Alberto BG

Trying to learn about this world of (in)security. Speak on my own.

[Costin Raiu @craiu]

Heads up, there is a 1-day full MikroTik RCE chain against SSH being used in the wild. Patch was released yesterday, so if you have a MikroTik router with ssh open on the internet, it may already be compromised. Detection guidance and IOCs courtesy of @CERT_Polska_en https://t.co/9RDSNxp3xD

[Dark Web Informer @DarkWebInformer]

‼️ Exploit disclosed for CVE-2026-52924... 9.8 CVSS Linux Root Privilege Escalation

GitHub: https://t.co/u8DFuhrY80

[Alex Neff @al3x_n3ff]

Did anyone say Shadow Credentials?🔑

A common alternative to RBCD is to add a certificate to a computer acc. However, inspecting or removing them later on was not possible with NetExec so far. Heavily inspired by pyWhisker, I wrote a module to interact with these Shadow Creds

[cr3ghost @cr3ghost]

Infosec tradecraft just became reusable by AI agents.

SpecterOps just open-sourced:

79 skills.
22 reusable agents.
26 plugin families.

BloodHound. Cobalt Strike. Outflank C2. Ghidra. Binary Ninja. Ghostwriter. Recon. AppSec. Code review. C2 development. Reverse engineering. Adversary simulation. Windows + macOS tradecraft.

And this is NOT just for red teamers.

Vulnerability researchers:
These workflows could accelerate code review, patch analysis, 1-day research and potentially help with 0-day discovery when paired with real research expertise.

Reverse engineers + malware analysts:
Give agents structured workflows, references and tooling instead of starting every investigation from a blank prompt.

Blue teams + detection engineers:
Study the same offensive tradecraft, emulate attacker behavior, build better detections and start asking what telemetry survives increasingly agent-assisted operations.

DFIR + threat intel:
Understand what adversaries may automate next and turn repeatable investigative knowledge into reusable workflows.

Red teamers:
BloodHound attack paths, recon, C2 development, adversary simulation and operator tradecraft are becoming increasingly agent-assisted.

This isn't another collection of AI prompts.

It's practitioner knowledge being turned into reusable, reviewable security workflows.

Potentially useful for everyone from CTF learners and newcomers all the way to malware analysts, reverse engineers, exploit devs, red teams, blue teams and vulnerability researchers.

This is only the beginning.

@SpecterOps Skills:
https://t.co/Cj77Ir3Qlj

@OutflankNL and @kyleavery breakdown:
https://t.co/q5sEaZlp1E

#Infosec #RedTeam #ReverseEngineering

[Óscar Alfonso Díaz @OscarAkaElvis]

Evil-WinRM v4.1 is out! 🚀

Ruby 4 support, improved remote completion, quit/Ctrl+D, safer downloads, handshake fixes & keepalive. Releases and both gems now use automated publishing.

https://t.co/PEwvSTxt8p

Special thanks to @CyberVaca_ | @_Laox | @arale61

#evilwinrm #hacking

[Elyon @ElyonMan]

Si esto son 50.000 personas (evidentemente no) imaginaos 80.000 entrando en Ceuta.

Dando una cifra tan descaradamente falsa, lo único que consiguen es que la comparación sea todavía más dantesca y dejarse aún peor. Genios.

[International Cyber Digest @IntCyberDigest]

‼️ BREAKING: Two TeamPCP members, Ruben Ian Thomson, 21, and Louis Michael Gaebler, 23, have been arrested in Perth, Australia. The group is known for its npm supply chain attacks, including the Shai-Hulud worm.

Videos below 🧵

[Trail of Bits @trailofbits]

We asked GPT 5.6-Cyber to escape a VM used to sandbox agents. It broke out three times.

In its final escape, the agent found three 0-days on its own and chained them into a working exploit. https://t.co/3JRVWgPxHx

[Christophe Boutry @Ced_haurus]

👌[Encrochat] Le logiciel espion classé « secret défense » de la DGSI, celui qui a fait tomber 6 500 personnes en Europe, vient d'être décortiqué.

Ce n'était pas une arme cyber d'État. C'était un exploit récupéré sur GitHub, publié par Google, repéré chez Pegasus, collé à un outil de test open source. Le tout écrit avec une telle négligence qu'un expert allemand qui a analysé le code le compare à un projet d'étudiant.
C'est français, et ça fonctionne !

Six ans de secret de la défense nationale pour ça.

Rappel du dossier. EncroChat, c'était le cryptophone du crime organisé européen. 60 000 abonnés, 1 000 euros le téléphone, 1 500 euros l'abonnement semestriel. Un BQ Aquaris modifié, deux systèmes d'exploitation dont un caché derrière une combinaison de touches, une partition chiffrée, effacement automatique des messages sous quatorze jours. Pas de navigateur, pas d'app store, pas de GPS. Réputé impénétrable, et il l'était. La gendarmerie a passé des années à s'y casser les dents, les outils forensiques classiques ne donnaient rien.

Puis, fin 2019, un coup de chance.

Une chercheuse de Google Project Zero, Maddie Stone, tombe sur une faille Android 0-day utilisée dans une chaîne d'attaque qui installait Pegasus, le logiciel espion de NSO Group. Elle la documente le 27 septembre 2019. Nom de code Bad Binder, référence CVE-2019-2215. C'est son tout premier bug chez Project Zero.

La faille traînait dans le noyau Linux depuis 2017 sans avoir jamais été corrigée côté Android. 2,5 milliards de téléphones exposés. Une semaine après le signalement, le proof of concept de Stone est publié sur GitHub, ouvert à tous.

Google patche ses Pixel. Pas EncroChat. Les données récupérées en 2020 montreront que la totalité du parc tournait encore sur une build Android 8 datée du 14 novembre 2018. Une porte grande ouverte, laissée ouverte pendant deux ans.

Le C3N, la cellule cyber de la gendarmerie, comprend l'opportunité. Presque tous les serveurs EncroChat sont hébergés chez OVH à Roubaix, donc en juridiction française. Réquisition. OVH copie 71 machines virtuelles réparties sur 33 sous-domaines, et 66 134 cartes SIM sont identifiées sur le réseau.

le plan : reconstruire un clone du serveur de mise à jour d'EncroChat à partir des copies, faire basculer tous les clients du monde vers ce faux serveur via un load balancer, puis pousser Bad Binder dans une fausse mise à jour. Les téléphones vérifiaient les mises à jour à chaque usage, en silence, sans notification ni consentement. Le vecteur idéal.

Le C3N passe la main au STNCJ, le service technique national de captation judiciaire, créé en 2018 et rattaché à la direction technique de la DGSI. Ces gens retournent sur GitHub. Ils y téléchargent Frida, un toolkit open source d'instrumentation Android que les chercheurs en sécurité utilisent pour tester des applications. Une fois lancé en root, Frida permet d'observer, d'intercepter et de modifier n'importe quelle action du téléphone en temps réel. Ce sera le cœur de l'implant français.

L'équipe accumule les erreurs de code et repousse l'attaque de trois semaines. Mercredi 1er avril 2020, 15h15 : le code de l'implant, stocké sur une clé USB dans un coffre, est sorti et injecté dans le système de mise à jour d'EncroChat. Le lendemain matin, le trafic d'exfiltration sature les liens réseau d'OVH.

32 014 téléphones infectés en deux mois. Chaque événement remonte en JSON vers un serveur à l'adresse 147.135.143.19, dans la même plage IP que les vrais serveurs EncroChat. Chaque mot de passe saisi, chaque image créée ou reçue, chaque message, chaque note. Et surtout chaque changement de relais mobile, ce qui donne le suivi des déplacements en direct. Un message quittait le téléphone en moins d'une seconde et s'affichait sur un écran de police en moins de vingt.

Sauf que le code était mauvais. La plupart des implants plantaient. Il a fallu réinfecter, relancer, recommencer pendant une semaine entière. Le 12 juin 2020, seconde tentative sur les nouveaux modèles X3, échec, couverture grillée. EncroChat coupe son réseau dans la nuit et conseille à ses clients de détruire physiquement leurs téléphones.

Et là commence la vraie affaire.

Des milliers de procès s'ouvrent partout en Europe sur la base de ces messages. La France refuse de dire comment ils ont été obtenus. Secret de la défense nationale, révélation passible de poursuites pénales. Des avocats se retrouvent à devoir contester une preuve dont personne ne veut expliquer la provenance. Ça dure six ans.

Août 2024, un juge de Londres finit par ordonner à la police britannique de remettre un téléphone infecté à des experts indépendants. Direction Brno, en Tchéquie, chez Invasys, une société qui vend du logiciel espion aux gouvernements. Un NSO en version légale. Ils vont rejouer le hack français contre le hack français.

Ils commencent par dessouder les puces mémoire, en détruisent deux sur six, et se heurtent à une partition chiffrée protégée par une double couche cryptographique adossée au matériel. Alors ils font exactement ce que le STNCJ avait fait : ils reconstruisent un faux serveur de mise à jour et poussent leur propre malware. En décembre 2024, ils extraient l'implant français. Début 2025, 70 % du code est reversé.

Le verdict technique : trois processus cachés tournant en superuser permanent. Un contrôleur déguisé en « com. android.device », un nom qu'aucune application Android réelle n'utilise. Six hooks nommés sans la moindre précaution, Exploit_c à Exploit_h. Une bibliothèque baptisée « libexploit », ce qui, comme le note le rapport, indique assez clairement l'intention. Aucune contre-mesure élémentaire contre la détection.

Deux détails valent le détour. Le code obfusqué contient des libellés de fonction en tchèque. Et cette erreur admise par le C3N en août 2020, où un « to » signifiait en réalité « from » dans les données d'appel, s'explique par deux mots oubliés dans le code. Révéler ces deux mots était officiellement un délit.

Mais le plus grave n'est pas technique. Les 71 images de serveurs remises aux experts par la police britannique étaient altérées. Incomplètes, modifiées, corrompues, et précisément dans les zones critiques au fonctionnement du système. Invasys parle d'une violation grossière de la chaîne de conservation des preuves et estime que la manipulation semble délibérée.

Coût de la rétro-ingénierie qui a fait sauter le secret : 2 millions de livres. Payés pour découvrir qu'un service d'État avait copié un exploit public sur GitHub et l'avait collé à un outil de test open source.

Ce que cette affaire raconte n'est pas que la police française serait incompétente. Le hack a fonctionné, à très grande échelle. Le problème est ailleurs. Le secret défense a couvert pendant six ans un bricolage, pas une capacité stratégique. Et pendant ces six ans, des milliers de personnes ont été jugées sur des preuves que leurs avocats n'avaient pas le droit d'examiner, au nom d'un secret qui protégeait surtout l'embarras du prestataire.

Enquête originale : Duncan Campbell et Bill Goodwin, Computer Weekly, 17 août 2026. Adaptation française : Jean-Marc Manach, Next.

https://t.co/NYmxGSFwUO

[Hacking Articles @hackinarticles]

Pic of the Day

#infosec #cybersecurity #cybersecuritytips #pentesting #cybersecurityawareness

[Merill Fernando @merill]

He copied a value out of the Windows Event Log.

Pasted it into his special browser.

And he was signed into Microsoft Entra as the user who had just authenticated.

No password. No phishing link. No stolen private key.

@MGrafnetter's Black Hat USA 2026 research...

[Hai Tung @tacbliw]

Someone dropped this Windows LPE writeup online yesterday along with a PoC.

But the mentioned CVE-2026-62737 is not released yet, maybe it will be in the Patch Tuesday tomorrow.

And the PoC still work in the lastest version of Windows 😂

https://t.co/rcOasDPOV7

[Andrew Curran @AndrewCurran_]

A man in Australia asked his agent (Claude running on OpenClaw) to book him a spot in a popular gym class. The agent found a software vulnerability that let it book the class weeks further ahead than should have been possible. When the user then asked if it could move him up the waitlist, the agent discovered the API had no authorisation checks on cancelling other people’s reservations, so it cancelled the person in the first spot and moved him up the list.

Some people will call this misalignment, but his agent was perfectly aligned to him - it was only trying to help its user get what he wanted. The most important thing about this story, in my opinion, is that it gives you a window into what is about to start happening on a massive scale once millions of people have an agent trying to get their beloved users the best seats, bookings, appointments or reservations through absolutely any means necessary.

[AI Notkilleveryoneism Memes ⏸️ @AISafetyMemes]

🚩🚩🚩 OpenAI is "slowing down to enhance security" after discovering swarms (!) of agents started secretly coordinating MONTHS ago

1) It started May 7 - not July

2) "The agents discovered they could leave messages for one another inside an internal software repository used during training.

Simple requests for help then evolved into an message board where agents shared discoveries, exploits and work assignments, becoming a coordinated, collaborative agent swarm."

"The agents then began sharing newly discovered exploits, credentials and work assignments. By passing information to other agents, the collective could move much faster."

3) OpenAI shut it down, BUT "even after the original message board was deleted, the agents figured out another way to communicate with each other. Instead of leaving messages in files, they used the names of newly created directories as messages, effectively recreating the message board."

"Unlike normal incidents, [OpenAI's CISO] said, which can be traced to a single day or effect or log, this involved a team of agents working together, finding exploits, sharing them with one another, moving laterally through OpenAI’s systems, and external systems, and doing this over the course of days and weeks."

[IT Guy @T3chFalcon]

A 22-year-old student teacher in Illinois sent a private Snapchat message to her boyfriend and two roommates.

A student had walked up to her laptop and deleted her lesson plan mid-class. frustrated, she typed something like "should I shoot him" with a gun emoji. venting. four people. private group chat.

An hour later, police walked into her school and arrested her.

here's what happened in between.

Snapchat's AI scanned the private message. flagged it as a potential threat. automatically reported it to the FBI. the FBI forwarded it to local law enforcement. deputies arrived at the school within the hour.

she cooperated immediately. handed over her phone. when shown the message she said: "oh yes. okay. yeah. i'm realizing that was a bad joke. i did not mean it at all serious at all."

police determined she was not a threat. school officials determined she was not a threat. prosecutors reviewed and issued a disorderly conduct charge. she was released the next morning. she lost her student teaching placement.

This means:

Snapchat scans private messages.

Not just public posts or stories. private group chats between you and your closest contacts. automated AI. no human reviewed it first, got flagged and reported.

Snapchat AI → FBI → local police → school → arrest.

in under an hour.

Snapchat's privacy policy says it may share your information with law enforcement when it believes there is a risk of harm. the definition of "risk of harm" is determined by an algorithm.

you are not told when a message is flagged.
you are not told when a report is filed.
you find out when the police arrive.

the message was private.

it wasn't.

[xer0dayz @xer0dayz]

CVE-2026-50522: critical unauthenticated RCE in on-prem SharePoint Server (2016/2019/SE). Get the Nuclei detection template and scan at scale with Sn1per. https://t.co/iX35uDWlGF

#infosec #netsec #bugbounty #redteam #offsec #infosecurity #CVE #exploit #CVE-2026-50522

[Leo @leoxbtt]

Un dev creó transferencia de archivos SIN INTERNET… solo con códigos QR y Claude

Un desarrollador quería hacer un reproductor de MP3 web para escapar de los anuncios.

Terminó inventando algo mucho más loco:

Un sistema air-gapped que pasa archivos de un teléfono a otro
sin WiFi, sin Bluetooth, sin estar en la misma red.

¿Cómo?

Mostrando códigos QR que parpadean a toda velocidad en la pantalla.

Usó Claude Code y en una sola noche tuvo la prueba de concepto 100% funcional.

La IA está haciendo que un solo developer pueda inventar cosas que antes solo se veían en laboratorios.

El futuro se está construyendo más rápido de lo que creemos.

[Mohamed Alzhrani @0xMaz]

From a normal domain user to Domain Admin, bypassing the SID patch.
ESC1 is alive again, under some conditions.
MSRC closed it as “By design.” Writeup and PoC below, judge for yourself.

https://t.co/LlkaoJ7tvG

[Horizon Secured @horizon_secured]

⏱️ 60-Second Bits 🔒
𝗗𝗼 𝘆𝗼𝘂 𝗥𝗗𝗣 𝘁𝗼 𝘆𝗼𝘂𝗿 𝗗𝗼𝗺𝗮𝗶𝗻 𝗖𝗼𝗻𝘁𝗿𝗼𝗹𝗹𝗲𝗿𝘀 𝗳𝗿𝗼𝗺 𝘆𝗼𝘂𝗿 𝘄𝗼𝗿𝗸𝘀𝘁𝗮𝘁𝗶𝗼𝗻?

Even with 𝗖𝗿𝗲𝗱𝗲𝗻𝘁𝗶𝗮𝗹 𝗚𝘂𝗮𝗿𝗱 enabled, your 𝗗𝗼𝗺𝗮𝗶𝗻 𝗔𝗱𝗺𝗶𝗻 𝗰𝗿𝗲𝗱𝗲𝗻𝘁𝗶𝗮𝗹𝘀 can still end up in the 𝗠𝗦𝗧𝗦𝗖 process memory on your workstation.

Credential Guard protects 𝗟𝗦𝗔𝗦𝗦.
It does 𝗻𝗼𝘁 protect credentials handled by the 𝗥𝗗𝗣 client.

If your workstation is compromised, an attacker may be able to recover those credentials from 𝗺𝘀𝘁𝘀𝗰.𝗲𝘅𝗲.

The solution isn’t another Windows security feature.

It’s proper privileged administration:
✅ 𝗣𝗿𝗶𝘃𝗶𝗹𝗲𝗴𝗲𝗱 𝗔𝗰𝗰𝗲𝘀𝘀 𝗪𝗼𝗿𝗸𝘀𝘁𝗮𝘁𝗶𝗼𝗻 (𝗣𝗔𝗪)
✅ A properly implemented 𝗧𝗶𝗲𝗿𝗶𝗻𝗴 𝗠𝗼𝗱𝗲𝗹

Credential Guard is important.
It just doesn’t solve this problem.

#ActiveDirectory #WindowsSecurity #CredentialGuard #RDP #PAW #TieringModel #CyberSecurity #BlueTeam

[Alex Neff @al3x_n3ff]

Detect the Certighost with NetExec🔥

Thanks to @Xed_sama, the enum_cve module of NetExec will now detect if a host has not been patched and is potentially vulnerable to the Certighost vulnerability (CVE-2026-54121)🚀