OT/ICS

🔍 Contexte Source : Profero Threat Intelligence, publiée le 24 mai 2026. L’article documente une opération de sabotage combinée IT/OT menée contre une usine de production alimentaire israélienne, attribuée avec haute confiance à Cyber Isnaad Front, persona opérée par ou aux côtés d’Aria Sepehr Ayandehsazan (ASA), successeur de l’entité sanctionnée Emennet Pasargad, affiliée à l’IRGC. 🎭 Acteur de la menace Cyber Isnaad Front : persona arabophone présentée comme un collectif hacktiviste pro-palestinien, active depuis juin 2025 Opérée par/avec ASA (Aria Sepehr Ayandehsazan), successeur d’Emennet Pasargad (sanctionné par l’OFAC pour ingérence électorale US 2020) Modèle opératoire : hack-and-leak public + destruction silencieuse en arrière-plan Cibles déclarées : sous-traitants défense israéliens, logistique carburant (~5 To), opérateurs télécom (>160 clients data center) 💻 Volet IT : malware GRAT (Go Remote Access Toolkit) GRAT est un binaire Go unique (~10,4 Mo) intégrant 11 sous-systèmes : ...

🗂️ Contexte Source : Dragos Blog (https://www.dragos.com/blog/oil-gas-cybersecurity-threats-2026), publié le 16 avril 2026. Cet article s’appuie sur le 2026 Dragos OT/ICS Cybersecurity Year in Review, qui synthétise les observations de la Dragos Intelligence Fabric sur les menaces ayant ciblé le secteur pétrolier et gazier en 2025. 🎯 Acteurs de la menace VOLTZITE a été élevé au statut de groupe de menace Stage 2 après avoir été observé à l’intérieur de réseaux victimes. Il a compromis des passerelles cellulaires (notamment des équipements Sierra Wireless) dans des opérations midstream américaines, s’étendant aux environnements upstream et downstream. Une fois à l’intérieur, VOLTZITE a pivoté vers des postes de travail d’ingénierie, manipulé des logiciels pour extraire des fichiers de configuration et des données d’alarme, permettant d’identifier les conditions déclenchant l’arrêt des processus opérationnels. ...

🔍 Contexte Darktrace a publié le 16 avril 2026 une analyse technique détaillée d’un échantillon de malware se désignant lui-même comme ZionSiphon. L’analyse a été conduite par Calum Hall (Cyber Analyst). Le hash VirusTotal de l’échantillon est disponible publiquement. 🎯 Ciblage et motivations Le malware présente un ciblage géographique explicitement orienté vers Israël, avec des plages IPv4 hardcodées correspondant à des blocs d’adresses israéliens : 2.52.0.0 - 2.55.255.255 79.176.0.0 - 79.191.255.255 212.150.0.0 - 212.150.255.255 Deux chaînes encodées en Base64 révèlent des motivations idéologiques pro-Iran/Palestine/Yémen et une intention déclarée d’empoisonner les populations de Tel Aviv et Haïfa. L’auteur se désigne sous le pseudonyme “0xICS”. ...

🗓️ Contexte Source : The Record Media, publié le 15 avril 2026. L’information est rapportée lors d’une conférence de presse à Stockholm par Carl-Oskar Bohlin, ministre suédois de la défense civile, en référence à un incident survenu au printemps 2025. 🎯 Incident Un groupe de hackers suspecté d’être pro-russe a tenté de perturber les opérations d’une centrale thermique située dans l’ouest de la Suède. La tentative d’intrusion a échoué grâce aux protections de sécurité intégrées de l’installation. Le nom de la centrale n’a pas été divulgué. ...

📰 Source : SecurityAffairs (Pierluigi Paganini) — Date de publication : 12 avril 2026. L’article rapporte une intrusion revendiquée contre le système de pompes anti-inondation protégeant la Piazza San Marco à Venise, infrastructure critique relevant du Ministère italien des Infrastructures et des Transports. 🎯 Nature de l’incident Le groupe, opérant sous les noms « Infrastructure Destruction Squad » et « Dark Engine », affirme avoir obtenu un accès administratif au système de contrôle hydraulique. L’intrusion aurait débuté fin mars 2026, avec une publication de preuves (captures d’écran de panneaux de contrôle, schémas système, états des vannes) début avril 2026. Le groupe a annoncé la compromission via son canal Telegram, dans un message rédigé en langue chinoise. ...

🏛️ Contexte Ce document est un avis conjoint de cybersécurité (AA26-097A) publié le 7 avril 2026 par le FBI, la CISA, la NSA, l’EPA, le DOE et le CNMF. Il alerte sur une campagne active d’exploitation d’automates programmables industriels (PLC) par des acteurs APT affiliés à l’Iran, ciblant des infrastructures critiques américaines. 🎯 Acteurs et attribution Les agences attribuent cette activité à un groupe APT affilié à l’Iran, distinct mais similaire aux CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, APT Iran, Bauxite, Mr. Soul, Soldiers of Solomon, UNC5691), eux-mêmes affiliés à l’IRGC Cyber Electronic Command (CEC). L’escalade des attaques est probablement liée aux hostilités entre l’Iran, les États-Unis et Israël. ...

🗞️ Contexte Source : KXNET (presse locale), publiée le 2 avril 2026. L’article rapporte un incident de cybersécurité survenu à la station de traitement d’eau de la ville de Minot, dans le Dakota du Nord (États-Unis). 🔍 Déroulement de l’incident Le 14 mars 2026, des employés de la ville ont découvert une note de ransomware sur un serveur de la station de traitement d’eau. La note indiquait que l’auteur avait obtenu un accès au système et conseillait à la ville de « renforcer ses pare-feux ». ...

🌐 Contexte Source : Cyble (cyble.com), publié le 26 mars 2026. Ce rapport couvre la période juillet 2024 – juin 2025 et analyse la menace ransomware pesant sur le secteur de l’énergie et des utilities à l’échelle mondiale. 📊 Chiffres clés Sur la période analysée, le secteur énergétique a enregistré : 187 attaques ransomware confirmées 57 événements de fuite ou violation de données 37 incidents de vente d’accès réseau compromis sur des forums criminels Plus de 39 000 posts hacktivistes ciblant les infrastructures énergétiques 🎯 Groupes ransomware les plus actifs RansomHub : 24 incidents (12,8 %) Akira : 20 incidents (10,7 %) Play : 18 incidents (9,6 %) Qilin et Hunters/Lynx complètent le top 5, responsables collectivement de près de 50 % des incidents 🗺️ Distribution géographique L’Amérique du Nord concentre plus d’un tiers des attaques ransomware. L’Asie et l’Europe absorbent également des parts significatives des ventes d’accès compromis et des violations de données. ...

Source: Dragos (intelligence brief, mis à jour en janvier 2026). Contexte: Dragos participe à la réponse à incident sur un des sites affectés et attribue avec confiance modérée l’attaque au groupe ELECTRUM. • Le 29 décembre 2025, une attaque coordonnée a visé des systèmes de communication et de contrôle connectant des opérateurs de réseau à des ressources énergétiques distribuées (DER) en Pologne, notamment des centrales de cogénération (CHP) et des systèmes de dispatch d’éolien et de solaire. Il n’y a pas eu de coupures d’électricité, mais des accès OT critiques ont été obtenus et des équipements clés ont été détruits au-delà de toute réparation sur site. ...

Source : The Record (Recorded Future News), article d’Alexander Martin (3 novembre 2025), s’appuyant sur des données du Drinking Water Inspectorate (DWI). 🚰 Constat général — Le secteur de l’eau au Royaume-Uni a signalé cinq cyberattaques depuis janvier 2024. Selon la DWI, aucune n’a compromis la sécurité de l’eau potable, mais ces événements — un record sur deux ans — s’inscrivent dans un contexte d’intensification de la menace visant les infrastructures critiques. Entre le 1er janvier 2024 et le 20 octobre 2025, la DWI a reçu 15 rapports, dont 5 concernaient des incidents cyber touchant des systèmes « hors périmètre NIS »; les autres relevaient d’incidents opérationnels non-cyber. ...