Nouvelles skills

hunting-advanced-persistent-threats est une skill de chasse aux menaces conçue pour détecter des activités de type APT sur les télémétries endpoint, réseau et mémoire. Elle aide les analystes à bâtir des chasses fondées sur des hypothèses, à relier les résultats à MITRE ATT&CK, et à transformer la veille sur les menaces en requêtes exploitables et en étapes d’investigation concrètes, plutôt qu’en recherches ponctuelles.

Le skill generating-threat-intelligence-reports transforme des données cyber analysées en rapports de threat intelligence stratégiques, opérationnels, tactiques ou flash, destinés aux dirigeants, aux équipes SOC, aux responsables IR et aux analystes. Il prend en charge le finished intelligence, le langage de confiance, la gestion du TLP et des recommandations claires pour la rédaction de rapports.

extracting-windows-event-logs-artifacts vous aide à extraire, parser et analyser les journaux d’événements Windows (EVTX) pour la criminalistique numérique, la réponse à incident et la chasse aux menaces. Il prend en charge une analyse structurée des ouvertures de session, des créations de processus, des installations de services, des tâches planifiées, des changements de privilèges et de l’effacement des journaux avec Chainsaw, Hayabusa et EvtxECmd.

Guide d'extraction des artefacts mémoire avec Rekall pour analyser des images mémoire Windows. Découvrez les schémas d'installation et d'utilisation pour repérer les processus cachés, le code injecté, les VAD suspectes, les DLL chargées et l'activité réseau en investigation numérique.

La compétence extracting-credentials-from-memory-dump aide à analyser des dumps mémoire Windows pour extraire des hachages NTLM, des secrets LSA, du matériel Kerberos et des jetons, à l’aide de workflows Volatility 3 et pypykatz. Elle est conçue pour la criminalistique numérique et la réponse à incident lorsque vous avez besoin de preuves solides, d’évaluer l’impact sur les comptes et d’obtenir des recommandations de remédiation à partir d’un dump valide.

Guide du skill extracting-iocs-from-malware-samples pour l’analyse de malwares : extraire les hashes, IP, domaines, URLs, artefacts hôte et indices de validation à partir d’échantillons pour la threat intelligence et la détection.

Compétence « extracting-config-from-agent-tesla-rat » pour l’analyse de malware : extraire la configuration .NET d’Agent Tesla, les identifiants SMTP/FTP/Telegram, les réglages du keylogger et les points de terminaison C2 avec un workflow reproductible.

extracting-browser-history-artifacts est une skill de criminalistique numérique dédiée à l’extraction de l’historique de navigation, des cookies, du cache, des téléchargements et des favoris depuis Chrome, Firefox et Edge. Utilisez-la pour transformer les fichiers de profil du navigateur en éléments de preuve prêts pour une chronologie, avec un workflow reproductible et centré sur l’enquête.

La compétence exploiting-server-side-request-forgery aide à évaluer, sur des cibles web autorisées, les fonctionnalités exposées aux SSRF, notamment les récupérateurs d’URL, les webhooks, les outils de prévisualisation et l’accès aux métadonnées cloud. Elle propose un parcours guidé pour la détection, les tests de contournement, l’exploration de services internes et la validation par audit de sécurité.

Le skill exploiting-race-condition-vulnerabilities aide les auditeurs en sécurité à tester des applications web pour détecter des failles TOCTOU, des doubles transactions et des contournements de limites à l’aide de requêtes concurrentes de type Turbo Intruder. Il fournit des consignes d’installation, de workflow et d’utilisation pour des évaluations autorisées.

La skill d’exploitation noPac CVE-2021-42278-42287 est un guide pratique pour évaluer la chaîne noPac (CVE-2021-42278 et CVE-2021-42287) dans Active Directory. Elle aide les red teamers autorisés et les utilisateurs d’audit de sécurité à vérifier les prérequis, passer en revue les fichiers de workflow et documenter l’exploitabilité avec moins d’hésitation.

exploiting-kerberoasting-with-impacket aide les testeurs autorisés à préparer un Kerberoasting avec `GetUserSPNs.py` d’Impacket, de l’énumération des SPN à l’extraction des tickets TGS, au cassage hors ligne et au reporting tenant compte de la détection. Utilisez ce guide exploiting-kerberoasting-with-impacket pour des workflows de test d’intrusion, avec un contexte clair d’installation et d’utilisation.

La skill exploiting-jwt-algorithm-confusion-attack aide les workflows d’audit de sécurité à tester la confusion d’algorithme JWT, notamment les rétrogradations RS256 vers HS256, les contournements `alg:none` et les astuces d’en-têtes `kid`/`jku`/`x5u`. Elle s’appuie sur un guide pratique, des exemples de référence et un script pour valider les tests de façon reproductible.

La skill d’exploitation du stockage de données non sécurisé sur mobile aide à évaluer et à extraire des preuves à partir d’un stockage local vulnérable dans les apps Android et iOS. Elle couvre SharedPreferences, les bases de données SQLite, les fichiers plist, les fichiers lisibles par tous, l’exposition via les sauvegardes et la gestion faible des clés dans le keychain/keystore, pour des workflows de pentest mobile et d’audit de sécurité.

exploiting-idor-vulnerabilities aide les audits de sécurité autorisés à tester les failles Insecure Direct Object Reference sur les API, les applications web et les systèmes multi-tenant, avec des vérifications intersessions, le mappage des objets et la validation lecture/écriture.

exploiting-excessive-data-exposure-in-api aide les équipes d’audit de sécurité à inspecter les réponses d’API pour repérer les champs trop partagés, notamment les données personnelles, les secrets, les identifiants internes et les données de débogage. Il propose un flux de travail ciblé, des schémas de référence et une logique d’analyse pour comparer les données renvoyées au schéma et aux rôles attendus.

La skill d’abus de délégation contrainte guide des tests Active Directory autorisés autour de l’exploitation de la délégation contrainte Kerberos. Elle couvre l’énumération, les requêtes de tickets S4U2self et S4U2proxy, ainsi que des voies concrètes vers le mouvement latéral ou l’élévation de privilèges. Utilisez-la quand vous avez besoin d’un guide reproductible pour un test d’intrusion, et non d’un aperçu général de Kerberos.

Skill exploiting-api-injection-vulnerabilities pour les équipes d’audit de sécurité qui testent des API contre les injections SQL, NoSQL, de commandes, LDAP et SSRF, sur les paramètres, en-têtes et corps de requête. Ce guide aide à repérer les entrées à risque, comparer les réponses de référence et vérifier si les interactions côté backend sont injectables.

executing-red-team-exercise est une compétence de cybersécurité pour planifier et suivre des exercices réalistes de red team. Elle prend en charge l’émulation d’adversaires tout au long de la reconnaissance, du choix des techniques, de l’exécution et de l’analyse des écarts de détection, ce qui la rend utile pour les travaux d’audit de sécurité et les évaluations alignées sur ATT&CK.

evaluating-threat-intelligence-platforms vous aide à comparer les produits TIP selon l’ingestion de flux, la prise en charge de STIX/TAXII, l’automatisation, les workflows analystes, les intégrations et le coût total de possession. Utilisez ce guide evaluating-threat-intelligence-platforms pour les achats, une migration ou la planification de maturité, y compris l’évaluation de evaluating-threat-intelligence-platforms pour le Threat Modeling lorsque le choix de la plateforme influence la traçabilité et le partage des preuves.

eradicating-malware-from-infected-systems est une compétence de réponse à incident en cybersécurité destinée à supprimer les malwares, les portes dérobées et les mécanismes de persistance après confinement. Elle fournit des indications de workflow, des fichiers de référence et des scripts pour le nettoyage sous Windows et Linux, la rotation des identifiants, la remédiation des causes racines et la validation.

Le skill detecting-wmi-persistence aide les threat hunters et les analystes DFIR à détecter la persistance par abonnement d’événements WMI dans la télémétrie Windows à l’aide des Event ID Sysmon 19, 20 et 21. Servez-vous-en pour repérer des activités malveillantes EventFilter, EventConsumer et FilterToConsumerBinding, valider les résultats et distinguer une persistance d’attaquant d’une automatisation d’administration légitime.

Skill de détection d'attaques de la chaîne d'approvisionnement en CI/CD pour auditer les configurations GitHub Actions et CI/CD. Il aide à repérer les actions non verrouillées, les injections de scripts, la confusion de dépendances, l’exposition de secrets et les autorisations risquées dans les workflows d’audit de sécurité. Utilisez-le pour examiner un dépôt, un fichier de workflow ou un changement de pipeline suspect avec des constats clairs et des correctifs concrets.

Le skill de détection d’attaques de type Stuxnet aide les équipes défensives à repérer des schémas d’intrusion OT et ICS inspirés de Stuxnet, notamment la falsification de la logique PLC, les données capteurs usurpées, la compromission d’un poste d’ingénierie et les mouvements latéraux de l’IT vers l’OT. Utilisez-le pour la chasse aux menaces, le triage des incidents et la surveillance de l’intégrité des processus, à partir d’indices issus des protocoles, des hôtes et des processus.