Le carnet d’Humanix
BLOG
Analyses, retours d’expérience et repères sur la cybersécurité offensive et défensive. Sans jargon inutile, au plus près du terrain.
Le client lourd, cet oublié des audits
Compte-rendu SecSea 2026 : l’interface web d’un ERP métier avait été auditée plusieurs fois. Son client lourd, jamais. Il a suffi d’intercepter ses échanges pour enchaîner lecture de fichiers, vol de secret de session, jeton d’administrateur forgé et exécution de code. La leçon tient en une phrase : on n’audite que ce qu’on regarde.
Lire l’articleDes automates industriels qui en disent trop, sur Internet
Compte-rendu SecSea 2026 : des automates industriels exposés sur Internet livrent leur version, leur configuration, et parfois des chemins Windows qui trahissent l’utilisateur et l’entreprise. Jusqu’à des installations hydroélectriques. Un rappel que l’OT exposé reste un angle mort, et que le signalement ne mène pas toujours au correctif.
Le ransomware est devenu une industrie du logiciel
Compte-rendu SecSea 2026 : panels d’administration soignés, partage de revenus, builds multi-plateformes, chatbots qui négocient les rançons et extorsion à quatre niveaux. Les plateformes de ransomware-as-a-service ressemblent à des éditeurs de logiciels, et leurs fuites internes sont une mine pour les défenseurs.
Ce que votre EDR cherche en mémoire pendant qu’un implant dort
Compte-rendu SecSea 2026 : un travail de red team sur une vieille technique d’évasion, Gargoyle, qui fait disparaître un implant des scans mémoire pendant ses phases d’inactivité. L’intérêt pour un défenseur n’est pas l’attaque, c’est la contre-partie : comment un threat hunter repère ce qui tente de se cacher.
Un buffer overflow par SMS sur un Nokia 3310
Compte-rendu SecSea 2026 : dumper le firmware non signé d’un Nokia 3310, le planter à distance par un SMS malformé, et rendre le serpent de Snake immortel en modifiant un octet. Au-delà de la nostalgie, une leçon durable sur ce qui protège un système, et sur ce qui ne protégeait rien à l’époque.
Auditer du code avec des agents IA, sans se noyer
Compte-rendu SecSea 2026 : l’analyse statique de code croule sous les faux positifs, et les modèles de langage seuls coûtent cher et hallucinent. La bonne réponse est hybride : des règles déterministes pour isoler le code qui compte, un LLM pour juger l’exploitabilité, un agent contradicteur pour trancher. Retour de terrain AppSec.
Usurper un visage sans jamais l’avoir vu
Compte-rendu SecSea 2026 : à partir d’un gabarit biométrique volé, un chercheur optimise un bruit minimal sur son propre visage pour être reconnu comme la victime, sans jamais détenir ses données brutes. La reconnaissance faciale repose sur une comparaison de vecteurs, et cette mécanique a une faiblesse mathématiquement garantie.
Une année sur un badge : e-ink, SAT, radio et glitch
Compte-rendu SecSea 2026 : un badge électronique comme prétexte à une année de bidouille sérieuse. Afficher des niveaux de gris sur un écran e-ink qui n’en veut pas, résoudre un casse-tête par solveur logique, puis rétro-concevoir la radio des volets roulants et extraire un firmware par injection de faute. Quatre leçons sous un seul capot.
Votre WiFi sait peut-être que vous êtes là
Compte-rendu SecSea 2026 : détecter une présence, un mouvement, voire une respiration, à partir des perturbations que le corps humain impose au signal WiFi ambiant. Avec un microcontrôleur à quelques euros. La technique est réelle, le capteur n’a rien de magique, et la question de la vie privée est posée.
Tout votre annuaire d’entreprise, en clair sur chaque poste
Compte-rendu SecSea 2026 : le client Outlook classique garde en local une copie complète de l’annuaire global de l’entreprise, dans un fichier lisible sans aucun privilège. Comptes d’administration, matricules, listes de diffusion : de quoi armer un hameçonnage ciblé. Un angle mort ordinaire, et une remédiation connue.
Ce que raconte le firmware d’un lave-vaisselle
Compte-rendu SecSea 2026 : un lave-vaisselle connecté cassé, quelques sondes, et l’intégralité de son micrologiciel extraite en forçant le microcontrôleur en mode téléchargement. La démonstration n’a rien d’anecdotique : tout objet qui embarque une puce est auditable, et c’est une bonne nouvelle pour qui veut savoir ce qu’il achète.
CISO Assistant V4 : ce qui change, et pourquoi nous y versons nos preuves
Nous avons assisté à la présentation de la V4 de CISO Assistant, la plateforme GRC open source d’Intuitem. Workflows, formulaires rapides, modélisation des menaces par TTP, postures techniques : la gouvernance se met à automatiser. Et c’est là que Humanix Académie dépose les preuves de la gestion du risque humain.