Publications

Attaque du Tesla Wall connector depuis le port de charge

17/06/2025 En janvier 2025, Synacktiv a participé à Pwn2Own Automotive avec plusieurs cibles. L'une d'elles était le Tesla Wall Connector, le chargeur domestique pour véhicules électriques de Tesla. Nous avons présenté une attaque utilisant le connecteur de charge comme point d’entrée, en communiquant avec le chargeur via un protocole non standard (pour ce type d’application). Nous avons exploité une faille logique pour installer un firmware vulnérable sur l’appareil. Cet article explique comment nous avons étudié l’appareil, comment nous avons ...

NTLM reflection is dead, long live NTLM reflection! – An in-depth analysis of CVE-2025-33073

11/06/2025 For nearly two decades, Windows has been plagued with NTLM reflection vulnerabilities. In this article, we present CVE-2025-33073, a logical vulnerability which bypasses NTLM reflection mitigations and allows an authenticated remote attacker to execute arbitrary commands as SYSTEM on any machine which does not enforce SMB signing. The vulnerability discovery, the complete analysis of the root cause as well as the patch by Microsoft will be detailed in this blogpost.

Exploiting Heroes of Might and Magic V

10/06/2025 Heroes of Might and Magic V est un jeu vidéo de stratégie au tour par tour développé par Nival Interactive. Un éditeur de cartes est fourni avec le jeu. Les joueurs peuvent créer des cartes jouables en solo ou en multijoueur. Il s'agit d'un vecteur d'attaque intéressant à étudier. Dans cet article, nous détaillerons comment exécuter du code malveillant à partir de cartes de Heroes of Might and Magic V.

Outils open-source des attaquants exploitant Ivanti CSA

12/05/2025 Dans le cadre de réponses à incident récentes où la cause initiale était la compromission d'une appliance Ivanti CSA, le CSIRT Synacktiv a rencontré plusieurs outils open-source utilisés par les attaquants. Cet article explore chacun de ces outils, leurs fonctionnalités, et aborde des moyens efficaces de les détecter.

CVE-2025-23016 - Exploiter la bibliothèque FastCGI

23/04/2025 En ce début d'année 2025, dans le cadre d'une recherche interne, nous avons découvert une vulnérabilité dans la bibliothèque de développement de serveur web léger : FastCGI. Dans cet article, nous appréhenderons le fonctionnement interne du protocole FastCGI de sorte à comprendre dans quel contexte cette vulnérabilité s'exploite et de quelle façon, puis nous verrons comment s'en prémunir.

iOS 18.4 - dlsym considered harmful

10/04/2025 La semaine dernière, Apple a publié iOS 18.4 pour tous les iPhones pris en charge. Sur les appareils prenant en charge PAC (pointer authentication), nous sommes tombés sur un bug étrange lors de la résolution de symboles avec dlsym(). Cet article détaille nos observations et la cause du problème.

Analyse d'un décodeur TNT

08/04/2025 De nombreuses personnes possèdent un décodeur TNT, ce qui constitue une surface d'attaque importante souvent insoupçonnée. Certains modèles nécessitant une connexion internet, ils constituent un point d'accès potentiel vers le réseau local. Dans cet article, nous examinerons les protocoles utilisés par la TNT et les vulnérabilités liées à leurs implémentations.

Exploiting Neverwinter Nights

10/03/2025 En 2024, dans le cadre d'un projet de recherche interne, nous avons trouvé plusieurs vulnérabilités sur le jeu vidéo Neverwinter Nights : Enhanced Edition. Nous avons signalé ces vulnérabilités à l'éditeur Beamdog. Dans cet article, nous détaillerons comment nous pouvons enchaîner deux vulnérabilités pour obtenir une exécution de code à distance en mode multijoueur.

Etude de cas : Comment Hunters International et ses affiliés ciblent vos hyperviseurs

05/03/2025 Hunters International est un groupe de Ransomware-as-a-Service (RaaS) apparu en octobre 2023, après avoir acquis le code source et l'infrastructure du groupe Hive, aujourd'hui démantelé. À ce jour, selon les statistiques publiées, Hunters International et ses affiliés ont « chassé » au moins 280 organisations, exfiltrant et/ou chiffrant leurs données. Cet article décrira leurs capacités dans le cadre d'une investigation ransomware que nous avons traitée, en mettant l'accent sur le déploiement à grande échelle d'un chiffreur VMware ESX...

Taking the relaying capabilities of multicast poisoning to the next level: tricking Windows SMB clients into falling back to WebDav

26/02/2025 When performing LLMNR/mDNS/NBTNS poisoning in an Active Directory environment, it is fairly common to be able to trigger SMB authentications to an attacker-controlled machine. This kind of authentication may be useful, but is rather limited from a relaying standpoint, due to the fact that Windows SMB clients support integrity mechanisms such as signing. HTTP authentications, on the other hand, are more interesting for attackers. The lack of integrity checking support in NTLM makes it possible to relay them to sensitive services such ...