Chisel

🌐 Contexte ESET Research a publié le 31 octobre 2026 son rapport semestriel sur l’activité des groupes APT entre avril et septembre 2026. Ce rapport couvre les opérations de groupes alignés avec la Chine, l’Iran, la Corée du Nord, la Russie et la Biélorussie, basé sur la télémétrie propriétaire d’ESET. 🇨🇳 Groupes alignés Chine FamousSparrow maintient sa surveillance en Amérique du Sud SlippyNunchucks cible des individus sinophones au Sri Lanka via le détournement des mises à jour de QuickFox pour déployer le toolset DarkVigil (aka FDMTP) Un acteur non identifié cible un hôtel à Palau dans le cadre présumé d’efforts anti-fraude des autorités chinoises, via AdaptixC2 et un backdoor nommé FoetidBracket Flax Typhoon compromet une entreprise chimique taïwanaise via une application publique obsolète, en utilisant SoftEther VPN Ciblage de l’industrie des semi-conducteurs taïwanaise, avec chevauchement avec le groupe UNK_FistBump (Proofpoint) via une chaîne Cobalt Strike 🇮🇷 Groupes alignés Iran/Moyen-Orient FilthyFeline (sous-groupe d’OilRig) et MuddyWater reprennent leurs opérations après une période de silence liée aux restrictions internet iraniennes Ciblage principal : entités israéliennes dans de multiples secteurs, quelques entreprises américaines FilthyFeline reprend le ciblage d’un opérateur de données cellulaires en Ouzbékistan précédemment compromis par BladedFeline MuddyWater exploite un prestataire IT israélien pour envoyer des spearphishings avec ScreenConnect Arid Viper (affilié Hamas) réapparaît avec une nouvelle version de Arid Gopher ciblant le Ministère des Affaires étrangères de l’Autorité palestinienne BladedFeline déploie un nouveau backdoor nommé SharpShareIT TortoiseShell met à jour son IMAPLoader avec des techniques d’évasion supplémentaires 🇰🇵 Groupes alignés Corée du Nord Lazarus relance l’Opération DreamJob contre le secteur des drones/UAS, ciblant des entreprises de défense en Europe centrale via un SumatraPDF trojanisé et des plugins Notepad++ malveillants (MortPusLoader), déployant ScoringMathTea RAT et LightlessTeaR ScarCruft distribue une version trojanisée de Zangi Messenger contenant BirdCall (Android), et un installateur BlueStacks trojanisé menant à RokRAT ScarCruft déploie le ver BlankOverride (via supports amovibles, charge utile BLUELIGHT) contre des infrastructures portuaires en Afrique ScarCruft déploie CinderRelay, un backdoor Linux serveur utilisé comme nœud de réseau covert DeceptiveDevelopment remonte la chaîne d’approvisionnement logicielle : vol de credentials Git/SSH, injection de code malveillant dans des dépôts publics/privés (npm, PyPI, Go, Packagist), utilisation de NullReceiver (résolution C2 via blockchain Ethereum), déploiement d’OmniStealer et DEV#POPPER RAT 🇷🇺 Groupes alignés Russie Gamaredon enregistre une baisse significative d’activité depuis mi-mai 2026, mais continue sa collaboration avec Turla : déploiement de Rezzuar (VBScript de reconnaissance) via PteroPSDoor, et mise à jour de PteroBox (ajout des extensions .cdr et .kmz) PhantomCaptcha (UAC-0244) cible des municipalités et établissements de santé ukrainiens avec des chaînes malveillantes LNK/HTA/JavaScript, déployant AGINGFLY (RAT C# WebSocket), SILENTLOOP, CHROMELEVATOR, ZAPiXDESK, et distribue le spyware Android PrincessSpy via de faux sites imitant ab3.army Exploitation active de la vulnérabilité CVE-2025-8088 (path traversal WinRAR dans ClamAV) dans les serveurs MDaemon en Ukraine, déployant les backdoors HELLAGE et HELLTAG (Telegram-based) 🇧🇾 Groupes alignés Biélorussie FrostyNeighbor (UNC1151/PUSHCHA/Storm-0257/TA445) conduit la première cyberattaque destructrice documentée d’un acteur biélorusse en Europe : déploiement d’un wiper VBScript via Group Policy contre une entreprise manufacturière ukrainienne du secteur des transports, après utilisation de Chisel, UltraVNC et Cobalt Strike Convergence croissante des opérations biélorusses avec les priorités russes en Ukraine 🤖 Usage de l’IA par les APT Utilisation de LLMs pour accélérer le développement de malwares, créer des sites leurres et analyser de grands volumes de données UAC-0099 insère une demande de fabrication d’arme nucléaire dans un commentaire de script pour tenter de déclencher les garde-fous des outils de sécurité basés sur LLM Leurres de phishing avec images générées par IA détectées 📋 Type d’article Rapport semestriel de threat intelligence publié par ESET Research, destiné à fournir une vue d’ensemble structurée de l’activité APT mondiale pour les équipes de sécurité et les décideurs. ...

🌐 Contexte CrowdStrike OverWatch a publié le 29 octobre 2026 une analyse détaillée d’une campagne d’espionnage conduite par VAPOR PANDA, un acteur étatique lié à la Chine. La campagne, débutée le 17 octobre 2026, a ciblé plus de 200 organisations distinctes dans au moins 14 pays sur une fenêtre de 11 jours. 🎯 Ciblage Les secteurs et entités visés incluent : Ministères des affaires étrangères en Amérique latine, Europe, Asie et Moyen-Orient Secteurs semiconducteurs, défense et think tanks aux États-Unis Opérateurs télécoms aux États-Unis, en Belgique et aux Philippines Secteurs pharmaceutique, nucléaire et financier aux États-Unis Un ministère de l’intérieur au Moyen-Orient Des entités gouvernementales grecques (ministère des affaires étrangères, présidence, premier ministre, défense, justice, finance, renseignement) 🤖 Mécanisme d’attaque : ARTEX + DeepSeek ARTEX est un framework agentique coordonnant un agent principal avec des agents planificateurs et exécutants via un graphe partagé de faits et objectifs. VAPOR PANDA l’a utilisé principalement avec le LLM DeepSeek (d’origine chinoise) et un second LLM commercial non identifié. Un seul engagement a consommé environ 1,4 milliard de tokens en entrée. ...

🔍 Contexte Publié le 27 août 2026 par CloudSEK (en partenariat avec TRM Labs), cet article inaugure la série « Caught in 4K » dédiée à l’exposition des opérations ransomware. Un répertoire Linux mal configuré, accessible sans authentification sur le port 8888, a permis à CloudSEK d’accéder à l’intégralité du poste de travail d’un affilié du groupe Aurora ransomware. 🎯 Victimologie L’opérateur a compromis plus de vingt organisations dans neuf pays entre avril et juillet 2026, dont quatre ont été listées sur le site de fuite d’Aurora. Les secteurs touchés incluent : ...

🔍 Contexte Publié le 10 août 2026 par Hunt.io, cet article de recherche présente les résultats d’une investigation déclenchée par la découverte d’un répertoire ouvert sur le serveur 89.208.97[.]165:8888, hébergé par Aeza Group LLC (AS210644), un hébergeur bulletproof russe sanctionné par l’OFAC en juillet 2025. La découverte a été signalée au CERT-UA le 30 juillet 2026. 🎯 Vecteurs d’accès initiaux et infrastructure L’opérateur a compromis un site e-commerce ukrainien sous OpenCart via : ...

🔍 Contexte Publié le 17 juin 2026 par CloudSEK, ce rapport documente l’Opération Escaneo, une campagne d’intrusion coordonnée et multi-étapes découverte lors d’une analyse de routine d’infrastructure malveillante. Un serveur de staging exposé hébergé sur 62.171.185.97 a permis de cartographier l’ensemble des capacités offensives du groupe. 🎯 Attribution et ciblage La campagne est attribuée avec une confiance moyenne au groupe MexicanMafia aka PanchoVilla, un acteur connu pour des attaques antérieures contre des institutions mexicaines (2024). Les secteurs ciblés incluent : ...

🔍 Contexte Publié le 11 mai 2026 par TrendAI Research (Trend Micro), cet article présente deux campagnes de cyberattaques émergentes exploitant des agents IA agentiques pour automatiser des opérations d’intrusion de bout en bout contre des cibles gouvernementales et financières en Amérique latine. 🎯 Campagne SHADOW-AETHER-040 Active depuis fin 2025, cette campagne a ciblé principalement des entités gouvernementales mexicaines (6 compromises entre le 27 décembre 2025 et le 4 janvier 2026), ainsi que des organisations des secteurs financier, aérien et retail en Amérique latine. ...

🗓️ Contexte Source : BleepingComputer, publié le 15 avril 2026. Le CERT-UA a publié un rapport détaillant une campagne d’attaques ciblant des gouvernements locaux, des hôpitaux et potentiellement des représentants des Forces de Défense ukrainiennes. La campagne est attribuée au cluster de menace UAC-0247. 🎯 Vecteur d’infection et chaîne d’attaque L’attaque débute par un email de phishing se faisant passer pour une offre d’aide humanitaire, contenant un lien malveillant. Ce lien redirige vers : ...

🔍 Contexte Publié le 16 avril 2026 par Sophos, cet article documente l’abus actif de QEMU (émulateur open-source) par des acteurs malveillants pour dissimuler leurs activités au sein d’environnements virtualisés, contournant ainsi les contrôles de sécurité des endpoints. 🎯 Campagne STAC4713 (depuis novembre 2025) Associée au groupe GOLD ENCOUNTER et au ransomware PayoutsKing, cette campagne utilise QEMU comme backdoor SSH inversé covert : Persistance : tâche planifiée nommée TPMProfiler lançant qemu-system-x86_64.exe sous le compte SYSTEM Déguisement : image disque masquée en vault.db puis en bisrv.dll (janvier 2026) Port forwarding vers les ports 32567, 22022 → port 22 (SSH) VM Alpine 3.22.0 contenant : AdaptixC2 (tinker2), wg-obfuscator, BusyBox, Chisel, Rclone Vol de credentials : copie de NTDS.dit, ruches SAM et SYSTEM via VSS et commande print sur SMB Accès initial : VPN SonicWall exposés sans MFA, puis exploitation de CVE-2025-26399 (SolarWinds Web Help Desk) Évolution en février 2026 : abandon de QEMU, accès via VPN Cisco SSL, ingénierie sociale via Microsoft Teams/QuickAssist, sideloading d’un payload Havoc C2 (vcruntime140_1.dll) via ADNotificationManager.exe, exfiltration via Rclone vers SFTP. ...

🔍 Contexte Rapport technique publié le 10 avril 2026 par Gambit Security (Eyal Sela, Director of Threat Intelligence). L’analyse est basée sur des matériaux forensiques récupérés depuis trois VPS utilisés dans la campagne, incluant des logs de sessions AI, des scripts d’exploitation et des rapports de reconnaissance automatisés. 🎯 Victimes et périmètre Entre fin décembre 2025 et mi-février 2026, neuf organisations gouvernementales mexicaines ont été compromises : SAT (Servicio de Administración Tributaria) : 195M dossiers fiscaux + 52M annuaires exfiltrés, compromission domaine-wide, API de requête live construite et exposée publiquement, mécanisme de falsification de certificats fiscaux opérationnalisé, 305 serveurs internes analysés Estado de Mexico : 15,5M dossiers véhicules, 3,6M propriétaires, millions de dossiers population Registro Civil CDMX : ~220M dossiers civils, centaines de dossiers judiciaires, milliers de credentials employés Jalisco : 50K dossiers patients, 17K victimes violences domestiques, 36K employés santé, 180K dossiers numériques ; infrastructure virtualisation complète compromise (cluster Nutanix 13 nœuds, 37/38 serveurs DB) ; rootkits déployés sur 20 agences INE (Instituto Nacional Electoral) : 13,8K dossiers cartes électeurs exfiltrés, pool estimé à dizaines de millions Michoacán : 2,28M dossiers propriétés, 2K comptes avec mots de passe en clair SADM Monterrey : 3,5K dossiers achats/fournisseurs, 5K dossiers appels d’offres Tamaulipas : Compromission Active Directory Salud CDMX : Exploitation serveur Zimbra 🤖 Rôle des plateformes AI Claude Code (Anthropic) a généré et exécuté ~75% des commandes d’exécution distante via son interface tool-use. Il a servi d’assistant d’exploitation interactif : écriture d’exploits, construction de tunnels, cartographie d’architecture, escalade de privilèges, harvesting de credentials, anti-forensics. ...

🔍 Contexte Publié le 16 mars 2026 par le Google Threat Intelligence Group (GTIG), ce rapport analyse les tactiques, techniques et procédures (TTPs) observées lors des incidents ransomware traités par Mandiant Consulting en 2025. Il couvre des victimes situées en Asie-Pacifique, Europe, Amérique du Nord et du Sud, dans presque tous les secteurs d’activité. 📊 Paysage ransomware 2025 Record historique de posts sur les Data Leak Sites (DLS) en 2025, dépassant 2024 de près de 50% La rentabilité globale est en déclin : taux de paiement de rançon au plus bas historique en Q4 2025 (Coveware), demande moyenne réduite d’un tiers à 1,34 M$ en 2025 contre 2 M$ en 2024 (Sophos) Près de la moitié des victimes ont pu restaurer depuis des sauvegardes en 2024 (contre 28% en 2023 et 11% en 2022) LockBit, ALPHV, Basta et RansomHub ont été perturbés ou ont disparu ; Qilin et Akira ont comblé le vide REDBIKE (Akira) est la famille ransomware la plus déployée : ~30% des incidents Montée en puissance des opérations de data theft extortion seule (sans chiffrement) Ciblage croissant des petites organisations (moins de 200 employés) Adoption de technologies Web3 (ICP blockchain, Polygon smart contracts) pour la résilience des infrastructures Intégration de l’IA dans les opérations (négociations, analyse des victimes) Doublement des familles ransomware cross-platform (Windows + Linux) 🎯 Vecteurs d’accès initial Exploitation de vulnérabilités : 1/3 des incidents (VPNs et firewalls principalement) Fortinet : CVE-2024-21762, CVE-2024-55591, CVE-2019-6693 SonicWall : CVE-2024-40766 Palo Alto : CVE-2024-3400 Citrix : CVE-2023-4966 Microsoft SharePoint : CVE-2025-53770, CVE-2025-53771 (zero-day par UNC6357) SAP NetWeaver : CVE-2025-31324 CrushFTP : CVE-2025-31161 CVE-2025-8088 exploité en zero-day par UNC2165 CVE-2025-61882 exploité contre Oracle EBS (CL0P) Credentials volés : 21% des incidents identifiés (VPN, RDP) Malvertising / SEO poisoning : UNC6016 (→ NITROGEN, RHYSIDA), UNC2465 (→ SMOKEDHAM) Bruteforce : attaques prolongées sur VPNs (ex. Daixin sur près d’un an) Accès via subsidiaires ou tiers (réseaux intermédiaires) Ingénierie sociale : UNC5833 via Microsoft Teams + Quick Assist 🔧 TTPs post-compromission Établissement de foothold : ...