L'autre jour, je m'amusais à regarder ce qu'une petite application Android que j'avais installée envoyait comme infos à ses serveurs , et j'ai encore galéré avec une tripotée d'outils différents. Entre ADB pour récupérer le fichier, Apktool pour le désassembler, Jadx pour lire le code et les scripts de signature à rallonge, y'a de quoi se taper la tête contre les murs. On est en 2026, et le reverse engineering Android ressemble encore parfois à de la spéléologie sans lumière dans une grotte remplie de goudron.

Puis c'est là que je suis tombé sur apk.sh, et ça m'a sauvé ma soirée. C'est un script Bash tout simple, mais qui joue le petit chef d'orchestre pour automatiser toutes les tâches les plus chiantes : le pull, le décodage, la reconstruction, le patching et le renommage d'APK. Ça vous mâche le travail sur toute la partie technique pour que vous n'ayez plus qu'à faire un petit adb install à la fin... et voilà ! (Sans les "Trenti anni di qualità", évidemment ^^)

Le truc cool, c'est qu'il ne se contente pas de faire du "pull" et du "decode". Il gère également nativement l'injection de gadgets Frida pour faire de l'instrumentation dynamique, et ça, c'est vraiment le pied pour ceux qui veulent voir ce qui se passe en mémoire sans s'arracher les cheveux. Il peut même patcher automatiquement la configuration de sécurité réseau pour vous permettre d'intercepter le trafic HTTPS plus facilement. Par contre attention, si l'appli utilise du certificate pinning bien costaud, ça servira à QUE DALLE.

Si vous avez déjà essayé de décompiler un APK et de le recompiler , vous savez que la moindre erreur de signature ou d'alignement et c'est le drame. Ici, l'outil s'occupe de tout avec apksigner et zipalign de manière transparente. Et pour les plus barbus d'entre vous, il permet même de modifier directement le bytecode DEX via les fichiers smali pour éviter les bugs de décompilation Java qui font parfois pleurer un admin sys.

Pas besoin d'être root pour la plupart des fonctions, et il gère même les fameux bundles (AAB) que Google Play impose désormais et qui se transforment en "split APKs" une fois sur votre téléphone. En gros, vous faites un pull pour récupérer et fusionner tout ça en un seul APK, puis un decode pour obtenir un dossier tout prêt à être exploré.

C'est typiquement le genre d'outil que j'aurais aimé avoir à l'époque où je vous parlais d'Androguard pour analyser des malwares Android . On gagne un temps de fou malade et on peut se concentrer sur ce qui nous intéresse vraiment dans la vie, c'est à dire le fromage à raclette et la sieste comprendre comment ces applis nous pompent nos données ou juste changer la couleur d'un bouton pour le plaisir (ou des trucs qui vous enverront en zonzon ^^).

Bref, si vous aimez mettre les mains dans le cambouis Android, allez jeter un œil à ce projet pour vos prochaines sessions de reverse.

A découvrir ici

Qui n'a jamais eu envie de savoir si "KikouLolDu93" avait aussi un compte sur un site de rencontre ou un forum obscur de haxx0rs ? C'est humain, c'est de la curiosité... ou de l'OSINT (Open Source Intelligence) si vous voulez faire genre vous êtes un pro. Et pour ça, j'ai l'outil qu'il vous faut : Social Analyzer .

Ce script est un détective privé numérique qui va frapper à la porte de plusieurs centaines de sites (Facebook, X (ex-Twitter), Instagram, Tinder, et des trucs bien plus niches) pour vérifier la présence d'un pseudo.

Développé par qeeqbox, Social Analyzer ne se contente pas de tester une URL. Il analyse les pages, vérifie les métadonnées, et vous sort un score de confiance de 0 à 100. Notez qu'un score de 100 n'est pas une preuve d'identité absolue (on n'est pas à la police scientifique), mais une forte probabilité basée sur les signaux trouvés. À l'inverse, un score de 0 peut signifier que c'est un homonyme, ou simplement que le site a bloqué la requête. Ça évite en tout cas de stalker la mauvaise personne trop vite.

L'outil est codé en JavaScript et Python, et vous pouvez l'utiliser en ligne de commande ou via une interface web plutôt propre si le terminal vous donne de l'urticaire.

Comment on installe la bestiole ?

Vous avez plusieurs options, mais la plus simple si vous avez Python 3 d'installé, c'est via pip (vérifiez bien que c'est le paquet officiel) :

pip3 install social-analyzer

Et hop, c'est réglé. Ensuite pour lancer une recherche rapide, c'est aussi simple que :

social-analyzer --username "le_pseudo_a_chercher"

Si vous êtes plus team NodeJS, vous pouvez aussi cloner le dépôt GitHub et lancer ça à la main :

git clone https://github.com/qeeqbox/social-analyzer.git
cd social-analyzer
npm install
npm start

Ça lancera l'interface web sur votre machine (généralement sur le port 9005), et vous pourrez faire vos recherches tranquillement en cliquant sur des boutons.

Et ça marche vraiment ?

Franchement, oui. C'est même assez bluffant de voir tout ce qui ressort. Il peut même tenter d'extraire des infos supplémentaires comme la bio ou l'avatar si les sites ne sont pas trop protégés contre le scraping.

Par contre, petit disclaimer habituel : ce genre d'outil, c'est pour de l'investigation légitime. Genre vérifier vos propres traces numériques pour faire du nettoyage, ou pour des enquêtes de sécu. Ne commencez pas à l'utiliser pour harceler les gens, le web n'a pas besoin de ça.

D'ailleurs, si le sujet de l'OSINT vous branche, jetez un œil à mon article sur Blackbird qui fait un boulot similaire, ou apprenez à analyser un profil GitHub comme un chef.

Bref, Social Analyzer c'est puissant, c'est open source, et ça fait le café. À utiliser avec intelligence évidemment !

Merci à Lorenper !

Les gars de chez LLNL (Lawrence Livermore National Laboratory) sont des bons ! De vrais spécialistes en sécurité informatique qui ont pondu un outil à essayer si vous passez vos journées dans les entrailles des binaires.

Ça s'appelle OGhidra , et c'est une extension qui fait le pont entre le célèbre framework de reverse engineering Ghidra et la puissance des modèles de langage (LLM).

Comme ça, plutôt que de vous péter les yeux sur des milliers de lignes de code décompilé, vous pouvez simplement "discuter" avec les fonctions ou les strings extraites. Grâce à une intégration avec Ollama, OGhidra permet d'interroger les représentations du binaire en langage naturel pour identifier des vulnérabilités, renommer intelligemment des fonctions ou expliquer des algorithmes complexes. Attention toutefois, comme avec tout LLM, les résultats doivent être validés manuellement (les hallucinations, ça arrive même aux meilleurs !).

Le gros avantage ici, vous l'aurez compris, c'est la privacy car tout tourne en local sur votre ordi. L'extension utilise des techniques comme le RAG (Retrieval-Augmented Generation) pour garder le contexte de vos sessions et le CAG (Cache-Augmented Generation) pour optimiser les performances. Prévoyez quand même une machine solide car pour faire tourner des modèles comme gemma3 confortablement, 32 Go de RAM (et une bonne dose de VRAM) ne seront pas de trop.

Pour que ça envahisse vos machines de reverse engineer, il vous faudra Ghidra 11.3 minimum et JDK 17. L'installation se fait ensuite en deux temps : d'abord le plugin GhidraMCP à ajouter dans Ghidra, puis le composant Python à récupérer sur GitHub :

git clone https://github.com/LLNL/OGhidra.git
cd OGhidra
pip install -r requirements.txt

Vous vous souvenez de Top Gun sur NES ? Ce jeu culte des années 80 où vous incarniez Maverick dans des combats aériens endiablés ? Hé bien si vous y avez joué, vous avez forcément vécu LE traumatisme du jeu : l'atterrissage sur le porte-avions.

Je ne sais pas combien de manettes ont été explosées à cause de cette séquence de torture, mais ça doit se compter en millions. Vous avez beau suivre les instructions à l'écran "Alt. 200 / Speed 288", faire exactement ce qu'on vous dit, et PAF... crash. Retour à la case départ.

Toutefois, c'était sans compter sur ce développeur qui a eu la bonne idée de faire du reverse engineering sur le code assembleur du jeu pour comprendre ce qui se passait vraiment derrière cette mécanique diabolique.

Et en fouillant dans les entrailles du code NES, il a découvert que pour réussir l'atterrissage, il fallait respecter 3 critères simultanément. D'après l'analyse du code, l'altitude doit être entre 100 et 299 (une plage plutôt large, ouf), la vitesse entre 238 et 337 (déjà plus serré), et surtout l'alignement latéral avec le porte-avions qui est lui ultra strict. Et c'est là que ça devient chaud, parce que ce dernier paramètre, on ne le voit pas à l'écran. Vous pouvez avoir l'altitude parfaite et la vitesse au poil, si vous êtes décalé de quelques pixels à gauche ou à droite, c'est muerto pépito.

La direction est stockée en mémoire comme un entier signé allant de -32 à +32, puis convertie en une plage de 0 à 7. Autant dire que la marge d'erreur est ridicule...

Le plus intéressant dans son reverse, c'est de voir comment le code vérifie tout ça. La fonction "landing_skill_check" fait des vérifications séquentielles super basiques avec des codes d'erreur du genre : Altitude hors limites ? Code d'erreur 2. Vitesse hors limites ? Code 4. Direction hors limites ? Code 8.

Et ces codes d'erreur déterminent même l'animation de crash que vous allez voir. Du coup, si vous crashez souvent de la même façon, c'est probablement toujours le même paramètre qui foire.

Les valeurs sont stockées en BCD (Binary Coded Decimal) pour faciliter l'affichage à l'écran, et on peut les trouver aux adresses $40-$41 pour la vitesse, $3D-$3E pour l'altitude, et $FD pour la direction. Le résultat de la vérification se retrouve à l'adresse $9E. Voilà, maintenant vous savez où regarder si vous voulez tricher avec un émulateur .

D'ailleurs, en parlant de triche, l'auteur de cette analyse a même créé un code Game Genie spécifique pour contourner toute cette galère : AEPETA. Tapez ça et vous atterrirez à tous les coups, peu importe à quel point vous pilotez comme un manche.

Bref, voilà un mystère de 35 ans enfin résolu grâce au reverse engineering. Et si vous voulez vous replonger dans cette torture en connaissance de cause, vous savez maintenant que c'est probablement l'alignement qui vous a eu, pas votre skill.

Source

Alors celle-là, c’est la meilleure ! Si vous pensiez que les filtres de sécurité des IA étaient devenus des forteresses imprenables, préparez-vous à rigoler un bon coup car aujourd'hui, on va parler de comment j'ai réussi à rouler Gemini dans la farine avec une bidouille tellement simple que c'en est presque gênant pour Google.

Rassurez-vous quand même, c'est moins glauque que ce que tous les détraqués du bocal ont fait avec Grok ces dernières semaines.

Vous avez sans doute remarqué que dès qu'on demande à Nano Banana de bosser sur des photos de personnalités publiques, ou même juste de gens normaux, il se braque direct. Le machin vous sort son petit message pré-enregistré genre : "I can help with editing images of people, but I can't edit some public figures. Is there anyone else you'd like to try?".

Bref, c'est le blocage total pour protéger la vie privée de nos stars (et surtout pour s'éviter des procès, on ne va pas se mentir).

Sauf qu'en fait, l'IA de Google a une mémoire de poisson rouge quand on sait comment s'y prendre.

L'astuce est d'une simplicité désarmante. Vous n'avez pas besoin de faire 50 000 tests ou de connaître le langage des machines. En fait, il suffit de rester dans la même conversation. Quand il vous refuse la modification sur votre image initiale, vous lui redemandez exactement la même chose, mais en lui filant une autre image qui n'a absolument rien à voir (genre une photo de votre chat ou de votre petit-déjeuner).

Et là, c'est le drame (enfin, pour Google). Au lieu de bosser sur la deuxième image, Gemini va tout simplement reprendre le travail sur la première image, celle qu'il venait de vous refuser deux secondes plus tôt ! Hop, le filtre saute et vous voilà libre de faire vos petites expériences.

Alors bien sûr, je ne vous dis pas ça pour que vous alliez faire n'importe quoi (on reste des gens bien, hein), mais c'est quand même assez dingue de voir que des systèmes qui coûtent des milliards de dollars peuvent être contournés avec une manip d'une telle simplicité.

Comme quoi, la sécurité des IA, c'est encore un peu du bricolage par moments.

Alors ça ne marche pas à tous les coups, et il y a certaines personnalités pour qui c'est plus compliqué d'obtenir un résultat mais bon, quand ça fonctionne c'est rigolo. Je pense que les ingénieurs de chez Google vont vite boucher le trou dès qu'ils auront fini de lire mon article (le melooooon ^^).

Voilà pour la petite trouvaille du jour ^^. Ah et sinon vous pouvez aussi faire ça sur LMArena , ça passe mieux le filtrage en général.

Enorme nouvelle pour tous les amateurs de rétro-ingénierie et très mauvaise nouvelle pour Free ! Au 39C3 (le Chaos Communication Congress de cette année), un chercheur français du nom de Frédéric Hoguin (que je salue) a présenté un talk absolument dingue sur le hack de la Freebox HD. Et tenez-vous bien, l'une des failles utilisées se trouve dans... le port de Doom intégré à la box !

Pour la petite histoire, la Freebox HD c'est ce bon vieux boîtier décodeur que Free a sorti en 2006. Bientôt 20 ans au compteur et toujours maintenue jusqu'à fin 2025. Du coup, Frédéric s'est dit que ça ferait un super terrain de jeu pour du reverse engineering à l'ancienne. Et là, il a découvert deux failles 0-day qui permettent de prendre le contrôle total de la box.

Vous connaissez le concept de clé maître ? Hé bien Rasmus Moorats, un chercheur en sécurité estonien, vient d'en trouver une qui déverrouille l'intégralité du parc de scooters électriques Äike. Et vous vous en doutez, c'est pas vraiment ce que le fabricant avait prévu.

Le bougre a décidé de reverse-engineerer son propre deux-roues connecté après que la boîte ait fait faillite en 2025. Logique, quand le cloud menace de fermer, autant comprendre comment fonctionne sa bécane. Du coup il a décompilé l'app React Native, hooké les communications Bluetooth avec Frida, et là... surprise !

L'authentification entre l'app et l'engin utilise un système de challenge-response. Le scooter envoie un défi aléatoire, l'app le concatène avec une clé secrète, hash le tout en SHA-1, et renvoie le résultat. Simple et efficace. Sauf que la clé secrète en question, c'est FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF. Vingt octets de FF.

Vous l'aurez peut-être compris, c'est la valeur par défaut du SDK fourni par le fabricant du module IoT.

Bref, les devs d'Äike n'ont jamais personnalisé cette clé. Chaque scooter sorti d'usine embarque exactement la même. Du coup avec un script Python et la lib bleak, n'importe qui peut déverrouiller n'importe quel Äike qui passe dans la rue. Hop, on scanne, on répond au challenge avec la clé universelle, et on envoie les commandes : déverrouiller, activer le mode éco, ouvrir le compartiment batterie... tout y passe.

Le plus rigolo dans l'histoire c'est que la société sœur Tuul, qui fait de la location de trottinettes, n'a pas de Bluetooth sur ses engins ! Du coup elle n'est pas touchée. Comme quoi, parfois l'absence de fonctionnalité devient une feature de sécurité.

Évidemment, Rasmus a fait les choses proprement avec une disclosure responsable en septembre dernier. Le fabricant a alors confirmé que c'était bien leur faute, et pas celle du fournisseur du module. Mais bon, maintenant que la boîte a coulé, les correctifs risquent d'attendre looongtemps.

Source

Avez-vous un Echo Show qui traîne dans un coin ? Mais si, vous savez, cet écran connecté d'Amazon qui s'est mis à afficher des pubs sur l'écran d'accueil depuis peu. Le genre de truc qui rend dingue 🤪.

Et bien bonne nouvelle puisqu'un développeur nommé Roger Ortiz a trouvé comment libérer ces petites bêtes. Du coup, grâce à ce merveilleux jeune homme, vous pouvez maintenant virer Fire OS, installer LineageOS 18.1 , et faire ce que vous voulez de votre appareil. Hop, plus de pubs, plus de flicage Amazon, juste du bon vieux Android AOSP.

L'Echo Show 8 libéré de Fire OS - enfin un écran connecté qui vous appartient ( Source )

Ce qui a énervé tout le monde de ce que j'ai compris, c'est qu'Amazon a progressivement ajouté des pubs sur ces appareils après leur achat. C'est totalement le genre de pratique qui donne envie de les passer par la fenêtre. Pour le moment, ça fonctionne sur les modèles 2019 comme l'Echo Show 5 (nom de code "checkers") et l'Echo Show 8 (nom de code "crown") car l'exploit cible une faille dans les puces MediaTek de ces appareils. Les versions plus récentes par contre, utilisent un autre processeur, donc pas de chance pour eux.

Le processus de jailbreak se déroule en plusieurs étapes. D'abord, il faut passer l'Echo en mode fastboot en maintenant les trois boutons du dessus au démarrage. Ensuite, on flashe TWRP (le recovery custom bien connu des bidouilleurs Android), on wipe le système, et on installe LineageOS via ADB. Y'a même un package Google Apps optionnel si vous voulez le Play Store.

Attention quand même, le développeur prévient que toute interruption après les 10 premières secondes du flash peut bricker définitivement l'appareil. Donc on ne débranche rien, on ne panique pas, et on attend gentiment les 5 minutes que ça prend.

Une fois Android installé, qu'est-ce qu'on peut en faire ? Déjà, Spotify et Apple Music en versions complètes (pas les versions bridées d'Alexa). Mais le plus intéressant, c'est d'utiliser Home Assistant pour contrôler votre domotique en local. Moins de latence, moins de dépendance aux serveurs Amazon.

Home Assistant qui tourne sur un Echo Show 8 - la domotique locale, sans le cloud ( Source )

D'ailleurs, il y a aussi Music Assistant qui transforme l'Echo en player multiroom compatible Spotify, Apple Music et fichiers locaux, si ça vous chauffe.

Côté specs, faut pas s'attendre à des miracles : 1 Go de RAM et à peine 5,5 Go de stockage. Ça tourne, mais Balatro à 3 FPS c'est compliqué. Par contre, pour de la musique et de la domotique par contre, c'est nickel.

Et si l'OS lui-même ÉTAIT le jeu ?

C'est exactement le concept derrière Aurora OS.js , un projet open source complètement barré qui simule un système d'exploitation complet dans votre navigateur... avec des mécaniques de jeu de hacking intégrées.

Le truc, c'est que ce n'est pas juste une démo technique. Aurora OS.js embarque un vrai système de fichiers virtuel avec stockage persistant, un terminal avec des commandes type Linux (ls, cd, cat, mkdir...), un gestionnaire de fenêtres, un bloc-notes avec coloration syntaxique, et toute une architecture modulaire pour les applications. Bref, ça ressemble à un vrai OS, ça se comporte comme un vrai OS, mais ça tourne dans un onglet de votre navigateur.

Côté technique, les développeurs n'ont pas fait dans la demi-mesure. C'est à base de React 19, Electron 39, TypeScript 5, Tailwind CSS v4, et des animations fluides grâce à Framer Motion. Et le tout nécessite Node.js 24 minimum, ce qui montre qu'on est clairement sur des technos de pointe.

Le projet suit une roadmap en trois étapes. La version actuelle (v0.7.7) se concentre sur les fondations et l'utilisabilité. La v1.x apportera le gameplay solo de hacking. Et la v2.x ? Du multijoueur persistant où vous pourrez hacker d'autres joueurs. Ça va être trop incrrrr !

Si vous aimez les expériences dans le navigateur ou les projets qui repoussent les limites du web , Aurora OS.js mérite clairement un coup d'œil. Y'a une démo live sur GitHub Pages pour tester directement (user: guest / mdp: guest). Et comme c'est sous licence AGPL-3.0, vous pouvez fouiller le code et même contribuer si le cœur vous en dit.

Source