Russie

Source: SEQRITE — Dans une analyse technique, l’équipe APT de SEQRITE documente « Operation DupeHike », une campagne active depuis novembre 2025 (cluster UNG0902) ciblant des entités corporatives russes, notamment les services RH, paie et administration. 🎯 Le leurre s’appuie sur des documents PDF à thème « bonus annuel » distribués via une archive ZIP. Le fichier malveillant est une raccourci LNK déguisé en PDF qui exécute PowerShell pour télécharger et lancer l’implant DUPERUNNER (C++), lequel déploie ensuite un beacon AdaptixC2. ...

Source: The Moscow Times (Dec. 2, 2025). L’article rapporte une panne touchant le Vehicle Tracking System (VTS), un module de sécurité embarqué connecté par satellite, qui a immobilisé de nombreuses Porsche en Russie. – Des conducteurs à Moscou, Krasnodar et ailleurs signalent des arrêts moteur et des blocages d’alimentation en carburant, rendant les véhicules indisponibles à la conduite. Les modules d’alarme embarqués, connectés par satellite, ont perdu la connexion, selon des témoignages d’utilisateurs et de concessions. ...

Selon le blog Synaptic Systems, l’APT russe « Primitive Bear »/« Gamaredon » (attribué au FSB) mène depuis octobre–novembre 2025 une campagne de spear‑phishing ciblant des entités ukrainiennes, en s’appuyant sur des archives RAR piégées et des leurres en langue ukrainienne (documents administratifs et militaires). Les échantillons observés partagent une structure quasi identique et exploitent la vulnérabilité WinRAR CVE-2025-6218. La faille CVE-2025-6218 est une traversée de répertoires menant à une exécution de code dans WinRAR (≤ 7.11) permettant d’écrire hors du dossier d’extraction, notamment dans le dossier Startup de l’utilisateur. Une fois l’archive ouverte (interaction minimale), un fichier .hta est déposé de manière furtive dans Startup et s’exécute au prochain login, avec les privilèges de l’utilisateur. Le correctif est disponible à partir de WinRAR 7.12 (Beta 1). ...

Selon Disclosing Observer, une fuite (28 mars 2025) des bases internes de l’hébergeur « bulletproof » Media Land — plus tard sanctionné par le Royaume-Uni, les États‑Unis et l’Australie (19 nov. 2025) — a permis de reconstruire, de façon data‑driven, le fonctionnement de sa plateforme (comptes, abonnements, VM, allocation d’IP) et d’illustrer comment ces données internes peuvent éclairer la chaîne d’approvisionnement du ransomware. 📊 L’étude reconstitue le schéma des tables couvrant trois couches : clients/facturation, compute/services et réseau. Les identifiants stables (user_id, clés SSH, paiements) permettent de pivoter de l’identité client aux abonnements, des abonnements aux VM, puis aux historiques d’assignation IP. L’infrastructure s’appuie sur des composants modernes (VXLAN, KVM, Ceph, IPMI) avec une orchestration automatisée centrée sur les événements de cycle de vie des VM et une traçabilité fine des mouvements d’adresses. ...

Selon TechCrunch (Zack Whittaker), le fournisseur de technologies de surveillance et de filtrage Internet Protei a été victime d’un piratage ayant conduit au défacement de son site web et au vol massif de données, ultérieurement transmises à DDoSecrets. • 🧭 Contexte et fait marquant: le site de Protei a été défiguré le 8 novembre (tracé via la Wayback Machine) avec le message « another DPI/SORM provider bites the dust ». Le site a été restauré peu après. Durant l’intrusion, l’attaquant a obtenu le contenu du serveur web de l’entreprise, soit ~182 Go de fichiers, incluant des e-mails sur plusieurs années. L’identité et la motivation de l’attaquant sont inconnues. Le dirigeant de la branche jordanienne n’a pas répondu aux demandes de commentaire. ...

Source: akamai.com (06 nov. 2025). Akamai indique observer des actions de filtrage de contenu et de connectivité en Russie, susceptibles d’impacter la livraison vers certains utilisateurs et réseaux, dans un contexte évolutif et sans visibilité préalable. Akamai précise n’avoir pas constaté de blocage total de sa plateforme à l’échelle du pays, mais souligne que des actions menées par des opérateurs réseaux russes et/ou par le gouvernement russe peuvent affecter la distribution pour certains utilisateurs. La situation est décrite comme hautement dynamique, avec des cibles de filtrage et de blocage qui changent sans préavis. ...

Selon The Record (Recorded Future News), la police russe a mené des perquisitions et arrêté trois « jeunes spécialistes IT » soupçonnés d’avoir développé, utilisé et vendu le malware Meduza Stealer. 🚔 Les suspects ont été interpellés à Moscou et dans sa région; les autorités disent avoir saisi des ordinateurs, téléphones et cartes bancaires. Une vidéo publiée par le ministère montre les raids; l’un des suspects affirme « ne pas vraiment comprendre » son arrestation. Ils risquent jusqu’à quatre ans de prison s’ils sont reconnus coupables. ...

Selon The Record, une attaque a touché des entreprises agro‑industrielles en Russie. Il s’agit de la deuxième action de ce groupe en quelques mois, et elle intervient alors que se préparaient les activités liées au forum agricole prévu à la fin du mois à Moscou. Points clés 🌾🗓️ Type d’événement: attaque contre des organisations du secteur agro‑industriel Cibles: entreprises agro‑industrielles russes Récurrence: second incident attribué au même groupe en quelques mois Calendrier: coïncide avec la préparation du forum agricole de fin de mois à Moscou Localisation et contexte 🎯 ...

Selon PolySwarm (blog), ClayRAT est une campagne de spyware Android sophistiquée ciblant des utilisateurs en Russie, identifiée par Zimperium zLabs. En trois mois, plus de 600 échantillons ont été observés. La distribution s’appuie sur des canaux Telegram et des sites de phishing impersonnant des apps populaires comme WhatsApp et YouTube, avec des preuves sociales fabriquées pour crédibiliser les campagnes. Le malware abuse du rôle d’application SMS par défaut pour accéder discrètement aux SMS, journaux d’appels, notifications et effectuer des opérations de messagerie sans sollicitation de l’utilisateur. Il supporte des commandes à distance permettant l’exfiltration de données (SMS, logs d’appels, notifications, infos appareil), la capture caméra et le déclenchement d’appels/SMS. ...

Selon iVerify, HyperRat est un nouveau cheval de Troie d’accès à distance (RAT) pour Android vendu en modèle malware-as-a-service (MaaS) sur des forums russophones, avec une infrastructure gérée, un panneau web et un builder d’APK, illustrant la maturation du marché MaaS mobile. 🐀📱 Le malware fournit un panneau de contrôle web (en russe) gérant des appareils infectés via des IDs de « workers », et un générateur d’APK permettant de configurer nom et icône de l’application. Ses capacités incluent l’interception SMS/appels, le suivi GPS, le contrôle VNC de l’écran, l’injection d’overlays de phishing (WebView), l’icône masquée, le contournement de l’optimisation de batterie, le mode proxy SOCKS5 et l’intégration C2 via bot Telegram. ...