Lazarus

🌐 Contexte ESET Research a publié le 31 octobre 2026 son rapport semestriel sur l’activité des groupes APT entre avril et septembre 2026. Ce rapport couvre les opérations de groupes alignés avec la Chine, l’Iran, la Corée du Nord, la Russie et la Biélorussie, basé sur la télémétrie propriétaire d’ESET. 🇨🇳 Groupes alignés Chine FamousSparrow maintient sa surveillance en Amérique du Sud SlippyNunchucks cible des individus sinophones au Sri Lanka via le détournement des mises à jour de QuickFox pour déployer le toolset DarkVigil (aka FDMTP) Un acteur non identifié cible un hôtel à Palau dans le cadre présumé d’efforts anti-fraude des autorités chinoises, via AdaptixC2 et un backdoor nommé FoetidBracket Flax Typhoon compromet une entreprise chimique taïwanaise via une application publique obsolète, en utilisant SoftEther VPN Ciblage de l’industrie des semi-conducteurs taïwanaise, avec chevauchement avec le groupe UNK_FistBump (Proofpoint) via une chaîne Cobalt Strike 🇮🇷 Groupes alignés Iran/Moyen-Orient FilthyFeline (sous-groupe d’OilRig) et MuddyWater reprennent leurs opérations après une période de silence liée aux restrictions internet iraniennes Ciblage principal : entités israéliennes dans de multiples secteurs, quelques entreprises américaines FilthyFeline reprend le ciblage d’un opérateur de données cellulaires en Ouzbékistan précédemment compromis par BladedFeline MuddyWater exploite un prestataire IT israélien pour envoyer des spearphishings avec ScreenConnect Arid Viper (affilié Hamas) réapparaît avec une nouvelle version de Arid Gopher ciblant le Ministère des Affaires étrangères de l’Autorité palestinienne BladedFeline déploie un nouveau backdoor nommé SharpShareIT TortoiseShell met à jour son IMAPLoader avec des techniques d’évasion supplémentaires 🇰🇵 Groupes alignés Corée du Nord Lazarus relance l’Opération DreamJob contre le secteur des drones/UAS, ciblant des entreprises de défense en Europe centrale via un SumatraPDF trojanisé et des plugins Notepad++ malveillants (MortPusLoader), déployant ScoringMathTea RAT et LightlessTeaR ScarCruft distribue une version trojanisée de Zangi Messenger contenant BirdCall (Android), et un installateur BlueStacks trojanisé menant à RokRAT ScarCruft déploie le ver BlankOverride (via supports amovibles, charge utile BLUELIGHT) contre des infrastructures portuaires en Afrique ScarCruft déploie CinderRelay, un backdoor Linux serveur utilisé comme nœud de réseau covert DeceptiveDevelopment remonte la chaîne d’approvisionnement logicielle : vol de credentials Git/SSH, injection de code malveillant dans des dépôts publics/privés (npm, PyPI, Go, Packagist), utilisation de NullReceiver (résolution C2 via blockchain Ethereum), déploiement d’OmniStealer et DEV#POPPER RAT 🇷🇺 Groupes alignés Russie Gamaredon enregistre une baisse significative d’activité depuis mi-mai 2026, mais continue sa collaboration avec Turla : déploiement de Rezzuar (VBScript de reconnaissance) via PteroPSDoor, et mise à jour de PteroBox (ajout des extensions .cdr et .kmz) PhantomCaptcha (UAC-0244) cible des municipalités et établissements de santé ukrainiens avec des chaînes malveillantes LNK/HTA/JavaScript, déployant AGINGFLY (RAT C# WebSocket), SILENTLOOP, CHROMELEVATOR, ZAPiXDESK, et distribue le spyware Android PrincessSpy via de faux sites imitant ab3.army Exploitation active de la vulnérabilité CVE-2025-8088 (path traversal WinRAR dans ClamAV) dans les serveurs MDaemon en Ukraine, déployant les backdoors HELLAGE et HELLTAG (Telegram-based) 🇧🇾 Groupes alignés Biélorussie FrostyNeighbor (UNC1151/PUSHCHA/Storm-0257/TA445) conduit la première cyberattaque destructrice documentée d’un acteur biélorusse en Europe : déploiement d’un wiper VBScript via Group Policy contre une entreprise manufacturière ukrainienne du secteur des transports, après utilisation de Chisel, UltraVNC et Cobalt Strike Convergence croissante des opérations biélorusses avec les priorités russes en Ukraine 🤖 Usage de l’IA par les APT Utilisation de LLMs pour accélérer le développement de malwares, créer des sites leurres et analyser de grands volumes de données UAC-0099 insère une demande de fabrication d’arme nucléaire dans un commentaire de script pour tenter de déclencher les garde-fous des outils de sécurité basés sur LLM Leurres de phishing avec images générées par IA détectées 📋 Type d’article Rapport semestriel de threat intelligence publié par ESET Research, destiné à fournir une vue d’ensemble structurée de l’activité APT mondiale pour les équipes de sécurité et les décideurs. ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

🌐 Contexte Publié le 7 septembre 2026 par Kudelski Security en partenariat avec Sekoia (équipe TDR), cet article de recherche constitue une analyse stratégique et technique approfondie des capacités cyber offensives de la République Populaire Démocratique de Corée (RPDC). Il couvre l’architecture institutionnelle, les clusters APT, les programmes de travailleurs IT frauduleux et l’écosystème de soutien. 🏛️ Architecture institutionnelle Les opérations cyber nord-coréennes sont pilotées par trois institutions principales : GRIB (ex-RGB / Bureau général de reconnaissance) : principale agence de renseignement étranger, commandant les unités cyber offensives les plus capables, désigné KPA Unité 586 NIA (ex-MSS / Agence nationale de renseignement) : anciennement Ministère de la Sécurité d’État, renommé en juin 2026, chargé du contre-espionnage et des opérations contre les dissidents KWP (Parti des travailleurs coréens) : fixe les orientations politiques qui dictent les priorités cyber Les réorganisations fréquentes sont décrites comme un mécanisme de contrôle délibéré maintenant la compétition entre agences pour la faveur de Kim Jong-un. ...

🗓️ Contexte Source : The Record Media, publié le 20 avril 2026. L’article couvre un incident majeur survenu le week-end précédent, impliquant le vol de près de 290 millions de dollars en cryptomonnaies sur la plateforme Kelp, attribué au groupe nord-coréen TraderTraitor, une composante de l’opération Lazarus. 🎯 Déroulement de l’attaque L’attaque a débuté un samedi après-midi, détectée par des sociétés de sécurité blockchain. La chaîne d’attaque est la suivante : ...

Selon The Record (Recorded Future News), un vol d’environ 30 millions de dollars en cryptomonnaies a touché Upbit, le plus grand exchange sud-coréen. Des responsables sud-coréens estiment que le groupe nord-coréen Lazarus est probablement impliqué, au vu des tactiques d’intrusion et des méthodes de blanchiment observées. Les enquêteurs pensent que les assaillants ont usurpé l’identité d’administrateurs d’Upbit avant d’initier l’« retrait anormal » d’environ 30 M$. L’attaque présenterait des similarités avec l’incident de 2019 chez Upbit (environ 40 M$ dérobés), lui aussi attribué à Lazarus. 😟 ...

Selon Gen Blogs (gendigital.com), Threat Research Team, le 19 novembre 2025, de nouveaux éléments indiquent un possible chevauchement d’infrastructure entre les APT russes Gamaredon et nord-coréens Lazarus, pointant vers une étape inédite de coopération transnationale dans le cyberespace. Le 24 juillet 2025, les systèmes de Gen, qui suivent les serveurs C2 de Gamaredon via des canaux Telegram/Telegraph connus, ont bloqué l’IP 144[.]172[.]112[.]106. Quatre jours plus tard (28 juillet), le même serveur hébergeait une version obfusquée d’InvisibleFerret (attribué à Lazarus), livrée via une structure d’URL identique à celle de la campagne ContagiousInterview (leurres de recrutement). Bien que l’IP puisse être un proxy/VPN, la proximité temporelle et le schéma d’hébergement partagé suggèrent une réutilisation d’infrastructure et, avec une confiance modérée, une collaboration opérationnelle. Il reste indéterminé si Lazarus a utilisé un serveur contrôlé par Gamaredon ou un même point client partagé. ...

Source: Lab52 — Dans une analyse technique, Lab52 décrit une campagne DreamJobs attribuée au groupe Lazarus visant le secteur UAV, mettant en lumière des chargeurs modulaires (« DreamLoaders ») déployés via DLL sideloading, applications trojanisées et communications C2 appuyées sur des services Microsoft. • Le rapport identifie trois variantes de loaders et une forte réutilisation de code entre artefacts (≈85% de similarité). Les attaquants cherchent notamment à obtenir des identifiants d’administrateurs par des moyens trompeurs, en combinant évasion avancée, charges chiffrées et services cloud Microsoft ☁️. ...

Selon Logpresso (13 octobre 2025), une campagne attribuée au groupe APT nord-coréen Lazarus a visé en septembre 2025 des systèmes Windows et MacOS via de faux correctifs/updates NVIDIA, avec des objectifs d’espionnage et de gains financiers. La campagne est multiplateforme et s’appuie sur des fichiers malveillants déguisés en mises à jour NVIDIA/patchs de pilotes. Les charges utiles, écrites en Node.js et Python, établissent la persistance, collectent des informations système et d’implantation géographique, extraient des identifiants et des données de carte de paiement, et communiquent avec des serveurs C2. Les cibles incluent des actifs crypto, des institutions financières et des entités gouvernementales. ...

Selon The Telegraph (telegraph.co.uk, 17/08/2025), des hackers nord-coréens sont accusés d’un vol d’environ 17 M£ en cryptomonnaies chez Lykke, un exchange enregistré au Royaume‑Uni mais opéré depuis la Suisse, un incident qui a précédé l’arrêt des opérations puis la liquidation de l’entreprise. — Les faits et l’impact: Lykke a déclaré avoir perdu 22,8 M$ (≈16,8 M£) en Bitcoin, Ethereum et autres cryptos, arrêtant ensuite le trading et fermant officiellement en décembre. En mars, un juge a ordonné la liquidation après une action de plus de 70 clients affirmant avoir perdu 5,7 M£. L’entité suisse parente a aussi été mise en liquidation. 💸 ...

Selon Moonlock, une campagne attribuée à des acteurs nord-coréens exploite des stealer malware visant macOS pour collecter des identités et contourner les vérifications d’antécédents, afin d’infiltrer des entreprises américaines comme « faux » travailleurs IT. Le dossier met en perspective ces activités avec de récents raids du FBI contre des « laptop farms », soulignant le lien entre cybercriminalité, espionnage et contournement des sanctions. La menace décrite repose sur l’ingénierie sociale comme vecteur principal (faux recrutements, arnaques de type ClickFix), plutôt que sur des exploits sophistiqués. Les identifiants et données personnelles volés sont réutilisés pour dépasser les contrôles RH et accéder à des postes sensibles, participant à des objectifs d’espionnage et de contournement des sanctions 🕵️‍♂️. ...