APT41

🔍 Contexte Publié le 30 avril 2026 par Trend Micro (Daniel Lunghi, Lucas Silva), cet article présente une analyse technique approfondie d’une campagne de cyberespionnage désignée SHADOW-EARTH-053, active depuis au moins décembre 2024 et alignée avec les intérêts stratégiques de la Chine. 🎯 Ciblage Le groupe a ciblé des entités gouvernementales et des infrastructures critiques dans au moins huit pays d’Asie du Sud, de l’Est et du Sud-Est, ainsi qu’un État membre de l’OTAN en Europe. Dans près de la moitié des environnements compromis, des chevauchements significatifs ont été observés avec un second cluster, SHADOW-EARTH-054, partageant des hachages d’outils identiques et des TTPs similaires. ...

🌐 Contexte Source : The Register (exclusivité), publié le 30 avril 2026. Rapport d’investigation de TrendAI partagé en exclusivité. L’activité malveillante a débuté en décembre 2024 et des traces ont été détectées aussi récemment qu’avril 2026. 🎯 Acteurs de la menace Deux nouveaux groupes liés à la Chine ont été identifiés : Shadow-Earth-053 : groupe principal, ciblant gouvernements, contractants de défense, entreprises technologiques et secteur des transports. Shadow-Earth-054 : groupe connexe, partageant les mêmes vulnérabilités exploitées, hashes d’outils identiques et techniques similaires. Présente des chevauchements réseau avec CL-STA-0049 (Unit 42 / Palo Alto Networks), REF7707 (Elastic Security Labs) et Earth Alux. Tom Kellermann (TrendAI) compare ces groupes à Salt Typhoon et Volt Typhoon, les qualifiant de « jeunes frères et sœurs des campagnes Typhoon ». ...

Source: Malware Analysis Space (blog de Seeker/李标明). Contexte: notes de recherche publiées le 28 janvier 2026, centrées sur une revisite technique de MoonBounce et ses mécanismes d’inline hooking au cœur du DXE Core, en s’appuyant sur les rapports de Kaspersky et Binarly. L’auteur rappelle que MoonBounce est un implant firmware UEFI associé à APT41 (Winnti) et se concentre sur le binaire CORE_DXE (DXE Core/Foundation). L’étude met en évidence que l’implant ne se contente pas d’un driver séparé mais patch le code exécutable du DXE Core, installant des hooks inline très précoces qui s’exécutent « sous » l’ensemble des drivers DXE. ...

Selon CloudSEK, une escalade massive de menaces cible les infrastructures critiques indiennes, alimentée par des tensions géopolitiques consécutives à l’attentat de Pahalgam. L’analyse met en lumière la convergence d’actions hacktivistes idéologiques et d’opérations étatiques sophistiquées. Volume et cibles : plus de 4 000 incidents documentés visant les secteurs gouvernemental, financier et de la défense. Les vecteurs dominants incluent phishing, vol d’identifiants et faux domaines imitant des services publics. Acteurs et outils : APT36 déploie le malware personnalisé CapraRAT ; APT41 mène des intrusions de chaîne d’approvisionnement et exploite des zero-days ; SideCopy utilise des RAT multiplateformes pour maintenir un accès persistant. ...

L’article publié par Kaspersky met en lumière une attaque ciblée menée par le groupe APT41 contre des services informatiques gouvernementaux en Afrique. APT41, un groupe de cybercriminels connu pour ses attaques sophistiquées, a récemment ciblé les infrastructures informatiques de plusieurs gouvernements africains. L’attaque a été détectée et analysée par les experts en cybersécurité de Kaspersky, qui ont identifié des signes clairs d’une opération bien orchestrée. Les services IT gouvernementaux ont été spécifiquement visés, ce qui souligne l’importance pour ces entités de renforcer leurs mesures de sécurité. Les détails techniques de l’attaque, y compris les méthodes utilisées par APT41, ont été examinés pour mieux comprendre l’ampleur et l’impact potentiel de cette cyberattaque. ...