invocations LOLBin (comsvcs.dll MiniDump, procdump -ma) Scan d’artefacts de dump : détecte les fichiers .dmp valides (en-tête MDMP) dans les répertoires de triage 🚨 Menaces couvertes Accès direct à la mémoire LSASS via Mimikatz, Dumpert, NanoDump LOLBins : rundll32.exe comsvcs.dll MiniDump et procdump.exe -ma lsass.exe Duplication de handles depuis des services privilégiés 🔧 Modes d’utilisation --scan : audit ponctuel --monitor --interval N : surveillance continue --suspend : gel actif du processus offensif via NtSuspendProcess --json : export de rapport forensique --lang tr : support bilingue anglais/turc 📌 Positionnement Cet article est la documentation technique d’un nouvel outil défensif open-source. Il vise à fournir une alternative gratuite aux solutions EDR commerciales (CrowdStrike Falcon, SentinelOne) pour la protection contre la technique MITRE ATT&CK T1003.001. ...

🔍 Contexte Publié le 15 septembre 2026 par Mr.Z sur le blog de recherche 0xsp, cet article présente une technique offensive originale exploitant WerEnc.dll (Windows Error Reporting Dump Encoding Library), une DLL signée Microsoft présente sur tous les systèmes Windows 10 1607+ et Windows 11. 🧩 Technique principale : BYOK (Bring Your Own Key) WerEnc.dll exporte deux fonctions : EncryptDumpFile (ordinal 1) et EncryptDumpStream (ordinal 2), qui appliquent un chiffrement AES-256 avec une clé de session wrappée via RSA-4096 vers une clé publique Microsoft embarquée dans la DLL. ...

🔍 Contexte Publié en septembre 2026 sur GitHub par le chercheur KillaBoi (Jaydip Modhwadia), ce dépôt public présente un proof-of-concept (PoC) d’élévation de privilèges locale (LPE) affectant le Steam Client Service de Valve. La vulnérabilité aurait été signalée à Valve en mars 2026, sans correctif publié à ce jour. 🎯 Vulnérabilité La faille réside dans le fait que steamservice.exe, qui s’exécute en permanence avec les privilèges NT AUTHORITY\SYSTEM, accepte une racine d’installation contrôlée par l’appelant non couverte par la signature d’un VDF Valve légitime. Ce gap de couverture de signature permet à un utilisateur standard de faire exécuter un lanceur arbitraire par le service privilégié. ...

🔍 Contexte Source : Help Net Security, publié le 31 août 2026. Anthropic, l’entreprise derrière l’assistant IA Claude, a notifié des utilisateurs affectés par une campagne de compromission de comptes via des infostealers. 🎯 Nature de l’incident Des sessions de connexion à la plateforme Claude ont été compromises à la suite d’infections par des malwares de type infostealer. Anthropic a procédé au verrouillage préventif des comptes concernés et a communiqué directement avec les utilisateurs affectés par email. ...

🔍 Contexte Article publié le 21 août 2026 sur le blog de recherche xusheng.dev. Il s’agit d’une publication de recherche en rétro-ingénierie portant sur les applications Microsoft Paint et Photos sous Windows, dans le cadre des fonctionnalités d’IA générative d’image (Cocreator, Image Creator). 🧩 Découverte principale L’analyse révèle que Paint et Photos embarquent un filigrane invisible dans chaque image générée par IA, même lorsque la génération est locale (NPU sur Copilot+ PC). Ce filigrane est un GUID de 16 octets émis par un serveur Microsoft distant lors de la modération du prompt. ...

🔍 Contexte Cet article est publié le 18 août 2026 sur le blog AmberWolf par David Cash. Il présente une recherche en vulnérabilité et divulgation responsable portant sur l’abus du mécanisme Mobile Device Management (MDM) natif de Windows. 🎯 Technique décrite : NachoMDM La technique baptisée NachoMDM consiste à weaponiser (armer) les fonctionnalités MDM intégrées à Windows afin d’atteindre deux objectifs offensifs : Contournement de l’UAC (User Account Control) Exécution de code avec des privilèges SYSTEM via une inscription MDM malveillante 🏢 Contexte d’exploitation Dans les environnements d’entreprise modernes, le MDM est utilisé pour : ...

🔍 Contexte Publié en août 2026 sur GitHub par Angelo Frasca Caccia (lem0nSec_) et Alejandro Pinna, SgrmFault est un Proof-of-Concept (PoC) d’exploitation Windows présenté aux conférences REcon 2026 et DEF CON 34. ⚙️ Mécanisme technique La chaîne d’exploitation repose sur deux composants Windows légitimes : WerFaultSecure.exe : utilisé pour une technique d’injection de code basée sur COM (revivifiée), permettant l’exécution de shellcode dans un contexte privilégié. SgrmAgent.sys (driver Microsoft System Guard Runtime Monitor) : expose une primitive de tampering de processus via APC (Asynchronous Procedure Call). La chaîne complète permet d’altérer des processus protégés (ex: MsMpEng.exe, processus PPL) depuis un contexte non-privilégié disposant de SeDebugPrivilege. ...