Posts

Contexte: Dans un article d’actualité, des chercheurs décrivent le mode opératoire du groupe DeadLock, actif depuis juillet 2025, et sa manière de rester discret tout en multipliant les attaques. — Profil et discrétion — Le groupe DeadLock, repéré pour la première fois en juillet 2025, a attaqué un large éventail d’organisations tout en restant presque sous les radars. — Tactique d’extorsion — DeadLock rompt avec la double extorsion traditionnelle (vol de données, chiffrement des systèmes, puis menace de publication). Le groupe n’exploite pas de Data Leak Site (DLS) pour publiciser ses attaques. En l’absence d’un levier de dommage réputationnel en cas de non-paiement, il menace de vendre les données sur le marché souterrain — une stratégie que des experts ont déjà qualifiée de potentiellement « du vent ». ...

Source: S2W — S2W TALON (Byeongyeol An) publie le 14 janvier 2026 une analyse approfondie de DragonForce, un ransomware actif depuis fin 2023, détaillant son fonctionnement, ses liens avec d’autres groupes, ses TTPs et la découverte de déchiffreurs dédiés. — Contexte et évolution — • Découvert le 13 décembre 2023 via un post sur BreachForums, le groupe « DragonForce » maintient un DLS (Data Leak Site) et comptait déjà 17 victimes à cette date. En juin 2024, il officialise son modèle RaaS sur le forum RAMP (affiliés IAB, pentesters solo/équipes), promettant 80% des rançons aux affiliés et revendiquant une organisation de type « cartel ». Le groupe propose un service « Ransombay » pour des charges utiles personnalisées. ...

Contexte: New Lines publie une enquête géopolitique et cyber décrivant l’Estonie comme la première ligne d’une nouvelle guerre froide, mêlant provocations militaires, sabotages et offensives numériques russes, avec des témoignages de responsables estoniens, de l’OTAN et une mention d’entretiens par FP Analytics. Depuis l’attaque parrainée par la Russie en 2007 liée au retrait de statues soviétiques, l’Estonie est devenue un terrain d’expérimentation de la guerre hybride et de la cyberguerre. L’OTAN a créé à Tallinn le Cooperative Cyber Defense Center of Excellence (CCDCOE). Les responsables estoniens décrivent une intensification des offensives russes visant à affaiblir la cohésion de l’OTAN et de l’UE et à rendre la défense de l’Estonie trop coûteuse. ...

Source: Malwarebytes — Analyse d’une campagne d’usurpation de site distribuant un installateur RustDesk modifié qui déploie le backdoor Winos4.0. Les chercheurs décrivent une imitation quasi parfaite du site officiel de RustDesk via le domaine malveillant rustdesk[.]work, conçu pour tromper les utilisateurs (SEO/branding) et leur faire télécharger un installateur qui paraît légitime. L’installateur installe le vrai RustDesk afin de conserver l’illusion, mais déploie simultanément un backdoor Winos4.0 offrant un accès persistant aux attaquants. 🎭 ...

Selon SecurityWeek (13 janvier 2026), une intrusion chez le cabinet d’avocats Fried, Frank, Harris, Shriver & Jacobson LLP a entraîné une fuite de données affectant des investisseurs de fonds privés de grandes banques américaines. JPMorgan Chase a déposé une notification auprès du bureau du Procureur général du Maine, indiquant que des fichiers ont été copiés par une tierce partie non autorisée depuis un partage réseau de Fried Frank. Les données compromises concernent des investisseurs d’un fonds de private equity de JPMorgan et incluent des noms, coordonnées, numéros de compte, numéros de SSN, ainsi que des numéros de passeport ou d’autres pièces d’identité gouvernementales. Au total, 659 personnes sont affectées, et la banque précise que ses propres systèmes n’ont pas été compromis. ...

Selon un article de presse, les autorités allemandes ont identifié le Russe Oleg Evgenievich Nefekov comme le leader présumé de l’opération de ransomware Black Basta et ont lancé un appel à informations, entraînant son ajout à la liste des criminels les plus recherchés de l’UE. 🚔 Les policiers allemands ont inscrit Oleg Nefekov (35 ans) sur leur liste des criminels les plus recherchés pour son rôle présumé dans l’opération Black Basta. Son nom et sa photo figurent désormais aussi sur la liste des « most wanted » de l’UE, à la suite d’un appel public à informations lancé jeudi par les autorités allemandes. ...

Selon digital-strategy.ec.europa.eu (DIGIBYTE), la Commission européenne a lancé un appel à contributions sur la future Stratégie européenne des écosystèmes numériques ouverts afin de soutenir la souveraineté technologique de l’UE. L’initiative place l’open source au cœur de l’ambition européenne. Elle prévoit une approche stratégique du secteur open source dans l’UE et la revue de la stratégie 2020-2023 des logiciels libres. Le texte souligne que l’open source sous-tend 70-90% du code de l’économie numérique, tandis que la dépendance aux technologies non-UE limite le choix, affecte la compétitivité et crée des défis pour la cybersécurité. Avec la montée en puissance de l’open source dans des secteurs clés (ex. HPC et edge computing), une stratégie dédiée est jugée critique. ...

Source: Microsoft Threat Intelligence — Microsoft détaille l’essor de RedVDS, un marché criminel de VDS/RDP Windows clonés, utilisé par de multiples acteurs financiers (Storm‑0259, Storm‑2227, Storm‑1575, Storm‑1747, etc.) pour des opérations de phishing, account takeover et BEC à l’échelle mondiale. En coopération avec des forces de l’ordre, la Digital Crimes Unit (DCU) a récemment facilité une perturbation de l’infrastructure RedVDS. Microsoft relie ces activités à environ 40 M$ de pertes signalées aux États‑Unis depuis mars 2025. ...

Source: TechCrunch (Lorenzo Franceschi-Bicchierai), 16 janvier 2026. Un nouveau document judiciaire détaille les intrusions de Nicholas Moore, 24 ans, qui a plaidé coupable après avoir piraté plusieurs systèmes gouvernementaux américains et publié des données de victimes sur Instagram. Selon le dépôt, Moore a accédé à l’U.S. Supreme Court (système électronique de dépôt de documents), au réseau d’AmeriCorps et aux systèmes du Department of Veterans Affairs en utilisant des identifiants volés d’utilisateurs autorisés. Il a ensuite exfiltré et divulgué des données personnelles. Pour la Cour suprême (victime « GS »), il a publié le nom et les « enregistrements de dépôts électroniques actuels et passés ». Pour AmeriCorps (victime « SM »), il a fanfaronné avoir accès aux serveurs et a publié des informations très sensibles: nom, date de naissance, email, adresse, téléphone, statut de citoyenneté, statut de vétéran, historique de service et les quatre derniers chiffres du SSN. Pour les Veterans Affairs (victime « HW »), il a partagé une capture d’écran d’un compte MyHealtheVet montrant des informations de santé identifiables et des médications prescrites. Il encourt une peine maximale d’un an de prison et 100 000 $ d’amende. ...

Selon Check Point Research, VoidLink est un framework malware « cloud-first » pour Linux, repéré en décembre 2025, en cours d’évolution rapide et attribué à des développeurs affiliés à la Chine (affiliation exacte incertaine). Les échantillons observés contiennent des artefacts de développement, une architecture modulaire ambitieuse et une documentation suggérant un usage commercial potentiel, sans preuve d’infections en conditions réelles à la date de publication. • Vue d’ensemble 🐧☁️: VoidLink est un implant écrit en Zig, pensé pour les environnements modernes (AWS, GCP, Azure, Alibaba, Tencent) et capable de détecter Docker/Kubernetes pour adapter son comportement. Il collecte des métadonnées cloud, profile le système/hyperviseur et cible aussi des éléments tels que les identifiants de dépôt Git, indiquant un intérêt possible pour les postes d’ingénieurs et la chaîne d’approvisionnement. Objectif principal: accès furtif et durable, surveillance et exfiltration de données. ...