Affaire CCleaner : l'attaque supply chain de 2017 expliquée
Comment une mise à jour signée de CCleaner a installé une porte dérobée sur 2,27 millions de PC en 2017. Chronologie, technique, attribution et leçons.
Archives
Articles
Histoire de Kali Linux : de Whoppix et BackTrack à Kali Purple
L'histoire complète de Kali Linux : Whoppix en 2004, WHAX, Auditor, BackTrack, la refonte Debian de 2013, Kali Purple et l'IA locale. 20 ans de pentest.
Piratage ANTS et fuites de données : l'échec cyber de l'État
Piratage de l'ANTS (11,7 millions de comptes), faille IDOR, 284 jours pour détecter une intrusion, budgets cyber à 1 % : pourquoi l'État échoue en 2026.
Claude Mythos : l'IA d'Anthropic qui menace les emplois qualifiés
Claude Mythos, l'IA d'Anthropic gardée sous clé : 10 trillions de paramètres, faille de 27 ans dans OpenBSD, 77,8 % sur SWE-bench Pro et fin des juniors.
OpenClaw : les risques de sécurité de l'agent IA autonome
OpenClaw lit vos mails et exécute du code sur votre machine. Skills malveillantes ClawHavoc, attaque ClawJacked, injection de prompt : risques et sécurisation.
Chute de YGG : hack, 6,6 millions de comptes et risques du torrent
Le hack de YGG en mars 2026 : port Sphinx ouvert, 6,6 millions de comptes exfiltrés, 36 sites façades et blanchiment via Tornado Cash. Autopsie et leçons.
Pendentif Friend : ce que l'IA qui vous écoute cache vraiment
Le pendentif Friend écoute en permanence pour « lutter contre la solitude ». Micro toujours actif, données chez Claude et Gemini, injection acoustique et droit.
Créer son entreprise de cybersécurité en 2026 : le guide complet
Statut juridique, RC Pro cyber, bootstrap, JEI et CIR, construction de l'offre et prospection : le guide pour créer une entreprise de cybersécurité en 2026.
Affaire Amesys : la surveillance française au service de Kadhafi
L'affaire Amesys : le contrat de 2007 avec la Libye, le système Eagle et le Deep Packet Inspection, Nexa Technologies et la complicité de torture.
Temu et vos données : permissions, malware Pinduoduo et vie privée
Temu est-elle dangereuse ? 29 permissions, malware Pinduoduo exploitant un zero-day Android, rapport du NTC suisse, dark patterns : analyse complète.
L'histoire mystèrieuse d'une inquiétante puce Intel
Découvrez l'histoire de l'Intel Management Engine, une puce cachée dans les processeurs Intel depuis 2008, capable de fonctionner indépendamment du système d'exploitation.
Pourquoi vous ne devriez PLUS utiliser Kali Linux ?
Kali Linux est surement le système d'exploitation le plus utilisé dans le monde de l'offensif... à tort ! En fait, il existe beaucoup mieux !
Comment les tests d'intrusion aident à garantir la conformité RGPD ?
Comment éviter les amendes liées au RGPD ? La solution la plus efficace est de réaliser des tests d'intrusion. Un guide complet est disponible dans l'article ci-dessous
Quels outils utiliser pour un test d'intrusion (pentest) ?
Comment bien choisir ses outils pour effectuer un test d'intrusion ? Plus de détails dans l'article ci-dessous
Quel budget prévoir pour son test intrusion ?
Dans le cadre d'un test d'intrusion quel budget anticiper pour sa réalisation ?
XZ Utils : la backdoor faisant trembler le monde libre et de la cybersécurité
XZ Utils possède une backdoor importante dans sa dernière version 5.6.0 et 5.6.1. Son exploitation n'est cependant pas triviale.
Pourquoi faire un test d'intrusion sur son site Wordpress en 2025 ?
WordPress, en tant que l’un des systèmes de gestion de contenu (CMS) les plus utilisés au monde, alimente une part significative des sites web, allant des blogs personnels aux sites d’entreprise.
GhostRace : nouvelle vulnérabilité CPU préoccupante
Une nouvelle classe de vulnérabilités d'exécution spéculative a été découverte courant mars 2024, appelée GhostRace.
Comment hacker (légalement) une multinationale de 20 milliards d'euros ?
Canon une multinationale de 20 milliards d'euros est impacté par 2 vulnérabilités critiques permettant dans certaines conditions, de compromettre l'infrastructure hébergeant l'application vulnérable. Trackflaw raconte sa découverte et son processus de divulgation responsable.
Compromettre Jenkins via une simple lecture de fichiers : CVE-2024-23897
Jenkins est impacté depuis début 2024 par une simple vulnérabilité permettant de prendre le contrôle très facilement des instances vulnérables. A corriger très rapidement !
Quelle démarche choisir pour effectuer un test d'intrusion ?
Comment bien choisir son test d'intrusion ? Quelles sont les différentes démarches d'un test d'intrusion ? Comment bien faire son choix ? On vous éclaire !
Compromettre des comptes Gitlab avec la vulnérabilité CVE-2023-7028
Début 2024, Gitlab était vulnérable à une nouvelle faille CVE-2023-7028 d'une criticité importante menaçant grandement les systèmes d'information.
Comment bien choisir un prestataire de tests d'intrusion en 2024 ?
Plongez dans l'univers des tests d'intrusion avec Trackflaw. Découvrez comment choisir le bon prestataire en 2024 grâce à nos conseils experts. Nous mettons en lumière l'importance des critères tels que l'expérience, les compétences, les certifications, et la méthodologie. Trackflaw se démarque par son expertise, son approche rigoureuse, et sa politique de confidentialité stricte. Profitez de nos services de qualité et de tarifs compétitifs pour sécuriser votre système informatique. Choisissez la fiabilité et l'efficacité avec Trackflaw.
Pwncloud : votre propre cloud (non) sécurisé
OwnCloud est un logiciel libre offrant une plateforme de services de stockage et partage de fichiers et d'applications diverses en ligne. Il est présenté comme une alternative à Dropbox, lequel est basé sur un cloud public. Or, comme tous les logiciels il souffre de vulnérabilité.
Le reverse tab nabbing, méthode de phishing sous stéroïdes.
Plongez dans les abysses du 'reverse tab nabbing', une technique de phishing redoutablement efficace. Découvrez comment les pirates informatiques exploitent astucieusement les onglets de votre navigateur pour vous rediriger vers des sites malveillants, tout en vous laissant croire que vous naviguez en toute sécurité sur vos sites familiers. À travers un scénario réaliste, nous vous montrons pas à pas comment cette attaque se déroule et soulignons les failles exploitables. Apprenez des mesures essentielles pour vous protéger, comme éviter l'usage de l'attribut target=_blank ou incorporer rel=noopener noreferrer. Cet article est un incontournable pour renforcer votre cybersécurité et déjouer les pièges du phishing moderne.
CVE-2023-20198 Cisco IOS-XE ZeroDay - Ou comment créer son réseau de botnet ?
Dans l'article 'Cisco CVE-2023-20198 - Créer son réseau de botnet', publié le 20 octobre 2023, Trackflaw explore une faille critique d’élevation de privilèges dans Cisco IOS-XE. Notée 10 sur l'échelle CVSS, cette vulnérabilité permet à un attaquant non authentifié de créer un compte avec les privilèges les plus élevés. Trackflaw détaille les étapes de l'exploitation, allant de la création d'un compte administrateur à l'installation d'un implant, en passant par le redémarrage du service et l'effacement des traces. L'auteur discute aussi de la manière de localiser les hôtes vulnérables et des mesures de protection recommandées par Cisco, en l'absence de correctif. L'article inclut des références fiables et une animation résumant l'exploitation.
Htaccess, ou comment contourner les mécanismes de dépôt de fichiers.
Découvrez comment contourner les mécanismes de dépôt de fichiers en exploitant une vulnérabilité de type dépôt de fichier. Je vous guide à travers les techniques sophistiquées utilisées pour déposer un fichier malveillant sur un système cible, en illustrant avec l'exemple du challenge l33t-hoster de l’Insomni’hack Teaser 2019 CTF. Apprenez à créer un fichier polyglotte et à contourner la protection anti-PHP, tout en comprenant les mesures de sécurité nécessaires pour contrer de telles attaques. Un article incontournable pour les passionnés de cybersécurité cherchant à approfondir leurs connaissances en matière de sécurité des téléchargements de fichiers.
CVE-2023-23397 - La réunion Outlook qui exfiltre votre mot de passe.
Plongez dans les abysses du 'reverse tab nabbing', une technique de phishing redoutablement efficace. Découvrez comment les pirates informatiques exploitent astucieusement les onglets de votre navigateur pour vous rediriger vers des sites malveillants, tout en vous laissant croire que vous naviguez en toute sécurité sur vos sites familiers. À travers un scénario réaliste, nous vous montrons pas à pas comment cette attaque se déroule et soulignons les failles exploitables. Apprenez des mesures essentielles pour vous protéger, comme éviter l'usage de l'attribut target=_blank ou incorporer rel=noopener noreferrer. Cet article est un incontournable pour renforcer votre cybersécurité et déjouer les pièges du phishing moderne.