ICS

🏛️ Contexte Le 20 août 2026, la NSA, CISA, FBI, DOE et EPA publient conjointement un avis de cybersécurité (AA26-231A, TLP:CLEAR) signalant une menace active contre les automates programmables industriels (PLC) Siemens S7 Series installés aux États-Unis. L’avis s’inscrit dans un contexte plus large de ciblage des PLC industriels, toutes marques confondues. 🎯 Cibles et secteurs visés Les modèles Siemens explicitement ciblés sont : S7-200, S7-300, S7-400 (toutes variantes CPU) S7-1200 (CPU 1211C, 1212C, 1214C, 1215C, 1217C) S7-1500 (toutes variantes, y compris les contrôleurs de sécurité F-series) Les secteurs d’infrastructure critique les plus touchés incluent : Fabrication critique, Énergie, Eau et eaux usées, Chimie, Agroalimentaire, Installations commerciales et potentiellement la Base industrielle de défense (DIB). ...

🔍 Contexte Publié le 19 août 2026 par Ransom-ISAC en collaboration avec Barricade Cyber Solutions et Crystal Intelligence, ce rapport analyse en profondeur le cluster Infrastructure Destruction Squad / BLACKNET-00, un acteur à faible maturité technique mais à forte activité promotionnelle, opérant via Telegram et plusieurs forums criminels. 🎭 Acteur et personas Deux opérateurs visibles sont identifiés : @blacknetransom (se présentant comme chinois, fan de Billie Eilish) et @xonsee666 (présenté comme son frère). Le groupe opère sous plusieurs alias : BLACKNET, BLACKNET-CORPORATE, Infrastructure Destruction Squad. Des comptes de continuité (@zzzzzzzzkss, @ayeowetee) et un identifiant TOX ont été publiés en prévision de suppressions de comptes. ...

📊 Contexte Cette analyse est publiée le 10 août 2026 par Dragos sur son blog officiel. Elle porte sur les incidents ransomware affectant les organisations industrielles au cours du deuxième trimestre 2026 (Q2 2026), sur la base de données publiquement divulguées et de publications sur les Data Leak Sites (DLS) des groupes ransomware. 📈 Volume et tendance 1 140 incidents ransomware ciblant des organisations industrielles ont été recensés au Q2 2026 Hausse de 12% par rapport aux 1 020 incidents du Q1 2026 Le ransomware reste la menace cyber la plus persistante et perturbatrice pour les environnements industriels Cette tendance s’inscrit dans la continuité du rythme élevé observé tout au long de 2025 🎯 Nature des impacts Les perturbations opérationnelles observées résultent de : ...

🔍 Contexte Publié le 6 août 2026 par CyberScoop, cet article s’appuie sur une recherche publiée par Forescout’s Vedere Labs suite à un scan Shodan réalisé le lundi précédant la publication. Il fait écho à un avis conjoint FBI/EPA confirmant des attaques contre des infrastructures d’eau et d’eaux usées dans au moins 12 États américains depuis le 27 juillet. 📊 Résultats du scan Le scan a identifié plus de 4 000 contrôleurs Rockwell Automation / Allen-Bradley exposés directement sur internet via le protocole EtherNet/IP : ...

📰 Source : The Record Media — Date : 22 juillet 2026 — Contexte : Mise à jour d’une advisory fédérale américaine initialement publiée en avril 2026 par la CISA, le FBI et l’EPA concernant des attaques sur des systèmes OT exposés sur Internet. 🎯 Élargissement du périmètre ciblé L’advisory initiale portait sur les automates programmables (PLC) des fabricants Rockwell Automation et Allen-Bradley. La révision du 22 juillet 2026 étend la portée aux équipements de Schneider Electric, Siemens, et potentiellement d’autres fabricants de PLC. ...

🗂️ Contexte Source : The Record (Recorded Future News), publié le 7 mai 2026. L’Agence de Sécurité Intérieure polonaise (ABW) a publié son premier rapport public d’activité depuis 2014, couvrant les menaces cyber et d’espionnage auxquelles la Pologne a fait face en 2024 et 2025. 🎯 Incidents ciblant les infrastructures d’eau Des attaquants ont compromis des stations de traitement d’eau dans cinq communes polonaises : Jabłonna Lacka Szczytno Małdyty Tolkmicko Sierakowo Dans certains cas, les attaquants ont obtenu un accès aux systèmes de contrôle industriel (ICS), leur permettant de modifier les paramètres techniques des équipements, créant un risque direct sur la continuité de l’approvisionnement en eau. Selon CyberDefence24, dans au moins un établissement, des paramètres liés aux pompes et aux alarmes ont été modifiés après compromission d’un compte administrateur. ...

🗂️ Contexte Dragos a publié le 6 mai 2026 un rapport d’intelligence sur une compromission observée entre décembre 2025 et février 2026, ciblant plusieurs organisations gouvernementales mexicaines, dont Servicios de Agua y Drenaje de Monterrey (SADM), la régie municipale des eaux de Monterrey. L’investigation a été initiée par Gambit Security, qui a contacté Dragos pour l’analyse des composantes OT de l’intrusion. 🎯 Nature de l’attaque Un adversaire inconnu a exploité des outils d’IA commerciaux — principalement Anthropic Claude et OpenAI GPT — pour accélérer et automatiser l’ensemble du cycle d’intrusion : ...

🔍 Contexte Publié le 21 avril 2026 par FalconFeeds.io, cet article constitue une analyse de menace détaillée du collectif hacktivist Dark Storm Team, actif depuis le 27 août 2023, dans le cadre du conflit cyber Iran–Israël et de la menace pesant sur les infrastructures critiques du Moyen-Orient. 🎭 Profil de l’acteur Dark Storm Team est un collectif hacktivist pro-palestinien, décentralisé, sans attribution étatique confirmée. Il opère principalement via un canal Telegram (t.me/Dark_StormTeam) comptant 617 abonnés. Le groupe a maintenu un rythme opérationnel soutenu sur 20 mois, ciblant 60 pays et 74 secteurs industriels. Aucune couverture par les grands fournisseurs commerciaux de threat intelligence n’a été identifiée à la date de publication. ...

📰 Source : The Record (Recorded Future News) — Date de publication : 1 avril 2026 — Incident découvert : 14 mars 2026 🎯 La ville de Minot, Dakota du Nord (environ 50 000 habitants, 3e ville de l’État) a confirmé qu’une attaque par ransomware a ciblé sa station de traitement d’eau. L’incident a été découvert le 14 mars 2026. ⚙️ Déroulement de l’incident : Le serveur affecté a été déconnecté immédiatement par les équipes municipales Des procédures manuelles ont été mises en place pendant environ 16 heures, incluant des vérifications physiques fréquentes des jauges d’eau sur site Les deux objectifs prioritaires — sécurité de l’eau et maintien de la pression dans les installations de stockage — ont été atteints Aucune interruption de service n’a été constatée 💬 Concernant la revendication : ...

Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025 au moins 30 fermes éoliennes/solaires, une grande centrale de cogénération (CHP) et une entreprise manufacturière en Pologne. Les opérations ont touché à la fois l’IT et l’OT, sans demande de rançon, et ont été conduites par un même acteur. • Cible et impact OT (renouvelables) ⚡️ Perte de communication entre les sites et les DSOs via le GCP; production non interrompue mais risque de perturbation. Vecteur: dispositifs FortiGate exposés (SSL‑VPN sans MFA, comptes statiques), réinitialisés usine pour effacer les traces. Actions: exploitation d’identifiants par défaut et interfaces locales pour endommager l’OT: Hitachi RTU560: connexion web avec compte “Default”, téléversement de firmware corrompu (ELF modifié) causant boucle de reboot; sécurisation de mise à jour non activée ou contournée (CVE‑2024‑2617; corrigé en 13.7.7). Mikronika RTUs: SSH root par défaut, suppression massive de fichiers. Hitachi Relion 650 v1.1 (IEDs): FTP par défaut pour supprimer des fichiers critiques → arrêt irréversible. Mikronika HMI (Win10): RDP via admin local connu, ouverture SMB/445, Impacket, déploiement de DynoWiper. Moxa NPort 6xxx: reset usine, mot de passe changé, IP mise à 127.0.0.1 pour retarder la reprise. • Intrusion et tentative de sabotage IT (CHP) 🏭 ...