Russie

Selon PolySwarm (blog), ClayRAT est une campagne de spyware Android sophistiquée ciblant des utilisateurs en Russie, identifiée par Zimperium zLabs. En trois mois, plus de 600 échantillons ont été observés. La distribution s’appuie sur des canaux Telegram et des sites de phishing impersonnant des apps populaires comme WhatsApp et YouTube, avec des preuves sociales fabriquées pour crédibiliser les campagnes. Le malware abuse du rôle d’application SMS par défaut pour accéder discrètement aux SMS, journaux d’appels, notifications et effectuer des opérations de messagerie sans sollicitation de l’utilisateur. Il supporte des commandes à distance permettant l’exfiltration de données (SMS, logs d’appels, notifications, infos appareil), la capture caméra et le déclenchement d’appels/SMS. ...

Selon iVerify, HyperRat est un nouveau cheval de Troie d’accès à distance (RAT) pour Android vendu en modèle malware-as-a-service (MaaS) sur des forums russophones, avec une infrastructure gérée, un panneau web et un builder d’APK, illustrant la maturation du marché MaaS mobile. 🐀📱 Le malware fournit un panneau de contrôle web (en russe) gérant des appareils infectés via des IDs de « workers », et un générateur d’APK permettant de configurer nom et icône de l’application. Ses capacités incluent l’interception SMS/appels, le suivi GPS, le contrôle VNC de l’écran, l’injection d’overlays de phishing (WebView), l’icône masquée, le contournement de l’optimisation de batterie, le mode proxy SOCKS5 et l’intégration C2 via bot Telegram. ...

CSelon un rapport du CERT-UA, le nombre d’attaques cybernétiques russes sur l’Ukraine a augmenté de 20 % au premier semestre 2025, dépassant 3 000 incidents, alors que les attaques à fort impact diminuent grâce aux renforcements défensifs ukrainiens. Les hackers russes délaissent leurs anciennes méthodes, automatisent leurs opérations et intègrent désormais des malwares générés par intelligence artificielle, comme les scripts PowerShell utilisés dans le malware Wrecksteel attribué au groupe de cyberespionnage UAC-0219. ...

Fuite massive de documents Rostec par le collectif Black Mirror Source: The Insider theins.ru 2 October 2025 23:03 Le groupe de hackers Black Mirror a publié une première série de plus de 300 documents internes issus de la société d’État russe Rostec, révélant en détail la coopération militaire et technique de la Russie avec l’étranger, les prix d’armements, et des schémas logistiques visant à contourner les sanctions internationales. Les fichiers dévoilent les difficultés rencontrées par des sociétés russes pour recevoir des paiements de clients comme l’Algérie, l’Égypte, la Chine ou l’Inde : incapacité des banques russes à proposer des garanties et à opérer via SWIFT, ce qui les oblige à recourir à d’autres moyens de règlement en yuans, roubles ou euros. ...

Zscaler ThreatLabz publie une analyse détaillée d’une campagne « ClickFix » attribuée à COLDRIVER ciblant des membres de la société civile russe (dissidents, ONG, défenseurs des droits humains). L’enquête met en lumière deux nouvelles familles de malwares, BAITSWITCH et SIMPLEFIX, et des techniques d’ingénierie sociale avancées. • Chaîne d’attaque: des faux checkboxes Cloudflare Turnstile copient dans le presse‑papiers des commandes malveillantes rundll32.exe, incitant les victimes à les exécuter. La campagne est multi‑étapes et recourt à un filtrage côté serveur pour affiner les cibles et limiter l’exposition. ...

Selon Il Post - ilpost.it (14 septembre 2025), la Russie a commencé début septembre à préinstaller une nouvelle application de messagerie, MAX, sur tous les smartphones, tablettes et smart TV vendus dans le pays, en vertu d’un décret de Vladimir Poutine de juin. L’app, développée par VK (proche du pouvoir via Yuri Kovalchuk), se veut une alternative « patriotique » à WhatsApp et Telegram. MAX affiche des règles de protection des données beaucoup plus souples: ses conditions d’utilisation stipulent qu’elle peut transférer les données des utilisateurs « à toute autorité étatique ou entité d’autogouvernement local » sur demande. Des experts et dissidents estiment qu’elle pourrait servir à surveiller les conversations privées. Parallèlement, Roskomnadzor a rendu impossible depuis mi-août les appels via WhatsApp et Telegram, justifiant la mesure par la lutte contre escroqueries, sabotage et terrorisme. ...

Source: Cisco Talos — Dans un billet signé par Sara McBroom, Talos détaille une campagne d’espionnage étatique menée par le groupe russe Static Tundra, actif depuis plus d’une décennie et lié au FSB (Center 16), visant des équipements réseau Cisco non patchés pour des accès persistants et la collecte de renseignements. Le groupe exploite agressivement depuis au moins 2021 la vulnérabilité CVE-2018-0171 dans la fonctionnalité Smart Install (Cisco IOS/IOS XE), patchée en 2018 mais encore présente sur des équipements non mis à jour ou en fin de vie. Les cibles prioritaires sont les télécoms, l’enseignement supérieur et la fabrication en Amérique du Nord, Asie, Afrique et Europe, avec une intensification notable contre l’Ukraine depuis le début de la guerre. Static Tundra récupérerait les configurations pour des usages ultérieurs, en fonction des priorités stratégiques russes. ...

Selon Doctor Web, une entreprise d’ingénierie russe a de nouveau été visée par le groupe APT Scaly Wolf, deux ans après une première intrusion. L’éditeur a analysé l’attaque détectée fin juin 2025 et reconstitué la chaîne d’infection, mettant en lumière un backdoor modulaire « Updatar » et l’usage d’outils de post-exploitation standard. • Vecteur initial 📧: début mai 2025, des e-mails « financiers » sans texte contenaient un PDF leurre et une archive ZIP protégée par mot de passe. Le ZIP renfermait un exécutable déguisé en PDF via une double extension (.pdf.exe). Le binaire initial, détecté comme Trojan.Updatar.1 (signature ajoutée le 6 mai 2025), sert de téléchargeur pour les autres modules du backdoor afin d’exfiltrer des données. La nouvelle version de Updatar.1 utilise une « RockYou Obfuscation »: initialisation massive de chaînes RockYou.txt et encodage XOR + décalage aléatoire des chaînes utiles, rendant l’analyse plus difficile. ...

Un rapport de recherche (août 2025) publié par le CNA (Center for Naval Analyses un organisation indépendante à but non lucratif americain), examine le rôle d’entreprises privées russes de cybersécurité dans l’écosystème « cyber » du pays depuis l’invasion de l’Ukraine, avec des études de cas sur Kaspersky, Security Code et Positive Technologies. Le rapport décrit un « web cyber » russe complexe et opaque, mêlant agences d’État (FSB, SVR, GRU) et acteurs non étatiques (entreprises privées, cybercriminels cooptés, développeurs, « hackers patriotiques »). Le Kremlin coerce, incite ou sous-traite pour des objectifs offensifs, défensifs, éducatifs et de recrutement, en cherchant à renforcer ses capacités tout en conservant une négation plausible. 🧩 ...

Selon CYFIRMA, ce rapport détaille un malware bancaire Android sophistiqué, nommé Lazarus Stealer, qui se dissimule sous le nom “GiftFlipSoft” pour cibler des applications bancaires russes tout en restant invisible pour l’utilisateur. L’outil vole des numéros de carte, codes PIN et identifiants via des attaques par superposition (overlay) et l’interception des SMS. Le malware exploite des permissions Android à haut risque — RECEIVE_SMS, SYSTEM_ALERT_WINDOW, PACKAGE_USAGE_STATS — afin d’assurer sa persistance et de surveiller l’activité des apps bancaires. Il se définit comme application SMS par défaut pour détourner les OTP, utilise WindowManager pour afficher des interfaces de phishing au-dessus des apps légitimes, maintient une communication C2 continue via HTTP POST, et s’appuie sur des services au premier plan (AppMonitorService, SMSForwardService) pour un monitoring persistant. Il intègre aussi un chargement dynamique de WebView permettant la livraison de contenus contrôlés par l’opérateur. 📱⚠️ ...