Ukraine

🔍 Contexte Cet article est une publication de recherche présentée par Damien Schaeffer (ESET Canada) à la conférence Virus Bulletin en octobre 2026. Il documente en détail un nouveau groupe d’espionnage cyber nommé Gorbag, identifié par ESET et actif depuis au moins février 2025 contre des cibles ukrainiennes. 🎯 Victimologie Gorbag cible exclusivement des entités ukrainiennes, réparties en trois catégories principales : ~25% organisations judiciaires et forces de l’ordre (surveillance des enquêtes sur crimes de guerre russes) ~25% administrations locales (conseils municipaux en zones frontalières, évaluation des dommages de frappes aériennes) ~50% secteur défense (notamment fabricants de drones) et autres entités dont un hub de transit d’aide militaire étrangère ⚙️ Chaînes de compromission Chaîne 2025 : ...

🔍 Contexte Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm. 📅 Chronologie de l’intrusion 16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt. 16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum. 17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP. Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR). 17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy. 🦠 MythicRatatoskr – Analyse technique Langage : Go Développement estimé : entre décembre 2024 et février 2025 Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile Persistance : service Windows nommé ieupdate Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel) Variante Linux : des indices suggèrent l’existence d’une variante Linux 🏗️ Infrastructure réseau Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7) MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation 🎯 Attribution UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022 La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole) 📄 Type d’article Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie. ...

📡 Contexte Source : The Record (Recorded Future News), article de Daryna Antoniuk publié le 26 octobre 2026. Le CERT-UA (équipe nationale ukrainienne de réponse aux incidents) a émis une alerte concernant la compromission de caméras de surveillance fabriquées par le groupe chinois Dahua. 🎯 Nature de la menace Des attaquants non identifiés exploitent la fonctionnalité Easy4IP, un service d’accès à distance via le cloud de Dahua, qui connecte les appareils au cloud via leur numéro de série. Ces numéros suivant des schémas prévisibles, les attaquants peuvent en deviner un grand nombre pour identifier des caméras exposées, même protégées par un pare-feu. ...

🔍 Contexte Le CERT-UA a publié le 21 juillet 2026 une analyse technique détaillant une évolution significative des tactiques du cluster de cybermenaces UAC-0099, observée depuis mi-été 2026. 🎯 Vecteur d’infection La chaîne d’infection débute par un email de phishing contenant une image cliquable redirigeant via un service de raccourcissement d’URL vers un fichier ZIP malveillant (ex : Додатки до розпорядження.zip). L’archive contient un script VBS à double extension (ex : Заводський район.pdf .vbs) avec des espaces intentionnels pour masquer l’extension réelle. Ce script : ...

🔍 Contexte Analyse technique publiée le 27 juin 2026 par Robin Dost sur le blog Synaptic Security, documentant l’évolution du tooling de l’acteur UAC-0184 (également tracké sous MB-0005). L’article fait suite à une précédente analyse de la même campagne et couvre un nouveau sample avec une chaîne d’infection remaniée. 📦 Vecteur initial L’archive initiale spisokszch.zip (SHA-256 : c74bb6fb848cdb87c2b4261da1efc078023cdf95aa7b1436c52c26f3a11025af) contient : Quatre fichiers LNK déguisés en images JPG et un fichier Excel Un fichier README.txt rédigé en ukrainien demandant à la victime d’extraire les fichiers sur le bureau avant de les ouvrir Le contenu leurre est un tableau militaire ukrainien de cas d’AWOL/désertion (39 soldats avec noms, grades, dates d’absence, numéros de dossiers), ciblant explicitement une audience militaro-administrative ukrainienne. ...

📰 Source : Cyber Press — Date : 26 juin 2026 🎯 Contexte Le groupe de menace UAC-0226 a mis à jour ses tactiques pour cibler des entités ukrainiennes, notamment dans le domaine militaire, en déployant le stealer GIFTEDCROOK via une nouvelle chaîne d’infection exploitant une faille dans WinRAR. 🔓 Vecteur d’infection Les attaquants exploitent une vulnérabilité de path traversal via Alternate Data Streams (ADS) dans WinRAR. Lors de la simple extraction d’une archive, le payload est déposé automatiquement sans interaction supplémentaire de la victime. Un leurre PDF thématisé autour des drones de reconnaissance à fibre optique ukrainiens est utilisé pour cibler un public militaire. ...

🔍 Contexte Publié le 1er juin 2026 par l’équipe Threat Detection & Research (TDR) de Sekoia.io, cet article constitue le premier volet d’une série de trois rapports sur la chaîne d’infection du groupe Gamaredon (alias ACTINUM, Armageddon, UAC-0010, BlueAlpha), un acteur étatique russe officiellement rattaché au FSB. L’investigation a débuté en décembre 2025 via une règle YARA opportuniste, complétée par plus de 70 artefacts fournis par un partenaire de confiance. ...

🔍 Contexte WithSecure Labs publie le 28 mai 2026 une analyse approfondie d’un groupe de menace nouvellement tracké sous le nom GREYVIBE, actif depuis au moins août 2025 et ciblant principalement l’Ukraine et les entités liées à l’Ukraine dans le contexte du conflit russo-ukrainien. 🎯 Victimologie et ciblage Le groupe cible une population diverse : Entités militaires ukrainiennes (dont des combattants à Kharkiv) Entités gouvernementales (Conseil municipal de Kyiv, Service d’État des communications spéciales) Entités civiles et commerciales Secteur énergie (entreprise énergétique ukrainienne) 📦 Vecteurs d’attaque et campagnes PhantomMail : Spear-phishing par e-mail depuis août 2025, avec archives ZIP/RAR hébergées sur Google Drive et 4sync, contenant des loaders PyInstaller ou JavaScript lançant la chaîne d’infection PhantomRelay. ...

🗓️ Contexte Source : BleepingComputer, publié le 15 avril 2026. Le CERT-UA a publié un rapport détaillant une campagne d’attaques ciblant des gouvernements locaux, des hôpitaux et potentiellement des représentants des Forces de Défense ukrainiennes. La campagne est attribuée au cluster de menace UAC-0247. 🎯 Vecteur d’infection et chaîne d’attaque L’attaque débute par un email de phishing se faisant passer pour une offre d’aide humanitaire, contenant un lien malveillant. Ce lien redirige vers : ...

🗂️ Contexte Source : Bureau du Procureur général d’Ukraine (gp.gov.ua), publication du 27 avril 2026. L’opération a été conduite par les procureurs de la région de Lviv, la cyber-police et le Service de sécurité d’Ukraine (SBU). 👥 Acteurs impliqués Un groupe de trois individus a été démantelé dans la région de Lviv : Un résident de Drohobych âgé de 19 ans, organisateur du schéma Deux complices âgés de 21 et 22 ans La période d’activité documentée s’étend d’octobre 2025 à janvier 2026. ...