Veille DFIR : botnet Android TV, forensique réseau BruteShark, décodage SDR et définitions ECU Subaru
Cette sélection fait le point sur les dernières menaces matérielles, les outils d'investigation réseau et les avancées en matière de radio logicielle. Elle couvre également la géolocalisation d'images en source ouverte ainsi que de nouvelles ressources pour l'analyse de calculateurs automobiles.
Forensique réseau, malwares et OSINT
1,3 million de boîtiers Android TV certifiés par Google infectés par un malware
Un rapport de renseignement sur les menaces publié par Google révèle que 1,3 million de boîtiers Android TV pourtant certifiés sont compromis par la porte dérobée XCPE. Ce logiciel malveillant intègre les appareils dans un botnet exploité à des fins financières. Selon Google, cette menace a été développée, déployée et opérée de manière intentionnelle. Pour un enquêteur, cette découverte rappelle que la certification officielle d'un équipement embarqué ne garantit pas son intégrité lors d'une analyse matérielle ou réseau.
Forensique réseau : extraction de fichiers et d'identifiants avec BruteShark
L'outil BruteShark permet d'analyser du trafic réseau en direct ainsi que des fichiers de capture PCAP. Il est conçu pour en extraire automatiquement des identifiants et des fichiers multimédias. Cette approche permet de découvrir des informations sensibles dissimulées dans les flux de communication. Pour un enquêteur DFIR, cet outil accélère l'exploitation des captures réseau lors d'une réponse à incident ou d'une expertise judiciaire.
Multipath TCP : utilisation et détection suite à une vulnérabilité Linux
Une option TCP introduite en 2020 (RFC 8684) et souvent ignorée refait surface dans l'actualité. Cet intérêt fait suite à la découverte d'une nouvelle vulnérabilité référencée CVE-2026-98432 touchant son implémentation sous Linux. L'article aborde l'utilisation et la détection de ce mécanisme réseau. Pour un analyste forensique, savoir identifier le trafic Multipath TCP est essentiel pour détecter d'éventuelles tentatives d'exploitation sur des systèmes Linux.
GeoOSINT : géolocalisation de photographies avec l'outil Azimut
Azimut est un outil dédié au renseignement en source ouverte axé sur la géolocalisation. Il permet de retrouver le lieu de prise de vue d'une photographie à partir des éléments visuels du paysage. Pour ce faire, il compare les lignes d'horizon et le relief visibles sur le cliché avec de l'imagerie satellite. Pour un enquêteur, cette technique offre un moyen précieux de vérifier l'origine géographique d'une preuve visuelle dépourvue de métadonnées.
Radio logicielle (SDR) et réseaux sans fil
Backtrail Pro : une application open source pour radios goTenna Mesh et Meshtastic
Backtrail Pro est une nouvelle application disponible sur iOS et Android qui redonne vie aux radios goTenna Mesh dont la commercialisation a été arrêtée. Ces émetteurs-récepteurs de poche d'une puissance de 1 W fonctionnent dans la bande ISM 902-928 MHz et s'associent à un téléphone en Bluetooth. L'application prend également en charge le protocole Meshtastic. Pour un investigateur, cet outil facilite l'analyse des communications transitant par ces réseaux maillés hors ligne et l'examen des applications mobiles associées.
Router CSI Toolkit : capture des données d'état de canal Wi-Fi sur routeur GL-MT6000
Le projet Router CSI Toolkit fournit des scripts et un guide pour capturer les informations d'état du canal (CSI) Wi-Fi depuis un routeur GL.iNet GL-MT6000. Les données CSI correspondent aux mesures d'amplitude et de phase effectuées par sous-porteuse par le récepteur Wi-Fi pour égaliser le signal. L'outil permet d'extraire ces mesures directement depuis le matériel réseau. Pour un spécialiste en sécurité embarquée et radio, l'accès à ces métriques physiques ouvre des perspectives pour l'analyse fine de l'environnement radiofréquence.
dec406 : décodage des balises de détresse COSPAS-SARSAT 406 MHz avec un RTL-SDR
Le projet open source dec406 sous Linux permet de décoder les signaux des balises de détresse COSPAS-SARSAT de seconde génération émettant sur 406 MHz. Ces balises regroupent les modèles maritimes (EPIRB), aéronautiques (ELT) et personnels (PLB) utilisés par les randonneurs. Lorsqu'elles sont activées, elles transmettent un message numérique contenant notamment un identifiant unique. Pour un expert radio et forensique, ce décodeur permet d'intercepter et d'analyser les trames d'alerte à l'aide d'un simple récepteur RTL-SDR.
Forensique automobile et calculateurs ECU
Publication de définitions d'ECU et de journalisation pour Subaru WRX FA20DIT
Un contributeur a publié sur GitHub un nouvel ensemble complet de définitions destinées aux moteurs Subaru DIT. Ces fichiers couvrent à la fois l'édition de la mémoire ROM des calculateurs (ECU) et la journalisation des données, notamment pour les modèles WRX de 2015 à 2018. Bien que l'ensemble soit encore en développement et comporte quelques bogues, l'auteur sollicite de nouvelles extractions de ROM pour l'enrichir. Pour un enquêteur en forensique automobile, ces définitions sont indispensables pour interpréter les paramètres moteurs et les journaux extraits d'un calculateur après un incident.