Veille Forensics & Hardware Security : Atola TaskForce, Analyse TCM Subaru et Exploits Kernel FreeBSD
🕵️ Digital Forensics & Investigation
Atola TaskForce : 8 ans dâĂ©volution dans lâacquisition forensique ultra-rapide
Huit ans dĂ©jĂ qu’Atola fait Ă©voluer la TaskForce, et la plateforme reste une rĂ©fĂ©rence solide pour les laboratoires DFIR. On parle ici de dĂ©bits d’acquisition grimpant jusqu’Ă 50 Gbit/s, d’une reconstruction RAID automatisĂ©e directement Ă la source et de capacitĂ©s d’imagerie sur des disques endommagĂ©s que peu d’outils Ă©galent. Pour quiconque traite des tĂ©raoctets de donnĂ©es sous pression judiciaire, ce gain de temps Ă©vite de bloquer toute une chaĂźne d’analyse.
Forensic Focus Digest : Focus sur BelkaGPT et la saisie Ă chaud
Le dernier digest de Forensic Focus met en avant la gestion critique des 60 premiĂšres minutes lors de la saisie de preuves numĂ©riques. Autre point captivant : l’intĂ©gration de BelkaGPT par Belkasoft, qui apporte une assistance IA 100% locale et hors-ligne aux analystes. Traiter des bases de donnĂ©es volumineuses sans faire fuiter de donnĂ©es sensibles vers des services cloud tiers devient enfin une rĂ©alitĂ© praticable sur le terrain.
Analyse forensique des shells Linux : Pourquoi Atuin change la donne
Les fichiers .bash_history classiques posent problĂšme lors des investigations post-incident (absence de horodatage prĂ©cis, Ă©crasements faciles, perte d’historique en sessions parallĂšles). L’Ă©quipe de SANS ISC s’est penchĂ©e sur Atuin, un outil qui remplace l’historique shell classique par une base SQLite chiffrĂ©e. D’un point de vue DFIR, comprendre la structure et les artefacts d’Atuin devient indispensable pour auditer les actions d’un attaquant sur un hĂŽte Linux moderne.
Trois 0-days pré-auth dans le noyau FreeBSD : Une gestion de vulnérabilité contestable
L’Ă©quipe de recherche chez Calif.io a mis en lumiĂšre trois exploits Ă distance en prĂ©-authentification ciblant le noyau FreeBSD sur un unique port TCP. Le plus dĂ©routant ? PlutĂŽt que d’Ă©mettre un correctif immĂ©diat, le projet FreeBSD a initialement choisi de simplement documenter le comportement. Une posture risquĂ©e qui laisse des infrastructures sensibles exposĂ©es Ă de l’exĂ©cution de code au niveau Ring 0.
Proxmox VE 9.2 s’ouvre officiellement Ă l’architecture Arm 64 bits
Excellente nouvelle pour les monteurs d’infrastructures de lab de test ou de serveurs d’analyse DFIR basse consommation : Proxmox VE supporte dĂ©sormais nativement l’architecture aarch64 sur Debian 13.5. On peut enfin dĂ©ployer des hyperviseurs sur des puces comme les NVIDIA Grace Hopper ou des cartes UEFI sans bidouille instable, ouvrant la voie Ă des clusters de recherche forensique plus flexibles.
🚗 Automotive & Hardware Security
RĂ©tro-ingĂ©nierie de TCM automobile : Analyse de la cartographie ROM d’un TCU 5EAT
Sur les forums spĂ©cialisĂ©s en analyse d’ECU, les chercheurs Rimwall et SCAR17s documentent le dĂ©sassemblage poussĂ© des firmwares du boĂźtier de transmission 5EAT (puces Hitachi/Denso). L’approche est particuliĂšrement instructive pour le Vehicle Forensics : en couplant des scripts Ghidra personnalisĂ©s et l’observation des trames CAN bus, ils parviennent Ă faire correspondre les variables RAM Ă des fonctions matĂ©rielles prĂ©cises de la boĂźte de vitesses.
Routeurs vendus avec portes dérobées : Le blocage réglementaire de la FCC
Un rapport relayĂ© par Android Authority confirme que plusieurs modĂšles de routeurs grand public antĂ©rieurs aux rĂ©centes interdictions amĂ©ricaines intĂšgrent des portes dĂ©robĂ©es actives tĂ©lĂ©communicant vers des serveurs situĂ©s en Chine. Faute de pouvoir interdire rĂ©trospectivement leur vente sans violer leurs propres procĂ©dures, les autoritĂ©s laissent ces Ă©quipements vulnĂ©rables circuler sur le marchĂ© d’occasion et dans les petits rĂ©seaux.
GrapheneOS vs Revolut : Attestation matérielle et blocage des OS durcis
Le ton monte entre les dĂ©veloppeurs du systĂšme sĂ©curisĂ© GrapheneOS et la nĂ©obanque Revolut, qui bloque l’accĂšs aux appareils tournant sous cette ROM durcie. GrapheneOS dĂ©nonce une mauvaise comprĂ©hension des mĂ©canismes d’attestation matĂ©rielle (Hardware Attestation) par l’Ă©quipe de sĂ©curitĂ© de la banque, rappelant qu’un systĂšme Android personnalisĂ© et signĂ© ne rime pas automatiquement avec appareil compromis.
Verrouillage d’applications natif sur Android : Protection anti-fouille renforcĂ©e
Google teste le retour d’un verrouillage d’applications directement intĂ©grĂ© au niveau du systĂšme sur les smartphones Pixel. PensĂ© comme une alternative Ă la fonctionnalitĂ© Private Space, ce systĂšme bloque l’accĂšs aux applications sĂ©lectionnĂ©es via biomĂ©trie. Du cĂŽtĂ© de l’analyse forensique mobile, cela pose un obstacle supplĂ©mentaire lors des extractions logiques de terminaux dĂ©verrouillĂ©s.
Android 17 durcit l’accĂšs aux tuiles Quick Settings sur Ă©cran verrouillĂ©
Un teardown APK des rĂ©cents builds Android rĂ©vĂšle que Google affine la restriction des bascules rĂ©seaux sur l’Ă©cran de verrouillage. Les tuiles Wi-Fi, Bluetooth, DonnĂ©es Mobiles et Mode Avion nĂ©cessiteront dĂ©sormais une authentification biomĂ©trique prĂ©alable. Une modification bienvenue pour entraver la neutralisation Ă distance d’un tĂ©lĂ©phone saisi sur le terrain.
CHERRY sort deux lecteurs de carte Ă puce CCID 100% natifs sous Linux
CHERRY a annoncĂ© la sortie des terminaux ST-1150 et Smart Board 1150. L’intĂ©rĂȘt majeur rĂ©side dans le support natif du protocole CCID sous Linux, Ă©vitant l’installation de pilotes propriĂ©taires obscurs pour gĂ©rer l’authentification forte et la signature cryptographique par carte Ă puce dans les environnements sĂ©curisĂ©s.
PICOTTY : Un KVM IP minimaliste basé sur Pi Zero 2 W et Raspberry Pi Pico
Le projet open-source PICOTTY combine un Raspberry Pi Zero 2 W jouant le rĂŽle de hub web et plusieurs microcontrĂŽleurs Raspberry Pi Pico pour piloter des cibles via liaison sĂ©rie et Ă©numĂ©ration USB HID. C’est le genre de montage parfait pour contrĂŽler Ă bas coĂ»t un banc de test de serveurs ou de cibles embarquĂ©es sans passer par des baies d’administration propriĂ©taires coĂ»teuses.
Nouveau wearable Garmin repéré à la FCC : LTE et connectivité Satellite
Les documents d’homologation de la FCC ont laissĂ© Ă©chapper la prĂ©sence d’une nouvelle montre intelligente Garmin Ă©quipĂ©e de modules LTE et de tĂ©lĂ©communication satellite Direct-to-Cell. En investigation numĂ©rique, l’ajout du satellite sur ces wearables haut de gamme enrichira considĂ©rablement les donnĂ©es de gĂ©olocalisation et les journaux de secours exploitables lors d’analyses forensiques.
Traductions IA hors-ligne : Google fait la dĂ©monstration d’un boĂźtier basĂ© sur Gemma
Google a partagĂ© les dĂ©tails d’un traducteur portable fonctionnant entiĂšrement hors-ligne grĂące au modĂšle Gemma exĂ©cutĂ© en local sur du matĂ©riel embarquĂ©. Ce type de dispositif autonome prĂ©figure le dĂ©ploiement d’assistants IA de terrain utilisables dans des zones d’intervention privĂ©es de rĂ©seau ou nĂ©cessitant une Ă©tanchĂ©itĂ© numĂ©rique totale.
GEEKOM IT13 Max : Teardown d’un mini-PC pour l’analyse IA sur le terrain
CNX Software a dĂ©cortiquĂ© le mini-PC GEEKOM IT13 Max embarquant un processeur Intel Core Ultra 9 185H (NPU dĂ©diĂ© aux calculs IA) et 24 Go de RAM LPDDR5. La compacitĂ© de la machine combinĂ©e aux deux ports USB4 Ă 40 Gbps en fait un excellent candidat pour constituer une station de triage forensique mobile ou d’ingĂ©nierie inverse sur le terrain.