YARA

🔍 Contexte Publié le 10/08/2026 sur GitHub (tadmaddad/Washizukami-Collector), cet article présente Washizukami (鷲掴), un outil open source de collecte d’artefacts forensiques pour Windows, développé en Rust et distribué sous forme de binaire statique unique. ⚙️ Fonctionnalités principales L’outil se distingue par sa capacité à contourner les verrous de fichiers du système d’exploitation en parsant directement la Master File Table (MFT) NTFS, permettant l’acquisition d’artefacts normalement inaccessibles en live : Registres Windows : SAM, SECURITY, SOFTWARE, SYSTEM, Amcache.hve, NTUSER.DAT, UsrClass.dat (avec logs de transaction) Journaux d’événements : Security, System, Application (.evtx) Métadonnées NTFS : $MFT, $SECURE:$SDS, $UsnJrnl:$J (via lecture ADS directe) Artefacts système : Prefetch, LNK récents, WMI Repository, SRUM Database Historiques navigateurs : Chrome, Firefox, IE/Edge 🛡️ Mécanismes d’intégrité Chaque fichier collecté est accompagné d’un hash SHA-256 consigné dans un journal d’audit structuré (collection.log) incluant horodatage, méthode de collecte et statut. ...

🔍 Contexte Publié le 01/10/2026 sur GitHub (github.com/St0rn/SigLens), cet article présente SigLens, un toolkit de sécurité local Windows développé par St0rn / CybersecurIT, destiné au triage d’artefacts, au diagnostic de signatures, à l’investigation de faux positifs et aux workflows Red Team / detection engineering. 🛠️ Fonctionnalités principales SigLens orchestre plusieurs capacités d’analyse sans modifier l’artefact analysé : Analyse statique PE : hashes, entropie, sections, imports/exports, ressources, overlay, strings ASCII/UTF-16LE Corrélation YARA : offsets natifs YARA corrélés aux sections PE, RVA, VA et symboles PDB/source Scan multi-moteurs AV : Microsoft Defender, ClamAV, ESET Endpoint Security, Sophos, Avast Business, Malwarebytes, et scanners CLI génériques via engines.json AMSI full-buffer : soumission du buffer complet via AmsiScanBuffer sans découpage ni obfuscation Analyse structurelle de scripts : PowerShell (AST natif), JavaScript, VBScript, WSF avec cartographie des fonctions et blocs Prefix-based AV detection-boundary narrowing : bornage reproductible de la transition CLEAN -> DETECTED par scans de préfixes progressifs Extraction d’IOCs : URLs, IPv4, domaines, chemins Windows depuis le contenu imprimable Intégration capa : embedding des résultats de capa dans le rapport Rapports JSON et HTML ⚙️ Architecture technique L’outil fonctionne sous Windows 10/11 ou Windows Server, nécessite PowerShell 5.1+ et Python 3.11+ pour l’exécution en mode source. Un exécutable standalone SigLens.exe est générable via Build.ps1. La configuration des moteurs AV tiers s’effectue via un fichier engines.json avec des adaptateurs CLI paramétrables. ...

Selon la documentation du projet PackageInferno, l’outil propose une chaîne de traitement complète en conteneurs pour auditer la supply chain npm et visualiser les résultats localement via un tableau de bord. 🧰 Pipeline clef en main en Docker : un « enumerator » construit la file de paquets, un « fetcher » télécharge les tarballs (avec option d’upload S3), un « analyzer » effectue l’analyse statique (YARA en option) et un Postgres stocke les résultats. Un dashboard Streamlit (http://localhost:8501) permet la recherche, le drill‑down et des analyses. La configuration passe par scan.yml (allowlists, seuils, règles YARA), avec historique des scans en base (scan_runs). ...

Source et contexte: Rubrik Zero Labs publie une analyse intitulée Unmasking the Invisible: Hunting and Defeating EDR-Evading Threats Like BRICKSTORM, soulignant que les EDR traditionnels ne tournent pas (ou ne peuvent pas) sur des appliances telles que VMware vCenter Server Appliance (VCSA) et d’autres équipements réseau Linux/BSD — une surface dont des acteurs malveillants tirent parti. 🔍 L’article met en avant des règles YARA signées par Google Threat Intelligence Group (GTIG) pour identifier le backdoor BRICKSTORM. Les règles référencées incluent G_APT_Backdoor_BRICKSTORM_3, G_Backdoor_BRICKSTORM_2, G_APT_Backdoor_BRICKSTORM_1 et G_APT_Backdoor_BRICKSTORM_2, avec des conditions ciblant des binaires ELF (vérifications de magie ELF comme 0x464c457f / 0x7F454C46) et des motifs d’obfuscation/décryptage. ...

Source : Elastic Security Labs — Des chercheurs présentent « FlipSwitch », une technique de rootkit Linux capable de contourner le nouveau mécanisme de dispatch des syscalls introduit dans le kernel 6.9. Le noyau Linux 6.9 a remplacé la table sys_call_table par un dispatch via switch pour neutraliser le hooking classique des syscalls. FlipSwitch contourne cette défense en modifiant directement le code machine du dispatcher des syscalls (x64_sys_call), évitant toute dépendance à la sys_call_table désormais non utilisée pour le routage effectif. ...

Selon SentinelLabs (blog de recherche de SentinelOne), une nouvelle catégorie de menaces émerge : des malwares « activés par LLM » qui génèrent leur logique malveillante au runtime, plutôt que de l’embarquer en clair. L’étude présente des techniques de détection basées sur la recherche de motifs de clés API et la « chasse aux prompts », permettant d’identifier des échantillons inconnus, dont « MalTerminal », potentiellement l’un des premiers malwares de ce type. ...

Source: viuleeenz.github.io — L’auteur détaille une méthodologie de chasse aux menaces à partir d’un unique IOC issu d’un article de Unit42 sur le malware Gremlin Stealer, en s’appuyant sur VirusTotal pour relier des échantillons, extraire des indicateurs et monter en généralité sans recourir lourdement au reversing. L’analyse combine indicateurs statiques et comportementaux pour relier des échantillons: horodatage futur (2041-06-29 19:48:00 UTC), marque/copyright trompeurs (“LLC ‘Windows’ & Copyright © 2024”), et métadonnées .NET comme MVID et TypeLib ID pour le clustering. L’auteur souligne que si les caractéristiques statiques sont faciles à modifier, les contraintes comportementales le sont moins et constituent des pivots plus robustes. ...