IOC

Source : Radware — Dans son « 2026 Global Threat Analysis Report », l’éditeur analyse les tendances d’attaque 2025 à l’échelle mondiale (réseau, applicatif/API, bots, hacktivisme, IA) et appelle à des défenses automatisées, scalables et intelligentes. • Panorama 2025 et « Five‑Minute Problem » Retour en force des DDoS réseau avec des records à 29,7 Tbps (botnets Aisuru, Kimwolf) et une forte compression temporelle : la majorité des attaques volumétriques durent ≤5 min, les plus gros Web DDoS <60 s. Les campagnes sont multi‑vecteurs et orchestrées algorithmiquement, rendant obsolètes les runbooks manuels. Les attaques de 100–500 Gbps durent en moyenne 10,2 h, les multi‑Tbps 35 min. • DDoS : réseau vs applicatif (Web DDoS) ...

Source : LeMagIT. Dans un article publié le 18 février 2026, LeMagIT relaie le rapport du groupe Insikt (Recorded Future), présenté à la Conférence sur la sécurité de Munich, qui décrit un paysage cyber mondialisé fragmenté en 2025 et des dynamiques appelées à s’intensifier en 2026. Le rapport lie la fragmentation géopolitique (tensions transatlantiques, ambiguïtés juridiques des actions américaines, ex. Caraïbes/Venezuela, et même l’hypothèse d’une prise de contrôle du Groenland) à un affaiblissement des cadres de sécurité et à des restrictions de partage de renseignement (jusqu’au Royaume-Uni). Les pressions des forces de l’ordre ont certes abouti à des démantèlements d’infrastructures criminelles, mais ont poussé l’écosystème à devenir plus décentralisé, modulaire et résilient 🧩. ...

Source et contexte — AWS Security Blog (CJ Moses, Amazon Threat Intelligence) publie une analyse d’une campagne observée du 11 janvier au 18 février 2026 : un acteur russophone à motivation financière a compromis plus de 600 appareils FortiGate dans plus de 55 pays. Aucune vulnérabilité FortiGate n’a été exploitée ; les intrusions reposent sur des interfaces de gestion exposées, des identifiants faibles et l’absence de MFA, avec une forte dépendance à des services d’IA générative commerciaux. L’acteur a compromis des environnements Active Directory, exfiltré des bases d’identifiants et ciblé les infrastructures de sauvegarde (pré-ransomware). L’infrastructure AWS n’a pas été impliquée. ...

Source : Elliptic (20 février 2026). Le billet fait le point douze mois après l’exploit de Bybit, attribué au DPRK et confirmé par le FBI, et décrit l’évolution des vols et du blanchiment crypto associés à la Corée du Nord. Elliptic rappelle que l’attaque contre Bybit (21 février 2025) a abouti au vol d’environ 1,46 Md$ en cryptoactifs – le plus grand vol confirmé à ce jour – et que la majorité des fonds a depuis été blanchie, notamment via des adresses de remboursement, la création de tokens sans valeur et une diversification inédite entre mixers, avec un recours important à des services OTC chinois suspectés (plus de 1 Md$ déjà blanchi à mi‑2025). ...

Source : Palo Alto Networks – Unit 42, Global Incident Response Report 2026 (février 2026). Dans plus de 750 interventions IR menées en 2025, le rapport met en évidence quatre tendances majeures: l’IA comme multiplicateur de force, l’identité comme périmètre effectif, l’extension du risque supply chain via connectivités de confiance (SaaS, outils, dépendances), et l’adaptation des acteurs étatiques à l’infrastructure et à la virtualisation. Plus de 90% des brèches ont été permises par des expositions évitables (visibilité limitée, contrôles inégaux, confiance d’identité excessive), et 87% des intrusions ont touché plusieurs surfaces d’attaque. ...

Source : Tech Xplore (20 février 2026), relayant des travaux du Georgia Institute of Technology présentés à l’ACM CCS 2025. L’article décrit une nouvelle attaque de backdoor contre les SuperNets d’IA utilisées par les véhicules autonomes, baptisée VillainNet. Les chercheurs expliquent que les SuperNets fonctionnent comme un « couteau suisse » d’IA, activant au besoin des sous-réseaux spécialisés. L’attaque empoisonne un seul de ces sous-réseaux, reste dormante tant qu’il n’est pas sollicité, puis se déclenche sous des conditions spécifiques (ex. réponse de l’IA à la pluie) 🚗🌧️. Une fois activée, l’attaque est « presque certaine » de réussir, offrant un contrôle au pirate sur le véhicule. ...

Selon l’équipe Mobile Threat Intelligence (MTI), une nouvelle famille de malware Android baptisée « Massiv » a été observée dans des campagnes ciblées, principalement en Europe, se faisant passer pour des applications IPTV afin de prendre le contrôle des appareils et mener des fraudes bancaires. • Nature de la menace. Massiv est un trojan bancaire Android axé Device Takeover (DTO), sans liens directs avec des menaces connues. Il combine overlays, keylogging, interception SMS/Push et un contrôle à distance complet de l’appareil, avec un C2 en WebSocket et opérations en screen streaming (MediaProjection) ou en mode UI-tree (traversée Accessibility pour contourner les protections anti-capture). ...

ESET Research (WeLiveSecurity) publie l’analyse de PromptSpy, « premier » malware Android observé à intégrer de l’IA générative dans son flux d’exécution. Découvert en février 2026, il s’appuie sur Google Gemini pour guider des interactions d’interface contextuelles et maintenir la persistance, tout en déployant un module VNC pour un accès à distance complet. Les échantillons semblent viser prioritairement l’Argentine et pourraient avoir été développés dans un environnement sinophone. 🧪 Fonctionnalité IA générative (Gemini) 🤖: PromptSpy sérialise en XML l’état courant de l’UI (texte, types, packages, bounds) et l’envoie à Gemini, qui renvoie des instructions JSON (taps, swipes, long press) pour exécuter le geste « verrouiller l’app dans les applications récentes » — un mécanisme de persistance résistant aux variations d’UI selon les modèles et versions Android. Le malware boucle jusqu’à confirmation explicite de réussite par l’IA. ...

Selon Check Point Research (blog.checkpoint.com), une recherche publiée le 19/02/2026 décrit une technique potentielle où des assistants IA avec capacité de navigation web pourraient être exploités comme relais de commande‑et‑contrôle (C2) furtifs ; cette approche a été démontrée en environnement contrôlé contre Grok et Microsoft Copilot, sans preuve d’exploitation active à ce stade. • Technique démontrée (C2 via assistants IA) 🤖: en incitant un assistant IA à « fetch » et résumer une URL contrôlée par l’attaquant, un malware peut exfiltrer des données et récupérer des commandes sans contacter directement un serveur C2 traditionnel. L’interaction peut se faire sans clés API ni comptes authentifiés, rendant moins efficaces les mécanismes de takedown classiques. Du point de vue réseau, le trafic ressemble à un usage IA légitime, l’AI servant de proxy/relai furtif au sein des communications autorisées en entreprise. ...

Source et contexte : Cato Networks (Cato CTRL Threat Research) publie une analyse technique d’un nouveau loader baptisé « Foxveil », actif depuis août 2025, qui s’appuie sur des plateformes cloud de confiance pour le staging et déploie du shellcode en mémoire avec des techniques d’injection et d’évasion avancées. Foxveil s’appuie sur des infrastructures « de confiance » (Cloudflare Pages, Netlify, Discord) pour héberger ses charges de second étage, ce qui brouille les signaux réseau et rend inefficaces les simples listes de blocage. Deux variantes sont observées : v1 (staging surtout via Cloudflare/Netlify) et v2 (staging souvent via pièces jointes Discord). La campagne est en cours depuis août 2025. ...