Cl0p

🏛️ Contexte Publié le 23 mai 2026 sur le blog BushidoToken, cet article constitue un post-mortem détaillé d’un incident majeur affectant une infrastructure critique britannique. Le 11 mai 2026, l’Information Commissioner’s Office (ICO) a prononcé une amende de £963 900 à l’encontre de South Staffordshire Water à la suite d’une intrusion du groupe Cl0p. 🎯 Déroulement de l’attaque Septembre 2020 : accès initial via un email de phishing malveillant téléchargeant le malware Get2Loader et le backdoor SDBBOT pour établir la persistance Juillet 2022 : découverte de la compromission par le personnel suite à des ralentissements des performances IT Août 2022 : publication de 4,1 téraoctets de données sur le site Tor de Cl0p, exposant les données personnelles de 633 887 clients et employés Durée de présence non détectée : près de deux ans 🔓 Défaillances systémiques identifiées par l’ICO Le SOC externalisé était aveugle à 95 % du réseau Zéro scan de vulnérabilité interne ou externe sur une fenêtre de 18 mois Utilisation de machines Windows Server 2003 hors support étendu Deux contrôleurs de domaine non patchés contre ZeroLogon (CVE-2020-1472) 🧰 Techniques et outils utilisés Cl0p a exploité des techniques classiques sans recours à des zero-days ou à des capacités étatiques : phishing, déploiement de loader et backdoor, puis exploitation de CVE-2020-1472 pour le mouvement latéral et l’escalade de privilèges vers Domain Admin. ...

🌐 Contexte Publié le 28 avril 2026 par Europol (European Union Agency for Law Enforcement Cooperation), l’Internet Organised Crime Threat Assessment (IOCTA) 2026 constitue l’évaluation annuelle la plus complète des cybermenaces pesant sur l’Union européenne. Le rapport s’intitule « How encryption, proxies and AI are expanding cybercrime » et couvre les développements observés principalement en 2025. 🎯 Principaux vecteurs de menace identifiés Ransomware Plus de 120 familles de ransomware actives observées par Europol en 2025 Modèle RaaS (Ransomware-as-a-Service) dominant, avec fragmentation croissante des opérations Groupes notables : Qilin, Akira, LockBit (tentatives de rebond avec LockBit 5.0), DragonForce, BlackBasta, Cl0p, Play, Fog En septembre 2025, une coalition DragonForce + LockBit + Qilin annoncée sur le dark web Tactiques d’extorsion multi-couches : exfiltration de données, DDoS simultanés, cold-calling, pression psychologique Shift de l’extorsion : de la demande de déchiffrement vers la menace de publication des données Fraude en ligne (OFS) Fraude représentant la zone de croissance la plus rapide de la criminalité organisée Typologies principales : fraude à l’investissement (crypto), BEC, romance scam, tech support fraud, fraude aux paiements Usage massif de SIM boxes / SIM farms (ex : réseau letton de 7 individus, 1 200 dispositifs, 40 000 SIM cards, 49 millions de comptes créés) Montée des IMSI catchers et SMS blasters pour contourner les protocoles KYC Drainers de cryptomonnaies maturés en système CaaS (acquisition d’Inferno Drainer par Angel Drainer en octobre 2024) Attaques relay sur terminaux de paiement en hausse dans l’UE Adoption de l’IA générative pour personnaliser l’ingénierie sociale, scripts d’appel, chatbots de pré-sélection des victimes Infrastructure criminelle Dark web : fragmentation des marketplaces généralistes, émergence de plateformes spécialisées Démantèlement d’Archetyp Market (600 000 utilisateurs, EUR 250M de transactions, juin 2025) ; émergence de BlackOps, TorZon, Nexus Market DarkForums successeur de BreachForums Bullet-proof hosting (BPH) avec sous-location multi-juridictionnelle Proxies résidentiels pour masquer le trafic malveillant Abus DNS pour phishing, C2 de botnets, distribution de malwares Démantèlement de Cryptomixer (EUR 1,3 milliard en Bitcoin mixés depuis 2016, novembre 2025) Montée des privacy coins, chain-hopping, bridges blockchain, DEX, coinjoin pour le blanchiment Menaces hybrides et DDoS Acteurs étatiques utilisant des réseaux cybercriminels comme proxies pour des opérations de déstabilisation NoName057(16) : réseau pro-russe ciblant gouvernements et entreprises, démantelé partiellement lors de l’Opération Eastwood (juillet 2025, 19 pays impliqués) DDoS lors du Sommet OTAN de La Haye (juin 2025) Coalition Scattered LAPSUS$ Hunters (SLSH) : Scattered Spider + ShinyHunters + LAPSUS$ (annoncée août 2025) Exploitation sexuelle des enfants en ligne (CSAM) Kidflix démantelé (1,8M utilisateurs, 80 000 vidéos, 1 400 suspects identifiés, 39 enfants protégés) Hausse de 70% des signalements de sextorsion financière (NCMEC, H1 2025 vs H1 2024) CSAM généré par IA en forte progression (modèles text-to-image, text-to-video, image-to-image) Réseau The Com : communautés en ligne mêlant CSE, cyberattaques, extorsion, violence extrême Plateforme Help4U lancée par Europol en novembre 2025 pour soutenir les victimes mineures 🔧 Opérations de police majeures citées Opération Endgame : démantèlement de Smokeloader, Bumblebee, Lactrodectus, Qakbot, Hijackloader, DanaBot, Trickbot, Warmcookie, Rhadamantys, VenomRAT, Elysium botnet Phobos/8Base : arrestation de 4 ressortissants russes, avertissement de 400 entreprises Cryptomixer.io : saisie de EUR 25M en cryptomonnaies, 12 To de données Archetyp Market : arrestation de l’administrateur à Barcelone NoName057(16) : Opération Eastwood, 9 arrestations, +100 serveurs perturbés Réseau SIM box letton : 7 arrestations (octobre 2025) CSAM IA : 25 arrestations mondiales, 273 suspects identifiés 📋 Type d’article Il s’agit d’un rapport stratégique annuel publié par Europol, destiné aux décideurs stratégiques, politiques et opérationnels des autorités répressives de l’UE. Son but principal est de fournir une évaluation structurée et factuelle du paysage des cybermenaces pour orienter les priorités opérationnelles et politiques en matière de lutte contre la cybercriminalité. ...

🔍 Contexte Publié le 16 mars 2026 par le Google Threat Intelligence Group (GTIG), ce rapport analyse les tactiques, techniques et procédures (TTPs) observées lors des incidents ransomware traités par Mandiant Consulting en 2025. Il couvre des victimes situées en Asie-Pacifique, Europe, Amérique du Nord et du Sud, dans presque tous les secteurs d’activité. 📊 Paysage ransomware 2025 Record historique de posts sur les Data Leak Sites (DLS) en 2025, dépassant 2024 de près de 50% La rentabilité globale est en déclin : taux de paiement de rançon au plus bas historique en Q4 2025 (Coveware), demande moyenne réduite d’un tiers à 1,34 M$ en 2025 contre 2 M$ en 2024 (Sophos) Près de la moitié des victimes ont pu restaurer depuis des sauvegardes en 2024 (contre 28% en 2023 et 11% en 2022) LockBit, ALPHV, Basta et RansomHub ont été perturbés ou ont disparu ; Qilin et Akira ont comblé le vide REDBIKE (Akira) est la famille ransomware la plus déployée : ~30% des incidents Montée en puissance des opérations de data theft extortion seule (sans chiffrement) Ciblage croissant des petites organisations (moins de 200 employés) Adoption de technologies Web3 (ICP blockchain, Polygon smart contracts) pour la résilience des infrastructures Intégration de l’IA dans les opérations (négociations, analyse des victimes) Doublement des familles ransomware cross-platform (Windows + Linux) 🎯 Vecteurs d’accès initial Exploitation de vulnérabilités : 1/3 des incidents (VPNs et firewalls principalement) Fortinet : CVE-2024-21762, CVE-2024-55591, CVE-2019-6693 SonicWall : CVE-2024-40766 Palo Alto : CVE-2024-3400 Citrix : CVE-2023-4966 Microsoft SharePoint : CVE-2025-53770, CVE-2025-53771 (zero-day par UNC6357) SAP NetWeaver : CVE-2025-31324 CrushFTP : CVE-2025-31161 CVE-2025-8088 exploité en zero-day par UNC2165 CVE-2025-61882 exploité contre Oracle EBS (CL0P) Credentials volés : 21% des incidents identifiés (VPN, RDP) Malvertising / SEO poisoning : UNC6016 (→ NITROGEN, RHYSIDA), UNC2465 (→ SMOKEDHAM) Bruteforce : attaques prolongées sur VPNs (ex. Daixin sur près d’un an) Accès via subsidiaires ou tiers (réseaux intermédiaires) Ingénierie sociale : UNC5833 via Microsoft Teams + Quick Assist 🔧 TTPs post-compromission Établissement de foothold : ...

🗓️ Contexte Article publié par SecurityWeek le 16 mars 2026, couvrant les suites de la campagne d’attaque ciblant les clients d’Oracle E-Business Suite (EBS), revendiquée par le groupe Cl0p. 🎯 Nature de l’attaque Le groupe Cl0p a exploité des vulnérabilités zero-day dans Oracle E-Business Suite pour accéder aux données stockées par des organisations clientes, puis a utilisé ces données à des fins d’extorsion. La communauté cybersécurité associe cette opération au cluster FIN11, qui serait le moteur opérationnel derrière la marque publique Cl0p. ...

SecurityWeek rapporte que Michelin a confirmé avoir été touché par la vaste campagne de compromission visant Oracle E‑Business Suite (EBS), où des vulnérabilités zero‑day ont été exploitées pour accéder aux données d’organisations utilisatrices. Selon l’article, la marque d’extorsion Cl0p revendique publiquement cette campagne, tandis que des chercheurs estiment qu’un cluster d’acteurs sophistiqués, notamment FIN11, est à la manœuvre. Plus de 100 organisations figurent sur le site de Cl0p. Michelin indique qu’une zero‑day d’Oracle EBS a été exploitée. L’entreprise affirme avoir appliqué rapidement des mesures correctives efficaces, que des fichiers ont été consultés mais en faible volume et sans informations sensibles ni techniques, et qu’aucun ransomware n’a été déployé, sans impact sur ses systèmes globaux. 🔐 ...

SecurityWeek (Eduard Kovacs, 2 mars 2026) rapporte que Madison Square Garden (MSG), la célèbre arène de New York, a confirmé avoir été touché par une fuite de données dans le cadre de la campagne de piratage visant Oracle E‑Business Suite (EBS) en 2025. Dans cette campagne, le groupe de ransomware et d’extorsion Cl0p a exploité des vulnérabilités zero-day pour accéder aux données de plus de 100 organisations clientes d’Oracle EBS. 🧩 ...

SecurityWeek signale que le NHS (Royaume‑Uni) a été nommé par le groupe Cl0p sur son site de fuites dans le cadre d’une campagne visant les utilisateurs d’Oracle E‑Business Suite (EBS). Le NHS indique qu’aucune donnée n’a été publiée à ce stade et qu’il enquête avec le NCSC britannique. Depuis début octobre, une campagne de vol de données et d’extorsion cible des organisations utilisant Oracle E‑Business Suite (ERP). Dans les deux semaines suivant la révélation de la campagne, Cl0p a commencé à afficher des victimes sur son site de fuites. Des données présentées comme volées ont déjà été publiées pour des organisations telles que Harvard University, Envoy Air (filiale d’American Airlines), Schneider Electric, Emerson et The Washington Post. ...

Source: Reuters — Le Washington Post a déclaré être parmi les victimes d’une brèche liée à la plateforme Oracle E‑Business Suite, tandis que le groupe de ransomware CL0P l’a listé sur son site comme l’un de ses victimes. Le journal a indiqué avoir été impacté « par la brèche de la plateforme Oracle E‑Business Suite ». CL0P a revendiqué l’incident sur son site. Le groupe n’a pas répondu aux demandes de commentaires citées par Reuters. ...

Source: Cybereason — Cybereason décrit une campagne d’exfiltration de données menée par le groupe CL0P entre juillet et septembre 2025 contre des déploiements on‑premise d’Oracle E‑Business Suite (EBS). L’opération, similaire aux précédentes campagnes de CL0P (ex. MOVEit), s’appuie sur des vulnérabilités corrigées dans la CPU Oracle de juillet 2025. Oracle a confirmé l’exploitation de failles déjà identifiées et a exhorté à appliquer immédiatement les correctifs. Les vulnérabilités exploitées incluent CVE-2025-30746 (iStore), CVE-2025-30745 (MES for Process Manufacturing) et CVE-2025-50107 (Universal Work Queue). Classées de sévérité moyenne, elles sont exploitables à distance via HTTP par des attaquants non authentifiés, avec une certaine interaction utilisateur requise. Les correctifs sont disponibles depuis la CPU de juillet 2025. ...

Selon Arctic Wolf, Oracle a indiqué que des clients E‑Business Suite reçoivent des emails d’extorsion après exploitation de neuf vulnérabilités corrigées dans le Critical Patch Update de juillet 2025. Les vulnérabilités concernent plusieurs produits et composants d’Oracle E‑Business Suite, notamment Oracle Lease and Finance Management, Mobile Field Service, Universal Work Queue, ainsi que les composants Applications Framework, CRM Technical Foundation, iStore et Universal Work Queue. Neuf CVE sont listées: CVE-2025-30743, CVE-2025-30744, CVE-2025-50105, CVE-2025-50071, CVE-2025-30746, CVE-2025-30745, CVE-2025-50107, CVE-2025-30739, CVE-2025-50090. ...