OT on CyberVeille

Sept vulnérabilités dans FatFs : impact massif sur l'IoT, l'OT et les systèmes embarqués

Fri, 03 Jul 2026 00:00:00 +0000

🔍 Contexte

Publié le 1er juillet 2026 par runZero (todb / HD Moore), cet article de recherche documente la découverte de sept vulnérabilités dans FatFs, une bibliothèque FAT open-source embarquée très répandue. La recherche a été initiée en mars 2026 en reprenant un audit manuel de 2017, cette fois avec l’aide de GitHub Copilot en mode automatique pour générer des fuzzers et valider l’exploitabilité.

🐛 Vulnérabilités identifiées

Les sept CVEs sont listées par ordre de criticité :

Ciblage des systèmes d'eau par des États-nations : Iran, Russie et Chine (2024-2026)

Fri, 26 Jun 2026 00:00:00 +0000

📅 Source et contexte : Rapport de threat intelligence publié le 25 juin 2026 par DomainTools Intelligence (DTI), couvrant les opérations cyber étatiques et para-étatiques ciblant les systèmes d’eau et d’assainissement entre 2024 et 2026.

🎯 Contexte stratégique : Les systèmes d’eau et d’assainissement sont devenus des cibles privilégiées de la guerre hybride en raison de leur sous-investissement chronique en cybersécurité OT, de l’exposition internet de leurs PLCs et HMIs, et de leur valeur psychologique et politique disproportionnée. Les trois acteurs étatiques majeurs (Iran, Russie, Chine) convergent vers la même doctrine : utiliser ces infrastructures civiles comme leviers de pression sans franchir le seuil du conflit ouvert.

CVE-2025-67038 : exécution de commandes arbitraires dans les convertisseurs Lantronix EDS5000 ajoutée au KEV CISA

Fri, 26 Jun 2026 00:00:00 +0000

🗓️ Contexte

Publié le 24 juin 2026 par Dataminr (auteur : Joseph Slowik, Director of Threat Research and Cyber Engineering), cet article analyse l’ajout de CVE-2025-67038 au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 23 juin 2026, aux côtés de trois vulnérabilités affectant la plateforme Ubiquiti.

🔍 Vulnérabilité concernée

CVE-2025-67038 : vulnérabilité d’injection de code / exécution de commandes arbitraires dans la plateforme Lantronix EDS5000
Le Lantronix EDS5000 est un convertisseur série-ethernet utilisé dans l’automatisation industrielle et les environnements OT/IoT
Ces dispositifs constituent des points de passage critiques (choke points) pour les opérations cyber-physiques
L’ajout au KEV confirme une exploitation active documentée

⚠️ Implications opérationnelles

Exploitation possible entraînant une perte ou un déni de contrôle sur des équipements industriels ou d’automatisation en aval
Les environnements industriels à haute disponibilité ne peuvent généralement pas appliquer des correctifs hors fenêtre de maintenance planifiée
Des mesures compensatoires sont nécessaires dans l’immédiat

🏴‍☠️ Précédents d’acteurs étatiques

2015 – Ukraine : Sandworm (GRU russe) a attaqué des sous-stations de distribution électrique, développant un payload de firmware malveillant pour « bricker » des convertisseurs série-ethernet, induisant une perte de contrôle et compliquant la restauration
~2025 – Pologne : Berserk Bear (FSB russe) a exploité des identifiants par défaut sur des convertisseurs série-ethernet dans des entités industrielles polonaises pour les réinitialiser en paramètres d’usine, modifier les identifiants et les adresses IP, rendant les équipements inaccessibles

📌 Type d’article

Analyse de menace à visée opérationnelle, destinée aux équipes de sécurité industrielle et OT, visant à contextualiser l’ajout au KEV CISA et à évaluer le niveau de risque cyber-physique associé à CVE-2025-67038.

Attaque ransomware contre Mackay Sugar : deux moulins australiens à l'arrêt

Sun, 21 Jun 2026 00:00:00 +0000

🗓️ Contexte

Source : SecurityWeek, article de Eduard Kovacs publié le 15 juin 2026. L’incident a été rendu public le 10 juin 2026 par Mackay Sugar, deuxième producteur de sucre brut d’Australie, opérant trois moulins de traitement de canne à sucre dans le Queensland.

🎯 Incident

Mackay Sugar a été victime d’une attaque ransomware menée par le groupe The Gentlemen (suivi par Microsoft sous le nom Storm-2697). L’attaque a provoqué l’arrêt d’au moins deux des trois moulins de l’entreprise, perturbant les opérations de broyage, d’approvisionnement en canne et de logistique.

ENISA NIS360 2026 : état de la maturité cybersécurité des secteurs critiques européens

Sun, 07 Jun 2026 00:00:00 +0000

🏛️ Contexte

Publié en mai 2026 par l’Agence de l’Union européenne pour la cybersécurité (ENISA), le rapport NIS360 2026 constitue la troisième édition annuelle d’évaluation de la maturité cybersécurité et de la criticité des secteurs de haute criticité identifiés à l’Annexe I de la directive NIS2. L’évaluation couvre l’ensemble de l’écosystème sectoriel (entités, autorités nationales, organismes UE, cadres législatifs) à partir d’enquêtes menées auprès d’environ 300 entreprises de 25 États membres et 100 autorités nationales entre juin et octobre 2025.

CISA et partenaires alertent sur des cyberattaques ciblant les systèmes de jauges automatiques de réservoirs

Sat, 06 Jun 2026 00:00:00 +0000

🏛️ Contexte

Le 2 juin 2026, la CISA, le FBI, la NSA, le DOE, l’EPA, la TSA, le DOT et l’USDA ont publié conjointement une fiche d’information (TLP:CLEAR) alertant sur des activités malveillantes ciblant les systèmes de jauges automatiques de réservoirs (ATG) basés aux États-Unis. L’activité n’a pas encore été attribuée à un État ou à un groupe d’acteurs spécifique.

🎯 Cibles et contexte opérationnel

Les systèmes ATG sont utilisés dans les secteurs de l’énergie, de la chimie, de l’alimentation/agriculture et des transports pour la surveillance automatisée et à distance des paramètres de stockage (niveaux de carburant, température, détection de fuites). Les acteurs malveillants ciblent spécifiquement les systèmes exposés directement sur internet.

Cyber Isnaad Front (IRGC/ASA) : sabotage IT et OT d'une usine alimentaire israélienne

Sun, 31 May 2026 00:00:00 +0000

🔍 Contexte

Source : Profero Threat Intelligence, publiée le 24 mai 2026. L’article documente une opération de sabotage combinée IT/OT menée contre une usine de production alimentaire israélienne, attribuée avec haute confiance à Cyber Isnaad Front, persona opérée par ou aux côtés d’Aria Sepehr Ayandehsazan (ASA), successeur de l’entité sanctionnée Emennet Pasargad, affiliée à l’IRGC.

🎭 Acteur de la menace

Cyber Isnaad Front : persona arabophone présentée comme un collectif hacktiviste pro-palestinien, active depuis juin 2025
Opérée par/avec ASA (Aria Sepehr Ayandehsazan), successeur d’Emennet Pasargad (sanctionné par l’OFAC pour ingérence électorale US 2020)
Modèle opératoire : hack-and-leak public + destruction silencieuse en arrière-plan
Cibles déclarées : sous-traitants défense israéliens, logistique carburant (~5 To), opérateurs télécom (>160 clients data center)

💻 Volet IT : malware GRAT (Go Remote Access Toolkit)

GRAT est un binaire Go unique (~10,4 Mo) intégrant 11 sous-systèmes :

VOLTZITE et AZURITE ciblent les réseaux OT du secteur pétrolier et gazier en 2025

Thu, 16 Apr 2026 00:00:00 +0000

🗂️ Contexte

Source : Dragos Blog (https://www.dragos.com/blog/oil-gas-cybersecurity-threats-2026), publié le 16 avril 2026. Cet article s’appuie sur le 2026 Dragos OT/ICS Cybersecurity Year in Review, qui synthétise les observations de la Dragos Intelligence Fabric sur les menaces ayant ciblé le secteur pétrolier et gazier en 2025.

🎯 Acteurs de la menace

VOLTZITE a été élevé au statut de groupe de menace Stage 2 après avoir été observé à l’intérieur de réseaux victimes. Il a compromis des passerelles cellulaires (notamment des équipements Sierra Wireless) dans des opérations midstream américaines, s’étendant aux environnements upstream et downstream. Une fois à l’intérieur, VOLTZITE a pivoté vers des postes de travail d’ingénierie, manipulé des logiciels pour extraire des fichiers de configuration et des données d’alarme, permettant d’identifier les conditions déclenchant l’arrêt des processus opérationnels.

ZionSiphon : malware OT ciblant les infrastructures d'eau israéliennes analysé par Darktrace

Thu, 16 Apr 2026 00:00:00 +0000

🔍 Contexte

Darktrace a publié le 16 avril 2026 une analyse technique détaillée d’un échantillon de malware se désignant lui-même comme ZionSiphon. L’analyse a été conduite par Calum Hall (Cyber Analyst). Le hash VirusTotal de l’échantillon est disponible publiquement.

🎯 Ciblage et motivations

Le malware présente un ciblage géographique explicitement orienté vers Israël, avec des plages IPv4 hardcodées correspondant à des blocs d’adresses israéliens :

2.52.0.0 - 2.55.255.255
79.176.0.0 - 79.191.255.255
212.150.0.0 - 212.150.255.255

Deux chaînes encodées en Base64 révèlent des motivations idéologiques pro-Iran/Palestine/Yémen et une intention déclarée d’empoisonner les populations de Tel Aviv et Haïfa. L’auteur se désigne sous le pseudonyme “0xICS”.

Des hackers pro-russes tentent de compromettre une centrale thermique en Suède

Wed, 15 Apr 2026 00:00:00 +0000

🗓️ Contexte

Source : The Record Media, publié le 15 avril 2026. L’information est rapportée lors d’une conférence de presse à Stockholm par Carl-Oskar Bohlin, ministre suédois de la défense civile, en référence à un incident survenu au printemps 2025.

🎯 Incident

Un groupe de hackers suspecté d’être pro-russe a tenté de perturber les opérations d’une centrale thermique située dans l’ouest de la Suède. La tentative d’intrusion a échoué grâce aux protections de sécurité intégrées de l’installation. Le nom de la centrale n’a pas été divulgué.

Des hackers revendiquent l'accès aux pompes anti-inondation de la Place Saint-Marc à Venise

Sun, 12 Apr 2026 00:00:00 +0000

📰 Source : SecurityAffairs (Pierluigi Paganini) — Date de publication : 12 avril 2026. L’article rapporte une intrusion revendiquée contre le système de pompes anti-inondation protégeant la Piazza San Marco à Venise, infrastructure critique relevant du Ministère italien des Infrastructures et des Transports.

🎯 Nature de l’incident Le groupe, opérant sous les noms « Infrastructure Destruction Squad » et « Dark Engine », affirme avoir obtenu un accès administratif au système de contrôle hydraulique. L’intrusion aurait débuté fin mars 2026, avec une publication de preuves (captures d’écran de panneaux de contrôle, schémas système, états des vannes) début avril 2026. Le groupe a annoncé la compromission via son canal Telegram, dans un message rédigé en langue chinoise.

Des acteurs APT iraniens exploitent des automates Rockwell dans des infrastructures critiques US

Sat, 11 Apr 2026 00:00:00 +0000

🏛️ Contexte

Ce document est un avis conjoint de cybersécurité (AA26-097A) publié le 7 avril 2026 par le FBI, la CISA, la NSA, l’EPA, le DOE et le CNMF. Il alerte sur une campagne active d’exploitation d’automates programmables industriels (PLC) par des acteurs APT affiliés à l’Iran, ciblant des infrastructures critiques américaines.

🎯 Acteurs et attribution

Les agences attribuent cette activité à un groupe APT affilié à l’Iran, distinct mais similaire aux CyberAv3ngers (alias Shahid Kaveh Group, Hydro Kitten, Storm-0784, APT Iran, Bauxite, Mr. Soul, Soldiers of Solomon, UNC5691), eux-mêmes affiliés à l’IRGC Cyber Electronic Command (CEC). L’escalade des attaques est probablement liée aux hostilités entre l’Iran, les États-Unis et Israël.

Attaque ransomware contre la station de traitement d'eau de Minot, Dakota du Nord

Thu, 02 Apr 2026 00:00:00 +0000

🗞️ Contexte

Source : KXNET (presse locale), publiée le 2 avril 2026. L’article rapporte un incident de cybersécurité survenu à la station de traitement d’eau de la ville de Minot, dans le Dakota du Nord (États-Unis).

🔍 Déroulement de l’incident

Le 14 mars 2026, des employés de la ville ont découvert une note de ransomware sur un serveur de la station de traitement d’eau. La note indiquait que l’auteur avait obtenu un accès au système et conseillait à la ville de « renforcer ses pare-feux ».

Ransomware dans le secteur énergétique : 187 attaques confirmées en 2025, analyse globale

Thu, 26 Mar 2026 00:00:00 +0000

🌐 Contexte

Source : Cyble (cyble.com), publié le 26 mars 2026. Ce rapport couvre la période juillet 2024 – juin 2025 et analyse la menace ransomware pesant sur le secteur de l’énergie et des utilities à l’échelle mondiale.

📊 Chiffres clés

Sur la période analysée, le secteur énergétique a enregistré :

187 attaques ransomware confirmées
57 événements de fuite ou violation de données
37 incidents de vente d’accès réseau compromis sur des forums criminels
Plus de 39 000 posts hacktivistes ciblant les infrastructures énergétiques

🎯 Groupes ransomware les plus actifs

RansomHub : 24 incidents (12,8 %)
Akira : 20 incidents (10,7 %)
Play : 18 incidents (9,6 %)
Qilin et Hunters/Lynx complètent le top 5, responsables collectivement de près de 50 % des incidents

🗺️ Distribution géographique

L’Amérique du Nord concentre plus d’un tiers des attaques ransomware. L’Asie et l’Europe absorbent également des parts significatives des ventes d’accès compromis et des violations de données.

Italie: le rapport 2026 de l’intelligence alerte sur l’escalade des menaces cyber (APT, 0‑day, OT/SCADA) et co‑attribue « Salt Typhoon » à la Chine

Sun, 08 Mar 2026 00:00:00 +0000

Source et contexte — Sicurezza Nazionale (Relazione annuale 2026 de l’intelligence italienne). Document de référence sur la politique d’information pour la sécurité, il couvre l’année 2025 et propose des scénarios prospectifs.

• Menace principale et cibles

Espionnage APT de matrice étatique: activité « constante » de groupes hautement spécialisés, recevant orientations et soutien financier d’appareils gouvernementaux étrangers, focalisés sur secteurs stratégiques (notamment aérospatial, infrastructures digitales/ICT) et sur les ministères/administrations centrales.
Intérêt accru pour le secteur public, y compris structures sanitaires (vol de identités/identifiants sur postes du personnel, revente sur deep/dark web et réutilisation pour d’autres intrusions).
Dans le privé, repli relatif des offensives mais pression persistante sur IT/Télécoms, énergie et banques; exposition particulière des PME prises de manière opportuniste pour étendre l’« anonymisation » des attaquants.

• Techniques, infrastructures et impacts

Pologne: Dragos attribue à ELECTRUM une attaque coordonnée contre des DER (déc. 2025)

Fri, 30 Jan 2026 00:00:00 +0000

Source: Dragos (intelligence brief, mis à jour en janvier 2026). Contexte: Dragos participe à la réponse à incident sur un des sites affectés et attribue avec confiance modérée l’attaque au groupe ELECTRUM.

• Le 29 décembre 2025, une attaque coordonnée a visé des systèmes de communication et de contrôle connectant des opérateurs de réseau à des ressources énergétiques distribuées (DER) en Pologne, notamment des centrales de cogénération (CHP) et des systèmes de dispatch d’éolien et de solaire. Il n’y a pas eu de coupures d’électricité, mais des accès OT critiques ont été obtenus et des équipements clés ont été détruits au-delà de toute réparation sur site.

Royaume-Uni : cinq cyberincidents signalés par des fournisseurs d’eau depuis 2024, sans impact sur l’approvisionnement

Thu, 06 Nov 2025 00:00:00 +0000

Source : The Record (Recorded Future News), article d’Alexander Martin (3 novembre 2025), s’appuyant sur des données du Drinking Water Inspectorate (DWI).

🚰 Constat général — Le secteur de l’eau au Royaume-Uni a signalé cinq cyberattaques depuis janvier 2024. Selon la DWI, aucune n’a compromis la sécurité de l’eau potable, mais ces événements — un record sur deux ans — s’inscrivent dans un contexte d’intensification de la menace visant les infrastructures critiques. Entre le 1er janvier 2024 et le 20 octobre 2025, la DWI a reçu 15 rapports, dont 5 concernaient des incidents cyber touchant des systèmes « hors périmètre NIS »; les autres relevaient d’incidents opérationnels non-cyber.

PST: des hackers pro‑russes auraient ouvert les vannes d’un barrage norvégien

Fri, 15 Aug 2025 00:00:00 +0000

Selon politico.eu, le Service de sécurité de la police norvégienne (PST) soupçonne des hackers pro‑russes d’avoir saboté un barrage dans le sud‑ouest de la Norvège en avril, dans le cadre des opérations cyber liées à la guerre hybride.

Le quotidien VG rapporte que les assaillants ont compromis le système de contrôle du barrage et ouvert des vannes pendant environ quatre heures, provoquant un important déversement d’eau avant que les vannes ne soient refermées. Le barrage se situe à Bremanger, à environ 150 km au nord de Bergen, et n’est pas utilisé pour la production d’énergie.