Cyberespionnage

🏛️ Contexte Source : Communiqué officiel du Département de Justice américain (DOJ), publié le 18 août 2026. Un acte d’accusation révisé (S2) en 14 chefs d’accusation a été descellé, ciblant 17 membres du Mabna Institute, une société iranienne fondée vers 2013 à Téhéran. Neuf des 17 accusés avaient déjà été inculpés dans un premier acte de mars 2018. 🎯 Acteurs et commanditaires Fondateurs : Gholamreza Rafatnejad et Ehsan Mohammadi Commanditaire principal : Islamic Revolutionary Guard Corps (IRGC), ainsi que d’autres entités gouvernementales et universitaires iraniennes Le Mabna Institute opérait comme une structure de hacking-for-hire, employant des contractuels dont Behzad Mesri (alias « Skote Vahshat »), Keyvan Fayaz (alias « Achilles », « The Joker », « bc.monster »), Mojtaba Galekuhi, Arman Kahzadian, Saber Shahbazi Ballojeh, et d’autres 🏫 Campagne universitaire Cibles : plus de 100 000 comptes de professeurs dans le monde Compromis : ~8 000 comptes de professeurs dans 144 universités américaines et 178 universités étrangères (Australie, Canada, Chine, Allemagne, Israël, Japon, Royaume-Uni, etc.) Période : 2013 – décembre 2017 au minimum Volume volé : 31,5 téraoctets de données académiques et propriété intellectuelle Technique principale : spearphishing pour obtenir des identifiants, puis accès non autorisé aux systèmes universitaires Revente : données revendues via deux sites web — Megapaper.ir (opéré par Falinoos Company, contrôlée par Abdollah Karima) et Gigapaper.ir — à des universités et institutions iraniennes 🏢 Campagnes secteur privé et gouvernemental Victimes : au moins 42 entreprises privées américaines, 11 entreprises étrangères (Allemagne, Italie, Suisse, Suède, Royaume-Uni), 5 agences gouvernementales fédérales et étatiques américaines, 2 ONG Entités nommées : Département du Travail américain, Federal Energy Regulatory Commission, État d’Hawaï, État d’Indiana, Nations Unies, UNICEF Cas HBO : Behzad Mesri, avec Houshyar, Hashemloo, Fayaz, Ballojeh et Kahzadian, a piraté les systèmes de Home Box Office (HBO), volé des données propriétaires et tenté une extorsion de ~6 millions USD en Bitcoin Techniques : password spray attacks, accès non autorisé, exfiltration de données — coûts de remédiation dépassant 20 millions USD pour les victimes ⚖️ Charges et sanctions Les 17 accusés font face à 14 chefs d’accusation incluant : ...

🗓️ Contexte Source : Cryptika (relayant Cyber Security News / Securelist), publié le 17 août 2026. Les chercheurs de Securelist ont identifié cette nouvelle variante lors d’investigations menées fin 2025 et en 2026. 🎯 Acteur et cibles Le groupe HoneyMyte (acteur de cyberespionnage) a mis à jour son implant CoolClient avec un composant rootkit en mode noyau. Les organisations ciblées se situent au Pakistan, en Mongolie, au Myanmar et en Russie, incluant des entités gouvernementales. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par Unit 42 (Palo Alto Networks) sur la base de l’URL https://unit42.paloaltonetworks.com/russian-webmail-espionage. L’article documente une campagne de cyberespionnage active, désignée CL-STA-1114, attribuée à un acteur russophone également suivi sous les noms Void Blizzard et LAUNDRY BEAR par d’autres éditeurs. 🎯 Ciblage La campagne cible des organisations dans les secteurs suivants : Gouvernements Défense Transport Finance Les régions concernées incluent les États membres de l’OTAN, l’Ukraine, les pays de la CEI (Communauté des États Indépendants) et l’Afrique. ...

🔍 Contexte Publié le 21 juillet 2026 par Kaspersky (GREAT) sur Securelist, cet article présente l’analyse technique d’un nouveau module de communication du framework Project CAV3RN, un outil de cyberespionnage modulaire suivi depuis décembre 2025 et ciblant des entités en Israël. Ce module succède au composant HTTP/WebSocket précédemment documenté. 🧩 Architecture et module analysé Le module, nommé AzureCommunication.dll, est compilé en .NET Native AOT et s’intègre dans l’architecture contrôleur-plugin de CAV3RN. Il expose une unique export QueryInterface et remplace le composant n-HTCommp.dll. Le contrôleur principal reste uxtheme.dll, qui gère l’Agent ID (7 caractères) et le dispatching des commandes. ...

📄 Source et contexte : Ce document est le rapport annuel « La Sécurité de la Suisse 2026 » publié par le Service de renseignement de la Confédération (SRC), clôturé en mai/juin 2026. Il couvre l’ensemble des menaces pesant sur la Suisse dans les domaines du terrorisme, de l’espionnage, de la prolifération et des infrastructures critiques, avec une dimension cyber significative. 🌐 Environnement stratégique et cybermenaces : Le rapport identifie la Russie comme la menace la plus sérieuse et la plus aiguë pour la sécurité européenne. La Russie a fortement intensifié son conflit hybride en Europe, incluant des cyberattaques, des actes de sabotage physique et des activités d’influence. Des cyberattaques contre des cibles à l’étranger s’effectuent également à travers des infrastructures suisses. La Chine représente également une menace hybride croissante, combinant instruments économiques, technologiques et cyber. ...

🗓️ Contexte Source : Check Point Blog — publié le 1er juin 2026. Le 22 mai 2026, des enquêteurs néerlandais spécialisés dans la criminalité financière ont saisi environ 800 serveurs dans des datacenters à Dronten et Schiphol-Rijk (Pays-Bas), ciblant le fournisseur d’hébergement WorkTitans B.V. 🏢 WorkTitans : successeur de Stark Industries En mai 2025, l’UE avait sanctionné Stark Industries, un fournisseur d’accès internet lié aux opérations de guerre informationnelle russes. Plutôt que de cesser ses activités, ses opérateurs auraient simplement rebrandé sous le nom WorkTitans, continuant à exploiter la même infrastructure sous une nouvelle identité juridique. ...

🔍 Contexte Publié le 30 avril 2026 par Trend Micro (Daniel Lunghi, Lucas Silva), cet article présente une analyse technique approfondie d’une campagne de cyberespionnage désignée SHADOW-EARTH-053, active depuis au moins décembre 2024 et alignée avec les intérêts stratégiques de la Chine. 🎯 Ciblage Le groupe a ciblé des entités gouvernementales et des infrastructures critiques dans au moins huit pays d’Asie du Sud, de l’Est et du Sud-Est, ainsi qu’un État membre de l’OTAN en Europe. Dans près de la moitié des environnements compromis, des chevauchements significatifs ont été observés avec un second cluster, SHADOW-EARTH-054, partageant des hachages d’outils identiques et des TTPs similaires. ...

📋 Contexte : Le CERT-EU, service de cybersécurité des institutions, organes et agences de l’Union européenne, publie le 8 avril 2026 son rapport annuel sur le paysage des menaces cyber pour l’année 2025 (TLP:CLEAR). Ce rapport s’appuie sur l’analyse des activités malveillantes d’intérêt (MAI) collectées tout au long de 2025, avec une expansion significative de l’usage de l’automatisation et de l’IA dans les processus de surveillance. 🎯 Acteurs et origines : En 2025, 174 acteurs malveillants distincts ont été identifiés (contre 110 en 2024). Les activités liées à la Chine représentent 37% des MAI attribuées, suivies par la Russie (32%), la Corée du Nord (11%) et l’Iran (7%). Les acteurs liés à la Chine ont principalement exploité des vulnérabilités et des compromissions de chaîne d’approvisionnement. Les acteurs liés à la Russie ont ciblé prioritairement les entités soutenant l’Ukraine. ...

Selon le Wall Street Journal (WSJ), dans la guerre en cours contre l’Iran, les États-Unis et Israël déploient l’IA à une échelle inédite pour accélérer le renseignement, le ciblage, la planification de missions et l’évaluation des dégâts, après des mois de préparation et une concentration exceptionnelle de moyens. Le WSJ rapporte que le renseignement bénéficie le plus de l’IA 🤖: des années d’« écoutes » de communications de hauts responsables iraniens et l’exploitation de caméras de circulation de Téhéran piratées sont désormais triées et résumées par des outils d’IA. Des capacités de vision automatique identifient rapidement des cibles (jusqu’à des modèles d’aéronefs ou de véhicules), et des systèmes de requête vidéo permettent des recherches complexes et des alertes (ex. « avertir à chaque prise de photo près de telle base »). Les armées indiquent que des volumes colossaux de données ne pouvaient être traités par des humains (environ 4% exploitable manuellement), d’où un gain d’efficacité majeur. ...

Selon BleepingComputer, la CISA a ordonné aux agences fédérales américaines d’appliquer des correctifs à trois failles de sécurité affectant iOS. Ces vulnérabilités sont ciblées dans des attaques de cyberespionnage et de vol de cryptomonnaies, menées à l’aide du kit d’exploitation Coruna. CISA alerte sur des vulnérabilités iOS exploitées via le kit d’exploit Coruna Contexte L’agence américaine CISA (Cybersecurity and Infrastructure Security Agency) a ordonné aux agences fédérales de corriger trois vulnérabilités iOS activement exploitées dans des campagnes : ...