APT

🎯 Contexte Source : BleepingComputer, publié le 19 juillet 2026. Kaspersky a documenté une campagne active baptisée HelloNet, ciblant des organisations russes via l’abus du mécanisme de mise à jour du logiciel ViPNet, suite de produits de sécurité réseau développée par InfoTeCS et certifiée pour usage gouvernemental en Russie. 🔍 Vecteur d’attaque Les attaquants ont placé un fichier malveillant (wtsapi32.dll, nommé HelloInjector) dans le répertoire local du système de mise à jour ViPNet. Ce fichier est chargé latéralement (DLL sideloading) au démarrage du système via le processus légitime itcsrvup64.exe. HelloInjector injecte ensuite dans svchost.exe pour obtenir des privilèges élevés et assurer la persistance au redémarrage. Kaspersky ne précise pas le vecteur d’accès initial ni ne confirme une compromission de l’infrastructure de mise à jour ViPNet elle-même. ...

🔍 Contexte Publié le 3 juillet 2026 par Kaspersky sur Securelist, cet article présente une analyse technique approfondie d’une campagne active attribuée avec un niveau de confiance moyen au groupe APT Armored Likho (également connu sous le nom Eagle Werewolf). La campagne cible principalement des agences gouvernementales et le secteur de l’énergie électrique en Russie, au Kazakhstan et au Brésil. 🎯 Vecteur d’infection initial Le groupe utilise des emails de spear-phishing avec des thèmes liés à des notices gouvernementales ou des programmes sociaux. Les archives malveillantes (ZIP/RAR) contiennent soit : ...

🔍 Contexte Publié le 7 juillet 2026 par Cisco Talos (chercheurs Jungsoo An, Asheer Malhotra, Vanja Svajcer, Brandon White), cet article présente les dernières découvertes sur UAT-7810, un acteur APT China-nexus initialement divulgué par SecurityScorecard en 2025, spécialisé dans la construction et la prolifération de réseaux Operational Relay Box (ORB). 🎯 Objectifs et attribution UAT-7810 est évalué avec haute confiance comme un acteur China-nexus, chargé d’établir des réseaux ORB exploitables par des acteurs secondaires tels que UAT-5918. Des chevauchements d’outillage ont été documentés entre UAT-5918 et UAT-7810, bien que Talos les considère comme deux entités distinctes. La configuration de JARLEASH contient des commentaires en chinois simplifié, renforçant l’attribution. ...

🔍 Contexte Publié le 17 juin 2026 par CloudSEK, ce rapport documente l’Opération Escaneo, une campagne d’intrusion coordonnée et multi-étapes découverte lors d’une analyse de routine d’infrastructure malveillante. Un serveur de staging exposé hébergé sur 62.171.185.97 a permis de cartographier l’ensemble des capacités offensives du groupe. 🎯 Attribution et ciblage La campagne est attribuée avec une confiance moyenne au groupe MexicanMafia aka PanchoVilla, un acteur connu pour des attaques antérieures contre des institutions mexicaines (2024). Les secteurs ciblés incluent : ...

🎯 Contexte Publié le 12 juin 2026 par CERT Polska, cet article documente une campagne de phishing active menée par le groupe UNC1151/Ghostwriter, l’un des groupes APT les plus actifs surveillés par l’équipe. La campagne cible les comptes Gmail de citoyens polonais depuis mars 2026, marquant une évolution par rapport aux campagnes précédentes qui visaient les fournisseurs de messagerie polonais (Onet, Wirtualna Polska, Interia). 👥 Victimes ciblées Le groupe cible un spectre très large de victimes : ...

🌐 Contexte Publié le 22 mai 2026 par Check Point Research, cet article documente les opérations du groupe de menace Nimbus Manticore (également suivi sous le nom UNC1549), affilié aux Gardiens de la Révolution iraniens (IRGC), durant la période de tensions militaires liées à l’Opération Epic Fury (campagne militaire américaine contre l’Iran lancée le 28 février 2026). 🎯 Acteur et ciblage Nimbus Manticore est un acteur sophistiqué ciblant principalement les secteurs défense, aviation et télécommunications. Lors de cette campagne, les cibles incluent des organisations dans les secteurs aviation et développement logiciel en États-Unis, Europe, Moyen-Orient (Arabie Saoudite, Israël, Émirats Arabes Unis) et Australie. ...

🌐 Contexte Publié le 14 mai 2026 sur le blog Krypt3ia, ce rapport de threat intelligence analyse l’évolution du paysage offensif autour de la prolifération des systèmes d’IA en entreprise entre 2025 et 2026. Il s’appuie sur des frameworks reconnus (MITRE ATT&CK, MITRE ATLAS, OWASP LLM Top 10) et des rapports publics de Google, Microsoft, OpenAI et Anthropic. 🎯 Évolution de la surface d’attaque Les systèmes d’IA (LLM, RAG, agents autonomes, copilotes développeurs) sont désormais intégrés dans les opérations critiques des entreprises. Ils constituent ce que le rapport nomme une “soft privileged infrastructure” : accès à des données sensibles, autorité déléguée, positionnement de confiance dans les workflows, sans les contrôles de sécurité équivalents à un opérateur humain privilégié. ...

🔍 Contexte Publié le 23 avril 2026 par ESET Research (WeLiveSecurity), cet article présente la découverte d’un groupe APT jusqu’alors inconnu, baptisé GopherWhisper, identifié pour la première fois en janvier 2025 lors de l’analyse d’un système appartenant à une entité gouvernementale en Mongolie. 🎯 Attribution et ciblage Le groupe est considéré comme aligné avec la Chine sur la base de plusieurs éléments : Les messages Slack et Discord ont été envoyés majoritairement entre 8h et 17h UTC+8 (heure standard de Chine) Les métadonnées Slack indiquent un fuseau horaire configuré en UTC+8 Le comportement d’une machine opérateur (VM VMware) correspond également à ce fuseau horaire Aucun chevauchement de code ou de TTPs avec un groupe connu n’a été identifié, justifiant la création d’une nouvelle attribution. ...

🔍 Contexte Publié le 22 avril 2026 par la Threat Hunter Team de Symantec et Carbon Black (Broadcom), cet article présente l’analyse technique d’un nouveau backdoor Linux attribué au groupe APT Harvester, actif depuis au moins 2021 et considéré comme soutenu par un État. 🎯 Campagne et ciblage Bien qu’aucune victime directe n’ait été observée, les soumissions initiales sur VirusTotal proviennent d’Inde et d’Afghanistan, régions historiquement ciblées par Harvester pour des opérations d’espionnage en Asie du Sud. Les documents leurres utilisés sont adaptés au contexte régional (références à Zomato, au pèlerinage Umrah, au ministère des Affaires étrangères indien). ...

🏛️ Contexte Ce document est un avis conjoint de cybersécurité (AA26-097A) publié le 7 avril 2026 par le FBI, la CISA, la NSA, l’EPA, le DOE et le CNMF. Il alerte sur une campagne active d’exploitation d’automates programmables industriels (PLC) par des acteurs APT affiliés à l’Iran, ciblant des infrastructures critiques américaines. 🎯 Acteurs et attribution Les agences attribuent cette activité à un groupe APT affilié à l’Iran, distinct mais similaire aux CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, APT Iran, Bauxite, Mr. Soul, Soldiers of Solomon, UNC5691), eux-mêmes affiliés à l’IRGC Cyber Electronic Command (CEC). L’escalade des attaques est probablement liée aux hostilités entre l’Iran, les États-Unis et Israël. ...