APT28

🌐 Contexte Source : Symantec Threat Hunter Team / security.com, publié le 27 octobre 2026. L’article documente une campagne d’espionnage attribuée au groupe russe APT28 (alias Swallowtail, Fancy Bear, Forest Blizzard), unité du renseignement militaire russe (GRU), ciblant des organisations dans deux États membres de l’OTAN. 🎯 Ciblage Trois organisations ont été identifiées comme victimes : Un constructeur naval militaire Un fabricant de moteurs d’avions militaires Une agence de police Le dénominateur commun est leur pertinence pour la sécurité nationale et la politique de défense. ...

🕵️ Contexte Rapport publié le 21 octobre 2026 par Cryptika (source originale : CyberSecurityNews.com), basé sur une analyse de la Threat Hunter Team de Symantec. L’article documente une campagne d’espionnage cyber attribuée à APT28 (alias Fancy Bear, Forest Blizzard, Swallowtail selon Symantec) ciblant des organisations de défense dans deux pays membres de l’OTAN non nommés. 🎯 Cibles identifiées Un chantier naval militaire dans un premier pays OTAN Une agence de forces de l’ordre dans un second pays OTAN Un fabricant de moteurs d’avions militaires dans ce même second pays OTAN 🔓 Vecteur d’accès initial L’intrusion au sein du chantier naval a débuté le 24 juillet 2026 par l’ouverture d’un document Word malveillant depuis le cache de pièces jointes Outlook. Une macro cachée a écrit plusieurs fichiers dans le profil utilisateur et déclenché la chaîne d’infection. ...

🗓️ Contexte Cet article de CyberScoop, publié le 20 octobre 2026 et rédigé par Tim Starks, s’appuie sur un billet de blog de l’équipe Symantec Threat Hunter Team révélant une campagne d’espionnage attribuée au groupe APT28. 🎯 Cibles et nature de l’opération Le groupe APT28 (également connu sous les noms Swallowtail, Fancy Bear et Forest Blizzard), affilié au renseignement militaire russe (GRU), a compromis trois organisations situées dans des pays membres de l’OTAN : ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

📰 Source : Security Affairs (Pierluigi Paganini), publié le 3 septembre 2026. L’article s’appuie sur un rapport de DomainTools et une investigation menée par un consortium international de médias (The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare, FRONTSTORY.PL). 🏫 Contexte : Plus de 2 000 documents internes de l’Université Technique d’État de Moscou Bauman (MSTU Bauman) ont été analysés. Ces fichiers couvrent des dossiers académiques et administratifs jusqu’en 2025. Un utilisateur DarkForums connu sous le pseudonyme “Losyash” est suspecté d’avoir partagé les données, sans confirmation définitive. ...

🔍 Contexte Publié le 26 août 2026 par DomainTools Investigations (DTI), ce rapport analyse une fuite de données concernant le Département No. 4 (Кафедра № 4) du Centre de Formation Militaire de l’Université Technique d’État Bauman de Moscou. Les documents ont été examinés par un consortium international incluant The Insider, The Guardian, Le Monde, Der Spiegel, Delfi et VSquare. DTI a analysé séparément les 1 600 fichiers (1,8 Go) distribués via le forum darknet DarkForums RU par un compte nommé ‘Losyash’, créé le 25 juin 2026. ...

🔍 Contexte Ce rapport d’analyse de menace a été publié le 27 août 2026 par l’Insikt Group de Recorded Future (source : assets.recordedfuture.com). Il documente une série de campagnes d’accès initial conduites par BlueDelta (APT28, Fancy Bear, Forest Blizzard), groupe étatique russe attribué à la Direction principale du renseignement des forces armées russes (GRU), entre fin septembre 2025 et début avril 2026. 🎯 Ciblage Les campagnes ont visé des organisations gouvernementales, diplomatiques et de défense dans trois pays européens : ...

🔍 Contexte Le 27 août 2026, Censys ARC publie une analyse technique basée sur la découverte, le 30 juillet 2026, d’un répertoire web ouvert sur l’hôte 86.53.111.212:8080. Cette exposition involontaire a permis de collecter le code source du botnet Moobot, des outils DDoS actifs, et un service frauduleux d’identité chinois. 🦠 Moobot : code source exposé et activité confirmée Moobot est un variant de Mirai, découvert en 2019 par Netlab 360. Il cible des équipements IoT à faible sécurité, se connecte à un serveur C2 et exécute des attaques DDoS. Deux signatures distinctives confirment l’authenticité du code : ...

🔍 Contexte Rapport publié le 23 juillet 2026 par l’équipe ReliaQuest Threat Research. Il documente une campagne active depuis au moins juin 2026, ciblant des passerelles Wi-Fi captives dans des hôtels et centres de conférence aux États-Unis, en Inde et en Arabie Saoudite. 🎯 Nature de l’attaque Les attaquants compromettent des appliances de portail captif (passerelles Wi-Fi hôtelières) en exploitant des interfaces d’administration exposées (SSH, SNMP, consoles web) combinées à des credentials administratifs faibles ou réutilisés. Une fois l’accès administratif obtenu, ils configurent un DNS poisoning pour rediriger l’ensemble du trafic DNS des clients connectés vers une infrastructure contrôlée par l’attaquant. ...

📅 Source et contexte : Publié le 18 juillet 2026 sur GitHub (An0nUD4Y/Offensive-COM), ce dépôt constitue une base de connaissances technique générée par IA (Kimi K3 Swarms) sur la sécurité offensive de Windows COM (Component Object Model), destinée aux red teamers et chercheurs en sécurité. 📚 Contenu et structure : Le dépôt est organisé en 8 chapitres thématiques couvrant l’ensemble de la surface d’attaque COM : Fondamentaux COM : vtables, IUnknown/IDispatch, GUIDs, registre HKCR, activation, marshaling, appartements Mouvement latéral DCOM : MMC20.Application, ShellWindows, ShellBrowserWindow, Excel (DDE/RegisterXLL), Outlook + DotNetToJScript, mobsync Élévation de privilèges : famille Potato complète (RottenPotato → GodPotato/DCOMPotato), DiagHub, USO, CVE-2015-2370, Trapped COM objects (2025) Contournement UAC : fodhelper, eventvwr, sdclt, CMSTPLUA/ICMLuaUtil, IFileOperation, CVE-2019-1388, UACME Persistance : hijacking HKCU, TreatAs/TypeLib (Turla, APT28, ComRAT), Black Basta (2025), pass-through proxy DLLs Exécution et évasion : Squiblydoo, DotNetToJScript + AMSI, PPL injection, RemotePotato0, RemoteMonologue Detection Engineering : Sysmon/ETW, matrice de couverture par famille d’attaque Recherche zero-day : pipeline complet d’énumération, triage, RE statique, fuzzing NDR, weaponization, reporting MSRC/ZDI 🔧 Outils et frameworks référencés : impacket dcomexec, SharpMove, Cobalt Strike, OleViewDotNet, incendium.rocks. ...