Iran

🔍 Contexte Publié le 28 mars 2026 par Beazley Security Labs en collaboration avec Halcyon, cet article présente une analyse technique approfondie d’une intrusion récente attribuée au groupe Pay2Key, un acteur de menace d’origine iranienne actif depuis 2020. L’analyse couvre à la fois les évolutions techniques du groupe et une chaîne d’attaque complète observée lors d’un incident en Q1 2026 dans une organisation de santé américaine. 🎭 Attribution et contexte géopolitique Pay2Key est suivi sous plusieurs noms : Fox Kitten, Pioneer Kitten, UNC757, Parasite, RUBIDIUM, Lemon Sandstorm. En août 2024, le FBI, la CISA et le DoD Cyber Crime Center ont officiellement attribué le groupe à l’Iran, qualifiant ses opérations d’« information operation » visant les infrastructures américaines et israéliennes. Les paiements de rançon ont historiquement transité par Excoino, une plateforme d’échange de cryptomonnaies iranienne. L’activité du groupe s’intensifie systématiquement lors de tensions géopolitiques impliquant l’Iran. ...

🇺🇸 Accusation américaine contre l’Iran pour l’opération Handala Source : TechCrunch — Date de publication : 20 mars 2026 Le Département de Justice des États-Unis (DOJ) a officiellement accusé le ministère iranien de la sécurité d’opérer sous le couvert d’un faux persona hacktiviste connu sous le nom de Handala. 🎭 Attribution du groupe Handala Handala se présentait comme un groupe hacktiviste indépendant Le DOJ affirme qu’il s’agit en réalité d’une opération étatique iranienne conduite par le ministère de la sécurité Le groupe a revendiqué la responsabilité d’une attaque destructrice contre Stryker, géant de la technologie médicale 🏥 Cible : Stryker Stryker est une entreprise majeure dans le secteur de la technologie médicale L’attaque est qualifiée de destructrice (hack destructif) L’attribution formelle par le DOJ constitue une démarche officielle d’inculpation 📌 Type d’article Cet article est une annonce d’incident relayant une accusation officielle du gouvernement américain, visant à attribuer publiquement une cyberopération destructrice à un acteur étatique iranien opérant sous couverture hacktiviste. ...

Le groupe iranien MuddyWater a mené en février-mars 2026 une campagne d’espionnage ciblée utilisant deux nouveaux malwares, Dindoor et Fakeset, contre des organisations financières, aéroportuaires et de défense aux États-Unis, en Israël et au Canada. 🌐 Contexte Rapport publié le 20 mars 2026 par Krypt3ia, analysant une campagne d’intrusion conduite entre février et mars 2026 par le groupe iranien MuddyWater (aussi connu sous les alias Seedworm, MERCURY, Static Kitten, MOIST KEYCHAIN, Mango Sandstorm), aligné avec le Ministère du Renseignement et de la Sécurité iranien (MOIS). ...

Selon The guardian, l’Iran cible des centres de données commerciaux situés aux Émirats arabes unis et à Bahreïn, ce qui constituerait une nouvelle frontière de la guerre asymétrique. Des frappes de drones contre des datacenters remettent en question l’ambition du Golfe comme superpuissance de l’IA Des frappes de drones attribuées à l’Iran contre des datacenters commerciaux d’Amazon Web Services (AWS) aux Émirats arabes unis et à Bahreïn pourraient marquer une nouvelle étape dans la guerre moderne : le ciblage direct des infrastructures numériques civiles. ...

Politico (Maggie Miller) rapporte qu’Israël a frappé à Téhéran un complexe attribué au quartier général cyber et électronique du Corps des gardiens de la révolution islamique (CGRI/IRGC), alors même que des opérations pro-iraniennes continuent de viser des infrastructures régionales. 💥 L’IDF évoque une « frappe de grande ampleur » contre plusieurs sites militaires à l’est de Téhéran, incluant le QG cyber et électronique et la Direction du renseignement du CGRI. L’ampleur des dégâts et d’éventuelles victimes restent inconnues, l’Iran étant sous quasi black-out internet depuis le 28 février, ce qui limite les informations disponibles. Les porte-parole de l’IDF, de l’ambassade d’Israël à Washington, de la Maison Blanche et de l’USCENTCOM n’ont pas commenté. ...

Selon The Register, dans ce qui est présenté comme sa reconnaissance la plus publique à ce jour de ses capacités, le Pentagone admet que des opérations cyber menées par des « cyber soldiers » jouent un rôle clé dans ses attaques contre l’Iran. Les opérations cyber désormais reconnues comme un pilier des conflits militaires Contexte Le Pentagone a reconnu publiquement que les opérations cyber jouent un rôle central dans les opérations militaires menées contre l’Iran dans le cadre de l’Operation Epic Fury. ...

SECURITY.COM, dans un contexte d’escalade militaire entre les États‑Unis/Israël et l’Iran fin février 2026, détaille une campagne en cours depuis début février attribuée à l’APT iranien Seedworm (MuddyWater/Temp Zagros/Static Kitten). Des activités ont été observées sur les réseaux d’une banque américaine, d’un aéroport américain, d’ONG aux US et au Canada, et de la filiale israélienne d’un éditeur logiciel US. 🚨 Détails techniques et artifacts clés Backdoor inconnue baptisée Dindoor, basée sur le runtime Deno (JavaScript/TypeScript), repérée chez l’éditeur (cible en Israël), une banque US et une ONG canadienne; signée avec un certificat au nom « Amy Cherne ». Tentative d’exfiltration chez l’éditeur via Rclone vers un bucket Wasabi (commande observée: rclone copy CSIDL_DRIVE_FIXED\backups wasabi:[REMOVED]:/192.168.0.x). Autre backdoor Python nommée Fakeset sur les réseaux de l’aéroport US et d’une ONG US; signée avec « Amy Cherne » et « Donald Gay » (ce dernier déjà lié à Seedworm). Téléchargements depuis Backblaze B2: gitempire.s3.us-east-005.backblazeb2.com et elvenforest.s3.us-east-005.backblazeb2.com. Le certificat « Donald Gay » a aussi servi à signer Stagecomp (loader) qui déploie Darkcomp; ces familles sont associées à Seedworm (Google, Microsoft, Kaspersky). 🌍 Paysage de menace élargi et contexte ...

Selon The Record (Recorded Future News), les États-Unis ont mené en 2025 une cyberopération visant à perturber les défenses aériennes iraniennes dans le cadre d’« Operation Midnight Hammer », facilitant des frappes quasi simultanées contre les sites nucléaires de Fordo, Natanz et Ispahan. Les opérateurs américains, appuyés par le renseignement de la NSA, ont ciblé un « aim point » — un nœud réseau cartographié tel qu’un routeur, un serveur ou un périphérique — au sein d’un système militaire connecté aux sites, empêchant le tir de missiles sol‑air contre les appareils américains. Cette approche « en amont » a contourné la difficulté d’infiltrer directement des systèmes hautement fortifiés. Des sources anonymes évoquent la recherche d’un « talon d’Achille »; certains détails ont été retenus pour raisons de sécurité nationale. ...

Source et contexte: ynetnews.com rapporte que des émissions de plusieurs chaînes d’État iraniennes reçues par satellite ont été brièvement piratées pour afficher des messages d’opposition et des déclarations du prince Reza Pahlavi, alors que l’Iran fait face à une coupure quasi totale d’Internet depuis le 8 janvier. Faits principaux: L’opposition (Iran International) indique que la diffusion des chaînes via le satellite Badr a été hijackée quelques minutes. Des vidéos de manifestations et des slogans tels que « People of Iran, continue your struggle » et « Europe is with you! » sont apparus, ainsi qu’un appel direct aux forces armées à ne pas tirer sur la population. Une image du président Masoud Pezeshkian a aussi été diffusée avec un message l’interpellant. ...

Les chercheurs de Lookout ont mis en lumière une campagne sophistiquée de logiciel espion Android, nommée DCHSpy, attribuée au groupe de menaces iranien Static Kitten. Cette campagne cible spécifiquement les utilisateurs mobiles iraniens en exploitant des applications VPN et Starlink trompeuses, distribuées via des campagnes de phishing. DCHSpy est actif depuis octobre 2023, en plein conflit régional, et est conçu pour exfiltrer des données sensibles telles que les messages WhatsApp, les données de localisation, les photos et les journaux d’appels. Le malware exploite des tactiques d’ingénierie sociale et tire parti de la demande d’accès Internet non censuré en Iran. ...