APT

📋 Contexte : Le CERT-EU, service de cybersécurité des institutions, organes et agences de l’Union européenne, publie le 8 avril 2026 son rapport annuel sur le paysage des menaces cyber pour l’année 2025 (TLP:CLEAR). Ce rapport s’appuie sur l’analyse des activités malveillantes d’intérêt (MAI) collectées tout au long de 2025, avec une expansion significative de l’usage de l’automatisation et de l’IA dans les processus de surveillance. 🎯 Acteurs et origines : En 2025, 174 acteurs malveillants distincts ont été identifiés (contre 110 en 2024). Les activités liées à la Chine représentent 37% des MAI attribuées, suivies par la Russie (32%), la Corée du Nord (11%) et l’Iran (7%). Les acteurs liés à la Chine ont principalement exploité des vulnérabilités et des compromissions de chaîne d’approvisionnement. Les acteurs liés à la Russie ont ciblé prioritairement les entités soutenant l’Ukraine. ...

📋 Contexte : Rapport semestriel publié le 30 mars 2026 par l’Office fédéral de la cybersécurité (OFCS) suisse, couvrant la période juillet–décembre 2025. Premier rapport intégrant à la fois les déclarations volontaires et les 145 déclarations obligatoires issues de la nouvelle loi en vigueur depuis le 1er avril 2025 pour les infrastructures critiques. 📊 Statistiques clés : 29 006 déclarations volontaires reçues au S2 2025 52 % des annonces concernent la fraude 57 incidents ransomware signalés directement (79 au total toutes sources confondues) 73 cas de Business Email Compromise (BEC) au S2 2025 Secteurs les plus touchés par les déclarations obligatoires : secteur public (25 %), IT/télécoms (18 %), finance/assurances (15,7 %) 🦠 Ransomware – menace dominante : ...

Source et contexte — International Security (MIT Press/Harvard), mars 2026: Lennart Maschmeyer analyse pourquoi l’IA, malgré les prédictions d’une révolution offensive, renforce surtout la défense en cybersécurité. En s’appuyant sur des données expérimentales et des observations in-the-wild, l’auteur avance la thèse d’un « écart d’automatisation »: l’IA excelle en détection (🛡️🔍) mais peine en tromperie créative requise par l’offensive (⚔️🤖), ce qui abaisse l’efficacité des attaques automatisées. Thèse centrale: en cyberconflit, l’offense repose sur la créativité et la déception (se cacher, manipuler sans être détecté), alors que la défense vise la détection rapide et précise. Les modèles d’IA (ML, deep learning, LLMs) sont taillés pour la reconnaissance de motifs et la classification (défense), mais échouent sur la création originale et la duperie contextuelle (offense). L’indicateur de Mandiant (Google Cloud) montre une baisse du dwell time médian de 205 jours (2014) à 11 jours (2024), sans renversement malgré les progrès récents de l’IA, ce qui n’accrédite pas une supériorité offensive automatisée. ...

Source et contexte — Sicurezza Nazionale (Relazione annuale 2026 de l’intelligence italienne). Document de référence sur la politique d’information pour la sécurité, il couvre l’année 2025 et propose des scénarios prospectifs. • Menace principale et cibles Espionnage APT de matrice étatique: activité « constante » de groupes hautement spécialisés, recevant orientations et soutien financier d’appareils gouvernementaux étrangers, focalisés sur secteurs stratégiques (notamment aérospatial, infrastructures digitales/ICT) et sur les ministères/administrations centrales. Intérêt accru pour le secteur public, y compris structures sanitaires (vol de identités/identifiants sur postes du personnel, revente sur deep/dark web et réutilisation pour d’autres intrusions). Dans le privé, repli relatif des offensives mais pression persistante sur IT/Télécoms, énergie et banques; exposition particulière des PME prises de manière opportuniste pour étendre l’« anonymisation » des attaquants. • Techniques, infrastructures et impacts ...

Selon VMRay Cybersecurity Blog (TLP: Green), une nouvelle étude détaille les opérations post‑exploitation de l’APT Hydra Saiga (a.k.a. Yorotrooper/ShadowSilk/Silent Lynx), active depuis au moins 2021, avec ciblage d’infrastructures critiques et usage systématique de Telegram comme C2. L’étude met en avant une activité soutenue jusqu’à fin 2025, une victimologie étendue (gouvernements, énergie, eau, santé, juridique, industrie, éducation, aviation) et une empreinte géopolitique cohérente avec une attribution au Kazakhstan (rythme UTC+5 et pauses lors des fêtes nationales). Le groupe a compromis au moins 34 organisations dans 8 pays, avec plus de 200 cibles en reconnaissance. Un marqueur distinctif est l’usage du Telegram Bot API pour piloter des implants. ...

Source et contexte: Google Threat Intelligence Group (GTIG) publie une mise à jour (T4 2025) sur la mauvaise utilisation des IA par des acteurs malveillants. Le rapport observe une hausse des attaques d’extraction de modèles (distillation/model stealing) visant la logique propriétaire, une intégration accrue des LLMs dans la reconnaissance et le phishing, et des expérimentations de malwares intégrant l’IA. Google indique avoir détecté, perturbé et atténué ces activités, sans constater de percée « rupture » par des APT sur des modèles de pointe. ...

Selon Security Affairs, s’appuyant sur un rapport du National Security Bureau (NSB) de Taïwan, les cyberattaques liées à la Chine ont fortement augmenté en 2025 et ciblé les infrastructures critiques de l’île, avec un accent marqué sur le secteur de l’énergie et les hôpitaux. Le NSB fait état d’une moyenne de 2,63 millions de tentatives d’intrusion par jour en 2025 contre neuf secteurs critiques, pour une hausse annuelle de 6 % des incidents. Les attaques contre le secteur énergie ont décuplé, et les pics ont coïncidé avec des événements politiques et militaires, notamment en mai 2025 (premier anniversaire de l’investiture du président Lai) et lors des patrouilles de préparation au combat de l’Armée populaire de libération. ...

Kaspersky publie un rapport (19 déc. 2025) sur l’APT Cloud Atlas, ciblant l’Europe de l’Est et l’Asie centrale, et décrit en détail la chaîne d’infection et des implants (dont certains inédits) observés au 1er semestre 2025. Point d’entrée: phishing avec document Office (DOC/X) chargeant un modèle RTF malveillant exploitant CVE‑2018‑0802 (Equation Editor) pour télécharger/exécuter un HTA. Les modèles/HTA sont hébergés sur des serveurs de l’acteur, avec téléchargements restreints dans le temps et par IP. ...

Selon Malanta (équipe de recherche), dans une publication datée du 3 décembre 2025, une opération de type APT indonésienne, active depuis au moins 2011, alimente un écosystème cybercriminel géant mêlant jeux d’argent illégaux, détournement d’infrastructures Web, distribution d’APK Android malveillants et techniques furtives de proxy TLS sur des sous-domaines gouvernementaux. L’étude met en évidence une infrastructure massive et persistante: 328 039 domaines au total, dont 236 433 dédiés aux sites de jeux, 90 125 domaines compromis et 1 481 sous‑domaines détournés. L’acteur exploite le SEO, des domaines lookalikes (480 identifiés), et une automatisation avec génération de contenus (IA) pour la pérennité et l’échelle. Plus de 51 000 identifiants volés liés à cet écosystème ont été retrouvés sur des forums du dark web. ...

Selon RSF_fr, avec l’appui technique de l’entreprise de cybersécurité Sekoia, l’ONG a été la cible d’une tentative d’hameçonnage en mars 2025 attribuée au groupe Callisto, réputé proche des services de renseignement russes. • Nature de l’attaque: tentative de phishing ciblé (spearphishing) via un courriel usurpant l’identité d’un contact de confiance, utilisant le prétexte d’une pièce jointe “manquante” pour inciter à la réponse et crédibiliser l’échange avant l’envoi d’un document piégé ou d’un lien malveillant. L’opération a échoué après qu’une anomalie (réponse en anglais à un premier message en français) a éveillé les soupçons et été signalée à l’équipe sécurité. 🛡️ ...