ICS/OT

🏛️ Contexte Le 20 août 2026, la NSA, CISA, FBI, DOE et EPA publient conjointement un avis de cybersécurité (AA26-231A, TLP:CLEAR) signalant une menace active contre les automates programmables industriels (PLC) Siemens S7 Series installés aux États-Unis. L’avis s’inscrit dans un contexte plus large de ciblage des PLC industriels, toutes marques confondues. 🎯 Cibles et secteurs visés Les modèles Siemens explicitement ciblés sont : S7-200, S7-300, S7-400 (toutes variantes CPU) S7-1200 (CPU 1211C, 1212C, 1214C, 1215C, 1217C) S7-1500 (toutes variantes, y compris les contrôleurs de sécurité F-series) Les secteurs d’infrastructure critique les plus touchés incluent : Fabrication critique, Énergie, Eau et eaux usées, Chimie, Agroalimentaire, Installations commerciales et potentiellement la Base industrielle de défense (DIB). ...

📊 Contexte Cette analyse est publiée le 10 août 2026 par Dragos sur son blog officiel. Elle porte sur les incidents ransomware affectant les organisations industrielles au cours du deuxième trimestre 2026 (Q2 2026), sur la base de données publiquement divulguées et de publications sur les Data Leak Sites (DLS) des groupes ransomware. 📈 Volume et tendance 1 140 incidents ransomware ciblant des organisations industrielles ont été recensés au Q2 2026 Hausse de 12% par rapport aux 1 020 incidents du Q1 2026 Le ransomware reste la menace cyber la plus persistante et perturbatrice pour les environnements industriels Cette tendance s’inscrit dans la continuité du rythme élevé observé tout au long de 2025 🎯 Nature des impacts Les perturbations opérationnelles observées résultent de : ...

🗂️ Contexte Dragos a publié le 6 mai 2026 un rapport d’intelligence sur une compromission observée entre décembre 2025 et février 2026, ciblant plusieurs organisations gouvernementales mexicaines, dont Servicios de Agua y Drenaje de Monterrey (SADM), la régie municipale des eaux de Monterrey. L’investigation a été initiée par Gambit Security, qui a contacté Dragos pour l’analyse des composantes OT de l’intrusion. 🎯 Nature de l’attaque Un adversaire inconnu a exploité des outils d’IA commerciaux — principalement Anthropic Claude et OpenAI GPT — pour accélérer et automatiser l’ensemble du cycle d’intrusion : ...

📰 Source : The Record (Recorded Future News) — Date de publication : 1 avril 2026 — Incident découvert : 14 mars 2026 🎯 La ville de Minot, Dakota du Nord (environ 50 000 habitants, 3e ville de l’État) a confirmé qu’une attaque par ransomware a ciblé sa station de traitement d’eau. L’incident a été découvert le 14 mars 2026. ⚙️ Déroulement de l’incident : Le serveur affecté a été déconnecté immédiatement par les équipes municipales Des procédures manuelles ont été mises en place pendant environ 16 heures, incluant des vérifications physiques fréquentes des jauges d’eau sur site Les deux objectifs prioritaires — sécurité de l’eau et maintien de la pression dans les installations de stockage — ont été atteints Aucune interruption de service n’a été constatée 💬 Concernant la revendication : ...

Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025 au moins 30 fermes éoliennes/solaires, une grande centrale de cogénération (CHP) et une entreprise manufacturière en Pologne. Les opérations ont touché à la fois l’IT et l’OT, sans demande de rançon, et ont été conduites par un même acteur. • Cible et impact OT (renouvelables) ⚡️ Perte de communication entre les sites et les DSOs via le GCP; production non interrompue mais risque de perturbation. Vecteur: dispositifs FortiGate exposés (SSL‑VPN sans MFA, comptes statiques), réinitialisés usine pour effacer les traces. Actions: exploitation d’identifiants par défaut et interfaces locales pour endommager l’OT: Hitachi RTU560: connexion web avec compte “Default”, téléversement de firmware corrompu (ELF modifié) causant boucle de reboot; sécurisation de mise à jour non activée ou contournée (CVE‑2024‑2617; corrigé en 13.7.7). Mikronika RTUs: SSH root par défaut, suppression massive de fichiers. Hitachi Relion 650 v1.1 (IEDs): FTP par défaut pour supprimer des fichiers critiques → arrêt irréversible. Mikronika HMI (Win10): RDP via admin local connu, ouverture SMB/445, Impacket, déploiement de DynoWiper. Moxa NPort 6xxx: reset usine, mot de passe changé, IP mise à 127.0.0.1 pour retarder la reprise. • Intrusion et tentative de sabotage IT (CHP) 🏭 ...

Source: Kaspersky ICS CERT — Rapport « Threat Landscape for Industrial Automation Systems, Q3 2025 ». Ce bilan mondial détaille l’évolution trimestrielle des menaces visant les environnements industriels (ICS/OT), par catégories, régions, secteurs et vecteurs d’infection. • Chiffres clés 📊: la part d’ordinateurs ICS ayant vu des objets malveillants bloqués baisse à 20,1 % (plus bas depuis 2022). Les menaces depuis Internet reculent à 7,99 % (plus bas depuis 2022), mais les scripts malveillants et pages de phishing progressent à 6,79 % (+0,3 pp), et le spyware atteint 4,04 % (+0,2 pp), prenant la 2e place des catégories. Les ressources internet sur liste noire chutent à 4,01 % (plus bas depuis 2022). Ransomware: 0,17 % (+0,03 pp). Par région, l’éventail va de 9,2 % (Europe du Nord) à 27,4 % (Afrique); le pic de blocages a eu lieu en août, et septembre est au plus bas depuis deux ans. ...

Selon Dragos, ce rapport de menace couvre le T3 2025 (juillet-septembre) et analyse les tendances ransomware visant les environnements ICS/OT et les systèmes IT qui soutiennent les opérations industrielles. • Volume et cibles : Dragos recense 742 incidents ransomware (+) touchant des entités industrielles, avec l’Amérique du Nord en tête, suivie de l’Europe puis de l’Asie (hausse en Thaïlande). Le secteur manufacturier concentre 72% des cas (532), dont la construction (142) comme sous-secteur le plus affecté. D’autres secteurs en hausse incluent gouvernement (35) et électrique/renouvelables (16). Les impacts montrent comment des intrusions IT peuvent perturber la production et la logistique sans toucher directement les réseaux ICS. ...

Selon Socket (Threat Research Team), neuf paquets NuGet publiés entre 2023 et 2024 sous l’alias « shanhai666 » contiennent du code malveillant à activation temporisée visant des applications .NET et des systèmes industriels; 9 488 téléchargements sont recensés et, bien que signalés à NuGet le 5 novembre 2025, les paquets étaient encore accessibles au moment de la publication. • Nature de l’attaque: campagne de supply chain utilisant des méthodes d’extension C# pour intercepter de façon transparente les opérations BD/PLC. Les packages sont 99% fonctionnels pour inspirer confiance et masquer ~20 lignes de charge malveillante. Les déclencheurs rendent l’attaque probabiliste (20% par opération) et temporellement différée (2027–2028 pour BD), compliquant la détection et l’attribution. ...

Selon BleepingComputer, le Centre canadien pour la cybersécurité a alerté que des hacktivistes ont à plusieurs reprises compromis des systèmes d’infrastructures critiques au Canada, parvenant à modifier des contrôles industriels d’une manière qui aurait pu conduire à des conditions dangereuses. ⚠️ Points clés: Type d’attaque: intrusions par des hacktivistes. Cibles: systèmes d’infrastructures critiques à l’échelle du Canada. Impact: modification de contrôles industriels avec risque de conditions dangereuses. Fréquence: incidents survenus à plusieurs reprises. TTPs (si mentionnés): ...

CYFIRMA publie un rapport sectoriel sur 90 jours détaillant l’activité cyber dans l’énergie & utilities. Panorama sectoriel 📈 Le secteur se classe 12e-13e sur 14 en volume d’activité malveillante. Des campagnes APT ont touché 3 opérations sur 22 observées (14%), dans 17 pays et via des vecteurs variés. Les incidents de ransomware ont augmenté de 54% pour atteindre 43 victimes, le secteur restant toutefois relativement moins prioritaire pour les attaquants en raison de sa dépendance à l’OT. L’activité souterraine liée au secteur est restée stable (2,27% de part), dominée par les sujets fuites de données et exfiltrations. ...