Akira

📋 Source et contexte L’Office fédéral de la cybersécurité (OFCS) suisse a publié le 24 août 2026 son rapport semestriel couvrant la période janvier–juin 2026. Ce rapport s’appuie sur 27 128 signalements volontaires et 200 annonces obligatoires (en vigueur depuis le 1er avril 2025 pour les exploitants d’infrastructures critiques). 🎯 Panorama des cybermenaces en Suisse Les secteurs les plus touchés par les signalements obligatoires sont le secteur public (19,4 %) et l’informatique/télécommunications (18,6 %). Les types d’incidents les plus fréquents : ...

🗓️ Contexte Rapport publié le 13 août 2026 par Cryptika (source originale : CyberSecurityNews.com), basé sur une analyse d’incident réalisée par Huntress. Il s’agit du premier cas documenté par Huntress d’une intrusion Akira ransomware utilisant le mode sans échec Windows pour neutraliser les outils de détection endpoint. 🔓 Vecteur d’accès initial L’intrusion a débuté par une attaque de credential spraying contre un SonicWall SSL VPN exposé sans authentification multifacteur (MFA). Un compte valide a permis l’accès initial, suivi d’une connexion via Remote Desktop Protocol (RDP) au contrôleur de domaine. ...

📊 Source et contexte : Ce rapport est publié par Cyble Research and Intelligence Labs (CRIL), couvrant la période janvier–juin 2026. Il s’agit d’une rétrospective mondiale structurée par région (Amériques, Europe/UK, Asie-Pacifique, Moyen-Orient/Afrique, Australie/Nouvelle-Zélande). 🔢 Chiffres clés mondiaux 3 836 attaques ransomware (moyenne >630/mois) 367 incidents de fuite/violation de données 129 ventes d’accès initiaux 32 400+ domaines impactés par l’hacktivisme ~9 825 posts de fuite liés à des canaux hacktivistes 146 CVE analysées, dont ~90% critiques ou élevées 🦠 Groupes ransomware dominants ...

📊 Contexte : GuidePoint Security publie son rapport trimestriel GRIT Q2 2026 (avril–juin 2026), couvrant l’ensemble de l’écosystème ransomware et des menaces cyber sur la période. Il s’appuie sur des données publiques issues des sites de fuite des groupes criminels. 🔢 Chiffres clés du trimestre : 2 279 victimes déclarées publiquement, soit +7% par rapport au Q1 2026 et +43% en glissement annuel 91 groupes distincts actifs, record absolu observé par GRIT 108 pays ciblés (contre 97 au Q1 2026) Les États-Unis représentent 32% des victimes, en baisse historique par rapport aux ~50% habituels 🏆 Groupes les plus actifs : ...

🔍 Contexte Rapport d’incident publié le 29 juin 2026 par The DFIR Report, basé sur deux intrusions survenues en juillet 2025, dont une analysée en partenariat avec Swisscom B2B CSIRT. L’analyse couvre l’intégralité de la chaîne d’attaque, de l’accès initial au déploiement du ransomware. 🎯 Accès initial L’intrusion débute par une attaque de SEO poisoning sur Bing, ciblant des utilisateurs recherchant ManageEngine OpManager. Les victimes sont redirigées vers le domaine opmanager[.]pro, un clone du site légitime, puis vers download-center[.]online pour télécharger un installateur MSI trojanisé. Ce MSI dépose trois fichiers dans %TEMP%\ApplicationInstallationFolder_11 : ...

🔍 Contexte Analyse publiée le 23 juin 2026 par Manuel Humberto Santander Peláez (SANS Internet Storm Center), portant sur deux années d’exploitation active de CVE-2024-40766, une vulnérabilité d’accès non autorisé (CVSS 9.3) dans SonicOS affectant les pare-feux Gen 5, Gen 6 et Gen 7 de SonicWall. 🎯 Vulnérabilités concernées CVE-2024-40766 : Improper access control dans SonicOS, affectant l’interface de gestion et le service SSLVPN. Advisory SNWLID-2024-0015 publié en août 2024. CVE-2024-12802 : Bypass d’authentification MFA sur SSLVPN SonicWall, exploité in-the-wild dès février-mars 2026. Sur Gen 6, le patch firmware seul ne remédie pas la faille — 6 étapes manuelles de reconfiguration LDAP sont requises. Les Gen 6 ont atteint leur end-of-life le 16 avril 2026, sans plus aucun patch de sécurité disponible. 👥 Acteurs de la menace Akira ransomware : exploitation documentée depuis septembre 2024, représentant 75% des intrusions. Dwell time documenté sous 4 heures, certains cas en 55 minutes. Fog ransomware : exploitation parallèle, représentant ~25% des intrusions sur la même période. En octobre 2025, Huntress a documenté plus de 100 comptes SSLVPN compromis dans 16 environnements clients en une seule vague, via des credentials valides (pas de brute-force). 🔓 Vecteurs d’exploitation post-patch Comptes locaux obsolètes : 12/14 pare-feux audités avaient des comptes SSLVPN sans équivalent Active Directory, dont certains avec des caractères non imprimables (indicateur de création automatisée par tooling d’exploitation). Absence de rotation des mots de passe : 11/14 pare-feux n’avaient pas changé les credentials locaux après la mise à jour firmware. LDAP Default User Group mal configuré : 9/14 pare-feux accordaient implicitement l’accès SSLVPN à tous les comptes AD authentifiés via LDAP. Dans un cas, ce groupe donnait aussi l’accès administrateur à l’interface de gestion. Virtual Office Portal exposé : 7/14 pare-feux avaient le portail d’enrollment MFA/TOTP accessible depuis Internet, permettant à un attaquant d’enrôler son propre dispositif TOTP avec des credentials valides. Breach MySonicWall (septembre 2025) : SonicWall a confirmé une compromission de sa plateforme cloud avec accès aux fichiers de sauvegarde de configuration contenant des credentials chiffrés — initialement annoncé comme <5% des clients, puis confirmé comme affectant la totalité des backups. 📊 Indicateurs de sessions suspectes Sessions depuis des ASN d’hébergeurs/VPS durant les heures creuses, durées de 40 à 60 heures Sessions sur des comptes locaux désactivés dans AD depuis plus d’un an, restant actives après le patch Type de session sess="CLI" dans les logs d’authentification SonicWall : indicateur d’outillage automatisé (documenté par ReliaQuest en mai 2026) Transition sess="CLI" → sess="GMS" : signal fort d’une activité hands-on-keyboard après credential testing automatisé 🧩 Type d’article Analyse technique post-mortem combinant retour d’audit terrain (14 pare-feux), chronologie d’exploitation sur deux ans, et extraction de règles de détection. But principal : documenter l’écart entre un pare-feu « patché » et un pare-feu réellement durci. ...

🗞️ Contexte Source : Blick.ch (ATS – Agence télégraphique suisse), publié le 21 juin 2026. L’article rapporte les suites institutionnelles et politiques d’une cyberattaque par ransomware ayant ciblé la filiale américaine de Ruag, entreprise d’armement appartenant à la Confédération suisse. 🎯 Incident Le groupe cybercriminel Akira a attaqué les systèmes informatiques de Ruag LLC, filiale basée en Virginie (États-Unis), à l’automne 2025. L’attaque a impliqué une double extorsion : vol de données, chiffrement, puis menace de publication sur le dark web en échange d’une rançon. ...

📉 150 revendications cette semaine (-17, -10.2% par rapport à S22) Période : 01.06.2026 au 07.06.2026 Analyse Ransomware — Semaine 23 (01.06.2026 – 07.06.2026) Source : eCrime.ch — Données agrégées, aucune victime individuelle n’est identifiée. Vue d’ensemble La semaine 23 enregistre 150 revendications d’attaques par rançongiciel, soit une baisse de 17 revendications par rapport à la semaine précédente (167 revendications en S22), représentant un recul de 10,2 %. Cette diminution s’inscrit dans un contexte où le volume global reste néanmoins élevé, avec une moyenne supérieure à 20 revendications par jour. ...

🗓️ Contexte Source : Blick.ch (ATS), publié le 6 juin 2026. L’article rapporte la confirmation publique par le président du conseil d’administration de Ruag, Jürg Rötheli, du paiement d’une rançon à la suite d’une cyberattaque survenue en automne 2025. 🎯 Victime et périmètre de l’attaque Victime principale : Ruag LLC, filiale américaine de Ruag (entreprise d’armement appartenant à la Confédération suisse), basée en Virginie (USA) La filiale emploie 8 personnes et sert de bureau de liaison avec des partenaires américains (pièces de rechange pour avions de combat, maintenance) Les systèmes informatiques de la filiale sont autonomes, ce qui a limité l’impact sur le reste du groupe 🦠 Acteur de la menace et mode opératoire Le groupe Akira, apparu en mars 2023, est responsable de l’attaque. Il pratique la double extorsion : ...

📉 167 revendications cette semaine (-4, -2.3% par rapport à S21) Période : 25.05.2026 au 31.05.2026 Analyse Ransomware — Semaine 22 / 2026 (25 au 31 mai 2026) Source : eCrime.ch — Données basées sur les revendications publiques observées Vue d’ensemble La semaine 22 enregistre 167 revendications de compromissions par rançongiciel, soit une légère baisse de 2,3 % par rapport à la semaine précédente (171 revendications, soit −4 en valeur absolue). Le volume global reste stable, sans rupture notable de tendance à ce stade. ...