đ Veille Forensics & IoT : Le Flipper One se dĂ©voile, faille dâAPI Google et rĂ©silience des enquĂȘteurs DFIR
🕵️ Digital Forensics & Investigation
Digest Forensic Focus : triage sur scÚne de crime et problématique du Cloud
Le dernier digest de l’Ă©quipe de Forensic Focus met le doigt sur des thĂ©matiques opĂ©rationnelles brĂ»lantes. On y parle notamment de l’Ă©pineux problĂšme des piĂšces jointes « cloud » lors de l’analyse des e-mails modernes (une vraie plaie pour la prĂ©servation des preuves) et de la maniĂšre dont les acquisitions rapides directement sur le terrain peuvent consolider un dossier avant mĂȘme que les scellĂ©s n’arrivent au laboratoire.
Quand le DFIR s’invite Ă la maison : l’impact du mĂ©tier sur les familles d’enquĂȘteurs
Paul Gullon-Scott livre un tĂ©moignage d’une rare sincĂ©ritĂ© sur un sujet trop souvent passĂ© sous silence : la charge mentale des praticiens de la criminalistique numĂ©rique et sa porositĂ© avec la vie de famille. Analyser des preuves d’abus, de violence ou des donnĂ©es hautement sensibles laisse des traces invisibles. Je pense qu’il est temps que notre industrie propose de rĂ©els protocoles de soutien psychologique pour ceux qui manipulent quotidiennement l’horreur humaine sur leurs Ă©crans.
Analyse d’un stealer NPM multiplateforme dĂ©nichĂ© sur VirusTotal
Les analystes du SANS ISC ont dĂ©cortiquĂ© un chargeur malveillant Node.js particuliĂšrement bien obfusquĂ©, tĂ©lĂ©versĂ© sous le nom de « extracted-decoded.js ». Le bousin refuse de s’exĂ©cuter correctement en environnement sandboxĂ©, ce qui a obligĂ© l’Ă©quipe Ă mener une analyse statique rigoureuse pour comprendre ses mĂ©canismes d’exfiltration. La compromission de la chaĂźne d’approvisionnement via NPM reste une menace redoutable pour les environnements de dĂ©veloppement.
Proxying HTTP sĂ©lectif sous Linux : intercepter le trafic d’un processus unique
Pour nos analyses dynamiques de malwares ou le reverse engineering d’applications, filtrer le bruit rĂ©seau global est indispensable. Le SANS ISC propose une rĂ©flexion intĂ©ressante sur les alternatives Ă Proxifier (trĂšs populaire sur Windows/macOS) sous Linux. L’objectif est de pouvoir cibler l’analyse sur un seul identifiant de processus (PID) pour extraire proprement les requĂȘtes HTTP/HTTPS sans polluer la capture avec le trafic systĂšme en arriĂšre-plan.
Sécurité Cloud : Vos clés API Google restent actives 23 minutes aprÚs leur révocation
Une Ă©tude menĂ©e par Aikido Security rĂ©vĂšle un dĂ©calage temporel inquiĂ©tant. Lorsque vous dĂ©couvrez une clĂ© API Google compromise (par exemple, poussĂ©e par erreur sur un dĂ©pĂŽt public) et que vous la supprimez via la console d’administration, celle-ci reste pleinement fonctionnelle pendant encore 23 minutes en moyenne. Pour un attaquant disposant de scripts automatisĂ©s, ce sursis est largement suffisant pour siphonner vos bases de donnĂ©es ou gĂ©nĂ©rer des coĂ»ts astronomiques.
Double faille réseau dans le bac à sable de Claude Code
L’outil CLI d’Anthropic, Claude Code, a fait l’objet d’un correctif discret visant deux vulnĂ©rabilitĂ©s dans son bac Ă sable rĂ©seau. Conçu pour empĂȘcher l’assistant IA de se connecter Ă des serveurs tiers non autorisĂ©s (Ă©vitant ainsi le vol de code source), cet enclos de sĂ©curitĂ© s’est avĂ©rĂ© permĂ©able pendant prĂšs de cinq mois. Si vous intĂ©grez des agents IA autonomes dans vos pipelines de dĂ©veloppement ou d’audit de sĂ©curitĂ©, restez extrĂȘmement vigilants sur leur niveau d’isolation rĂ©el.
Arnaques au « brushing » : quand des colis non commandĂ©s cachent une usurpation d’identitĂ©
Recevoir un petit colis anonyme contenant un objet bon marchĂ© n’est pas une erreur logistique en votre faveur. C’est la signature de l’arnaque au brushing. Des vendeurs de places de marchĂ© en ligne utilisent vos donnĂ©es personnelles fuitĂ©es pour crĂ©er de faux profils d’acheteurs, simuler une livraison, et s’attribuer des avis « vĂ©rifiĂ©s » cinq Ă©toiles. Une excellente Ă©tude de cas pour nos enquĂȘtes d’OSINT et de traque de rĂ©seaux de revente de donnĂ©es.
Discord gĂ©nĂ©ralise le chiffrement E2EE de ses appels, mais durcit ses contrĂŽles d’identitĂ©
Discord dĂ©ploie enfin le chiffrement de bout en bout pour ses flux vocaux et vidĂ©o, une avancĂ©e majeure pour la confidentialitĂ© des Ă©changes. Cependant, les utilisateurs grincent des dents face Ă la multiplication des demandes de vĂ©rification d’identitĂ© (allant parfois jusqu’Ă exiger une piĂšce d’identitĂ© officielle). Un dilemme classique entre sĂ©curitĂ© des flux et traçabilitĂ© des utilisateurs Ă prendre en compte lors de vos investigations sous pseudonyme.
🚗 Automotive & IoT Security
Flipper One : l’ordinateur de poche Linux ARM qui cible les rĂ©seaux IP et mobiles
L’Ă©quipe derriĂšre le cĂ©lĂšbre Flipper Zero passe Ă la vitesse supĂ©rieure. Le Flipper One ne sera pas une simple mise Ă jour, mais un vĂ©ritable ordinateur Linux embarquĂ© axĂ© sur le pentest rĂ©seau avancĂ©. Contrairement au Zero cantonnĂ© aux ondes courtes et Ă la proximitĂ© (RFID, NFC, Sub-GHz), le One s’attaque de front aux rĂ©seaux Wi-Fi, Ethernet, 5G et mĂȘme satellite. Les concepteurs eux-mĂȘmes avouent ĂȘtre effrayĂ©s par le potentiel offensif de l’engin, particuliĂšrement redoutable pour l’audit des passerelles tĂ©lĂ©matiques embarquĂ©es dans les vĂ©hicules connectĂ©s.
L’API Web Serial arrive sur Firefox : le hacking hardware s’invite dans le navigateur
Victoire historique pour la communautĂ© du hardware hacking : Firefox prend enfin en charge l’API Web Serial. ConcrĂštement, vous pouvez dĂ©sormais interagir avec du matĂ©riel (cartes Arduino, microcontrĂŽleurs ESP, dumpers de puces mĂ©moire, ou programmateurs d’EEPROM de calculateurs de bord) directement depuis une simple page web, sans outil lourd Ă installer. Pour nos ateliers de diagnostic et d’extraction physiques de firmwares automobiles ou IoT, cela promet des outils web d’une agilitĂ© sans prĂ©cĂ©dent.
ESP32-S31 : la nouvelle puce d’Espressif avec Wi-Fi 6, Bluetooth et Gigabit Ethernet
La documentation technique des premiĂšres cartes de dĂ©veloppement basĂ©es sur l’ESP32-S31 vient d’ĂȘtre publiĂ©e. Ce microcontrĂŽleur s’annonce comme une cible d’analyse incontournable pour les experts IoT : architecture double cĆur RISC-V cadencĂ©e Ă 320 MHz, support natif du Gigabit Ethernet et interfaces LCD/camĂ©ra. Les cartes d’Ă©valuation comme la Korvo-1 intĂšgrent des rĂ©seaux de microphones pour la reconnaissance vocale en local, prĂ©figurant la sĂ©curitĂ© physique des futurs assistants intelligents et systĂšmes embarquĂ©s industriels.
M5Stack StopWatch : un outil de terrain ultra-compact sous ESP32-S3
M5Stack lance un nouveau module autonome dotĂ© d’un Ă©cran tactile AMOLED de 1,75 pouce, d’un microphone, d’un haut-parleur et d’une centrale inertielle 6 axes. AnimĂ© par un ESP32-S3, ce boĂźtier compact est une plateforme de choix pour dĂ©velopper des outils de diagnostic rapide d’ondes ou des sniffeurs de trames Wi-Fi/Bluetooth de terrain lors d’audits de vulnĂ©rabilitĂ©s physiques.
ESP-NOW et synchronisation dĂ©centralisĂ©e : l’exemple du projet CrowdClock
Le maker Tony Goacher a mis au point des badges LED capables de synchroniser leurs horloges internes de proche en proche via le protocole ESP-NOW, sans aucun point d’accĂšs Wi-Fi ni serveur maĂźtre. Cette dĂ©monstration de rĂ©seau ad-hoc dĂ©centralisĂ© illustre parfaitement la rĂ©silience de ce protocole propriĂ©taire d’Espressif, mais soulĂšve Ă©galement des questions sur la possibilitĂ© de saturer ou d’injecter de fausses donnĂ©es de synchronisation sur des flottes de capteurs connectĂ©s ou de tĂ©lĂ©matiques similaires.
Pourquoi j’ai jailbreakĂ© ma vieille liseuse Kindle plutĂŽt que de la jeter
Face aux injonctions d’Amazon d’abandonner les anciens modĂšles de liseuses Kindle sous prĂ©texte d’obsolescence logicielle, le contournement physique et logiciel est la seule voie de salut. En effectuant un jailbreak (qui nĂ©cessite souvent d’accĂ©der aux ports d’interface de dĂ©bogage de type UART sur la carte mĂšre), on reprend le contrĂŽle de l’appareil pour y installer un systĂšme d’exploitation libre. Un excellent exercice de rĂ©tro-ingĂ©nierie et de dĂ©tournement de matĂ©riel Ă des fins d’affichage domotique ou de monitoring rĂ©seau passif.
Hacking d’atelier : graver des circuits imprimĂ©s Ă l’ancienne avec un marqueur
Le bidouilleur ALTco propose une mĂ©thode de prototypage rapide dĂ©connectĂ©e : dessiner des pistes de cuivre directement au marqueur permanent sur une plaque brute de bakĂ©lite avant de la passer au bain chimique. Si cette technique prĂ©-informatique peut faire sourire Ă l’Ăšre des commandes de PCB en ligne automatisĂ©es, elle s’avĂšre extrĂȘmement prĂ©cieuse pour les « pentesters hardware » qui doivent fabriquer Ă la volĂ©e des adaptateurs d’interfaces JTAG/UART ou des dĂ©rivateurs de signaux personnalisĂ©s en situation d’urgence sur site.