Analyse De Menace

🔍 Contexte Publié le 7 avril 2026 par Cisco Talos (Diana Brown), cet article documente une augmentation d’activité malveillante exploitant les pipelines de notification de plateformes SaaS populaires (GitHub et Atlassian Jira) pour distribuer des emails de spam et de phishing à grande échelle. ⚙️ Technique : Platform-as-a-Proxy (PaaP) Les attaquants exploitent une technique nommée Platform-as-a-Proxy (PaaP) : en abusant des fonctionnalités natives de notification des plateformes SaaS, les emails malveillants sont émis depuis l’infrastructure légitime des fournisseurs, satisfaisant automatiquement les contrôles SPF, DKIM et DMARC. Cela neutralise les principaux mécanismes de filtrage email basés sur la réputation. ...

📰 Source : The Register — Article publié le 7 avril 2026, basé sur des déclarations de Tanmay Ganacharya, VP de la recherche en sécurité chez Microsoft, et un blog technique de Microsoft publié le 7 avril 2026. Contexte Depuis le 15 mars 2026, une campagne de phishing par device code OAuth 2.0 cible des centaines d’organisations à l’échelle mondiale. Microsoft observe 10 à 15 campagnes distinctes lancées toutes les 24 heures, chacune distribuée à grande échelle avec des payloads variés et uniques, rendant la détection par signatures difficile. ...

🌐 Contexte Source : Microsoft Threat Intelligence Blog, publié le 7 avril 2026. Cet article présente une analyse technique d’une campagne active attribuée à Forest Blizzard (acteur lié au renseignement militaire russe), active depuis au moins août 2025, impliquant la compromission massive de dispositifs SOHO (Small Office/Home Office). 🎯 Acteurs et ciblage Forest Blizzard et son sous-groupe Storm-2754 sont les acteurs identifiés. Plus de 200 organisations et 5 000 appareils grand public ont été impactés. Secteurs ciblés : gouvernement, technologies de l’information, télécommunications, énergie. Des attaques AiTM spécifiques ont visé au moins trois organisations gouvernementales en Afrique. 🔗 Chaîne d’attaque Compromission de routeurs SOHO : exploitation de dispositifs vulnérables pour modifier leur configuration DNS par défaut. DNS Hijacking : redirection des requêtes DNS vers des résolveurs contrôlés par l’acteur via l’outil légitime dnsmasq (port 53). Attaques AiTM sur TLS : dans un sous-ensemble de cas, l’acteur usurpe les réponses DNS pour forcer les victimes à se connecter à une infrastructure malveillante présentant un certificat TLS invalide imitant des services Microsoft. Interception de trafic : si la victime ignore l’avertissement de certificat invalide, l’acteur peut intercepter le trafic en clair, incluant potentiellement emails et contenus cloud. 🛠️ Techniques observées Utilisation de dnsmasq pour la résolution DNS et l’écoute sur le port 53. Proxying transparent des requêtes DNS dans la majorité des cas. Usurpation ciblée de réponses DNS pour des domaines spécifiques dans les cas d’AiTM. Ciblage des domaines Microsoft Outlook on the web pour les attaques AiTM M365. Exploitation des appareils edge en amont des cibles principales pour pivoter vers des environnements enterprise. 📊 Impact Collecte passive de trafic DNS à grande échelle. Interception potentielle d’emails et de contenus cloud. Aucun actif ou service Microsoft directement compromis selon la télémétrie. Accès potentiel à des environnements cloud via des appareils SOHO d’employés en télétravail. 📄 Type d’article Il s’agit d’une analyse de menace publiée par Microsoft Threat Intelligence, dont le but principal est de documenter les TTPs de Forest Blizzard dans cette campagne et de fournir des indicateurs de détection et des requêtes de chasse aux défenseurs. ...

🗞️ Contexte Article publié le 8 avril 2026 par The Register, basé sur une interview de Cynthia Kaiser, ancienne directrice adjointe de la division cyber du FBI (départ en juin 2025) et désormais SVP au Halcyon Ransomware Research Center, lors de la RSA Conference. 🎯 Menace 1 : Pay2Key — groupe lié à l’Iran, secteur santé américain Attaque survenue fin février 2026, coïncidant avec les frappes militaires américano-israéliennes contre l’Iran Cible : organisation de santé américaine Accès initial via un compte administrateur compromis, présent sur le réseau plusieurs jours avant l’attaque Chiffrement de l’environnement en 3 heures après activation Aucune exfiltration de données détectée — inhabituel pour ce groupe, suggérant une visée destructrice plutôt que financière Le variant utilisé montre une mise à niveau significative par rapport aux intrusions de juillet 2025 : meilleures capacités anti-détection Parallèle établi avec les attaques contre l’Albanie en 2022 : Iran présent 14 mois sur les réseaux albanais avant de transférer l’accès à un groupe d’attaque 💣 Menace 2 : Sicarii — ransomware amateur au comportement destructeur Groupe apparu en décembre 2025 Défaut critique de conception : l’encrypteur génère une nouvelle paire de clés cryptographiques à chaque exécution mais supprime la clé privée, rendant le déchiffrement impossible Résultat : le ransomware se comporte comme un wiper / destruction-ware Kaiser attribue ce défaut à l’utilisation d’IA pour générer le code, assemblé de façon incohérente (« ugly-chaining ») ⚡ Menace 3 : Akira — vitesse d’exécution extrême Dans la majorité de ses centaines de compromissions sur 12 mois : moins de 4 heures entre accès initial et chiffrement complet Certaines attaques : moins d’une heure Outil de déchiffrement doté d’un système de checkpoint pour garantir la récupération des gros fichiers même en cas d’interruption 📊 Tendances générales Coût combiné ransomware + extorsion pour les entreprises et consommateurs américains : ~155 millions de dollars en 2025 Les wannabes utilisant l’IA représentent une menace croissante par le volume d’attaques, même si leur sophistication reste faible L’IA permet à des acteurs peu qualifiés de passer de 0 % à 5-10 % d’efficacité, augmentant la pression sur les équipes défensives Le dwell time (temps de présence avant détection) a drastiquement diminué chez les groupes sophistiqués 📌 Nature de l’article Article de presse spécialisée sous forme d’interview, visant à présenter l’analyse de menace ransomware d’une experte issue du renseignement fédéral américain, avec des cas concrets investigués par Halcyon. ...

🗓️ Contexte Publié le 6 avril 2026 par The Hacker News, cet article s’appuie sur des recherches de Cisco Talos et Trend Micro portant sur les opérations ransomware Qilin et Warlock. 🎯 Technique utilisée : BYOVD Les deux groupes ont été observés en train d’utiliser la technique Bring Your Own Vulnerable Driver (BYOVD), qui consiste à déployer un pilote légitime mais vulnérable afin de contourner ou neutraliser les outils de sécurité actifs sur les hôtes compromis. ...

🧭 Contexte Source : Microsoft Security Blog — Publication du 6 avril 2026. Analyse de menace produite par Microsoft Threat Intelligence portant sur l’acteur Storm-1175, un groupe cybercriminel à motivation financière opérant des campagnes ransomware Medusa à haute cadence. 🎯 Profil de l’acteur Storm-1175 est un acteur cybercriminel financièrement motivé, caractérisé par un tempo opérationnel élevé et une forte capacité à identifier des actifs périmètre exposés. Il exploite la fenêtre temporelle entre la divulgation publique d’une vulnérabilité et l’adoption généralisée des correctifs. ...

📰 Source : BleepingComputer | Date : 8 avril 2026 | Auteur de référence : Austin Larsen, analyste principal chez Google Threat Intelligence Group (GTIG) 🎯 Contexte général Le groupe de menace UNC6783 mène des campagnes ciblant des prestataires de services externalisés (BPO) afin d’atteindre indirectement des entreprises de grande valeur dans plusieurs secteurs. Selon GTIG, des dizaines d’entités ont été compromises dans le but d’exfiltrer des données sensibles à des fins d’extorsion. ...

🕵️ Contexte Publié le 1er avril 2026 par Daniel Kelley (Varonis Threat Labs), cet article présente une analyse technique d’un nouvel infostealer nommé Storm, apparu sur des forums cybercriminels clandestins en début d’année 2026. 🦠 Description du malware Storm est un infostealer vendu sous forme d’abonnement, développé en C++ (MSVC/msbuild), pesant environ 460 Ko, fonctionnant uniquement sous Windows. Sa version actuelle est v0.0.2.0 (Gunnar). Il se distingue par une approche de déchiffrement côté serveur des credentials navigateur, contournant ainsi les outils de sécurité endpoint qui surveillent les accès locaux aux bases de données de credentials. ...

🎯 Contexte Article publié le 30 mars 2026 par Sublime Security (Brandon Murphy), dans le cadre de leur série « Attack Spotlight ». Il décrit une campagne de phishing de credentials en cours, usurpant l’identité de Google Careers, détectée sur les environnements Google Workspace et Microsoft 365. 📧 Mécanisme d’attaque La campagne débute par un email imitant un recruteur Google Careers proposant un entretien. Le flux d’attaque est le suivant : ...

🗓️ Contexte Article publié le 4 avril 2026 par Luke Jennings sur le blog de Push Security. Il s’agit d’une analyse technique approfondie de la montée en puissance du device code phishing en 2026, technique exploitant le flux OAuth 2.0 Device Authorization Grant. 📈 Tendance observée Push Security a observé une augmentation de 37,5x des pages de device code phishing détectées en 2026 par rapport à l’année précédente. Dix kits distincts ont été identifiés en circulation, dont le plus prominent est EvilTokens, premier kit PhaaS (Phishing-as-a-Service) criminel dédié au device code phishing, lancé en février 2026. ...