Double Extorsion

🌐 Contexte Source : Eurojust (eurojust.europa.eu), publiée le 1er octobre 2026. Une opération internationale impliquant neuf pays, coordonnée par Eurojust et Europol, a abouti au démantèlement du groupe ransomware KillSec, actif depuis 2024 et responsable de près de 1 000 attaques à l’échelle mondiale. 🎯 Acteur de la menace : KillSec Le groupe KillSec opère selon un modèle de double extorsion : Exploitation de points d’accès mal sécurisés, notamment liés au stockage cloud Exfiltration des données vers leur propre infrastructure Menace de publication des données volées contre paiement d’une rançon En cas de non-paiement, mise à disposition gratuite des fichiers volés Envoi d’échantillons de données aux victimes pour prouver la possession 👥 Suspects identifiés Les autorités ont identifié plusieurs suspects aux rôles distincts : ...

🏛️ Contexte Source : Ministère public de la Confédération suisse (MPC), publiée le 1er octobre 2026. Le MPC mène depuis le 31 juillet 2025 une procédure pénale contre inconnus pour des infractions liées à des attaques ransomware commises par le groupe KillSec (alias « KillSecurity ») contre plusieurs sociétés suisses entre octobre 2023 et juin 2025. 🎯 Acteur de la menace Le groupe KillSec pratique la technique dite de double extorsion : ...

🌐 Contexte Source : Europol (communiqué officiel), publié le 1er octobre 2026. Le 30 septembre 2026, les autorités ont mené une action coordonnée internationale contre le groupe cybercriminel KillSec, dans le cadre de l’opération KillSwitch, pilotée par les autorités allemandes (Parquet de Hambourg et LKA Hamburg). 🎯 Le groupe KillSec KillSec est un groupe ransomware/extorsion de données actif depuis environ 2024. Il est lié à environ 1 000 attaques suspectées à l’échelle mondiale, dont 500 confirmées comme réussies à ce stade. Le groupe opérait selon un modèle de double extorsion : ...

🌐 Contexte Le 1er octobre 2026, l’Office fédéral de la police suisse (fedpol) et le Ministère public de la Confédération (MPC) ont publié un communiqué de presse relatif à une opération internationale de démantèlement menée le 30 septembre 2026 contre le groupe ransomware KillSec (alias KillSecurity). 🎯 Acteur de la menace Le groupe KillSec est un groupe cybercriminel spécialisé dans les attaques de type ransomware à double extorsion. Il a mené des cyberattaques contre plusieurs entreprises suisses entre octobre 2023 et juin 2025. ...

🔍 Contexte Publié le 9 septembre 2026 par l’équipe zLabs de Zimperium, cet article présente l’analyse technique détaillée d’un malware Android baptisé Mantax Otax, attribué à des acteurs de menace indonésiens et ciblant principalement des victimes en Indonésie. 🎯 Nature de la menace Mantax Otax est un malware hybride combinant ransomware et spyware dans un seul vecteur d’attaque. Il est distribué via des APK Android malveillants hébergés sur des services de partage de fichiers tiers, installés par sideloading via ingénierie sociale, liens partagés et phishing. ...

🔍 Contexte Publié le 18 août 2026 par le blog BHIS ActiveSOC (Black Hills Information Security), cet article est un rapport d’incident détaillant une réponse sur incident attribuée au groupe Aur0ra, un groupe de ransomware à double extorsion apparu fin avril 2026. L’article constitue, selon les auteurs, la première documentation publique de l’utilisation d’Xray-core comme mécanisme C2 par ce groupe. 🎯 Accès initial L’accès initial a été obtenu via une combinaison de email bombing (certaines victimes ont reçu plus de 900 emails) suivi d’un appel téléphonique frauduleux se faisant passer pour le helpdesk IT de l’organisation (vishing). Cette technique a permis à l’attaquant de prendre le contrôle des machines des victimes. ...

🔍 Contexte Publié le 27 août 2026 par la Ransom-ISAC Research Team (avec contributions de Rakesh Krishnan, Ellis Stannard, Eric Taylor, Nick Smart et Yashraj Solanki), cet article constitue une analyse technique approfondie de CRPx0, une opération ransomware-as-a-service (RaaS) active depuis juin 2026. 🎯 Vecteur d’infection et killchain CRPx0 utilise la technique ClickFix : des pages HTML weaponisées imitant des mises à jour Windows/macOS ou des vérifications Google reCAPTCHA copient silencieusement une commande malveillante dans le presse-papiers avant que la victime ne voie les instructions. La victime est ensuite incitée à exécuter cette commande via Win+R (Windows) ou Terminal (macOS). ...

🎯 Contexte Le 18 août 2026, la CISA, le FBI et le Department of Health and Human Services (HHS) ont publié une mise à jour substantielle de l’advisory conjoint AA25-071A (#StopRansomware: Medusa Ransomware), initialement publié le 12 mars 2025. Cette analyse est produite par SafeBreach le 19 août 2026. 🦠 Présentation de Medusa Medusa est une opération ransomware-as-a-service (RaaS) active depuis juin 2021, ayant impacté plus de 500 organisations d’infrastructure critique dans les secteurs médical, éducatif, juridique, assurance, technologie et manufacturing. Le groupe utilise un modèle de double (voire triple) extorsion et recrute des Initial Access Brokers (IABs) via des forums cybercriminels, rémunérés entre 100 $ et 1 million USD. ...

📰 Source : CybersecurityNews.com, basé sur un rapport de Check Point Research, publié le 18 août 2026. Contexte Une campagne malveillante nommée StopAndProtect a été découverte, transformant des milliers de sites WordPress piratés en infrastructure C2 (command-and-control) distribuée. L’opération combine ransomware à double extorsion et vol de données ciblant des entreprises à l’échelle mondiale. Vecteur d’infection Le vecteur initial repose sur des leurres CAPTCHA frauduleux injectés dans des sites WordPress vulnérables. Les visiteurs sont invités à copier-coller une commande PowerShell malveillante dans leur terminal, déclenchant une chaîne d’infection multi-étapes. ...

🕵️ Contexte Publié le 14 août 2026 sur The Raven File par l’analyste RakeshKrish, cet article constitue une première analyse de renseignement sur le groupe ransomware Majinahanashi, apparu dans la continuité d’autres groupes à thématique japonaise (YUREI, SINOBI, TENGU). 🎯 Victimologie Le groupe cible exclusivement des pays non anglophones : Suisse, Italie, Allemagne, Bulgarie, Inde, Portugal, France, Chili, Lituanie, Thaïlande, Colombie. Les secteurs les plus touchés sont le e-commerce et la fabrication, suivis de l’agriculture, des services et de la technologie. Le chiffre d’affaires moyen des victimes est estimé à 25 M$, avec un pic à 61 M$ pour une victime suisse. 15 victimes sont recensées depuis la première fuite le 27 juin 2026. ...