Ransomware

📈 233 revendications cette semaine (+46, +24.6% par rapport à S29) Période : 20.07.2026 au 26.07.2026 Analyse Ransomware – Semaine 30 2026 (20 – 26 juillet 2026) Source des données : eCrime.ch — Analyse CyberVeille Vue d’ensemble Pour la semaine 30 de 2026, les plateformes de revendication ransomware ont enregistré 233 nouvelles revendications, soit une hausse de 46 cas supplémentaires (+24,6 %) par rapport à la semaine précédente (187 revendications). Il s’agit d’une augmentation notable en volume absolu, portée par la montée en cadence de plusieurs groupes actifs simultanément. ...

📊 Source et contexte : Ce rapport est publié par Cyble Research and Intelligence Labs (CRIL), couvrant la période janvier–juin 2026. Il s’agit d’une rétrospective mondiale structurée par région (Amériques, Europe/UK, Asie-Pacifique, Moyen-Orient/Afrique, Australie/Nouvelle-Zélande). 🔢 Chiffres clés mondiaux 3 836 attaques ransomware (moyenne >630/mois) 367 incidents de fuite/violation de données 129 ventes d’accès initiaux 32 400+ domaines impactés par l’hacktivisme ~9 825 posts de fuite liés à des canaux hacktivistes 146 CVE analysées, dont ~90% critiques ou élevées 🦠 Groupes ransomware dominants ...

🌐 Contexte Source : Cyber Security News (cybersecuritynews.com), publié le 27 juillet 2026. L’article documente une vague coordonnée d’exploitation ciblant les appliances VPN et firewall de Palo Alto Networks, Fortinet, Citrix et Check Point, identifiée comme le vecteur d’accès initial dominant pour les opérateurs de ransomware en mid-2026. 🎯 Campagnes documentées Campagne 1 — Fortibleed (Fortinet FortiGate) Campagne de masse de collecte de credentials identifiée mi-juin 2026 Extraction de fichiers de configuration depuis ~75 000 FortiGate exposés sur internet (194 pays, 21 000+ domaines) Craquage des hashes de mots de passe stockés Analysée par Kevin Beaumont, Hudson Rock et SOCRadar Aucune CVE unique : exploitation cumulative de faiblesses connues de stockage de credentials FortiOS Campagne 2 — Palo Alto GlobalProtect (CVE-2026-0257) Bypass d’authentification (CWE-565) via falsification de cookies d’override d’authentification Divulgué le 13 mai 2026, PoC Rapid7 publié le 29 mai 2026 CVSS révisé de 4.7 à 7.8, ajouté au catalogue KEV de la CISA Exploitation confirmée dès le 17 mai 2026 ; affiliés Qilin confirmés en juillet 2026 Post-exploitation : Impacket, attaques NTLM relay, mouvement latéral Campagne 3 — Check Point VPN (CVE-2026-50751) CVSS 9.3 — bypass d’authentification via faille de validation de certificat dans le protocole IKEv1 déprécié Divulgué le 8 juin 2026 ; exploitation confirmée dès le 7 mai 2026 (un mois avant divulgation) Technique : manipulation des flags d’authentification via payload VPNExtFeatures Vendor ID personnalisé Affilié Qilin confirmé dans des activités post-compromission CVE connexe : CVE-2026-50752 (CVSS 7.4) — risque AitM sur VPN site-à-site, non exploité in-the-wild Campagne 4 — Citrix NetScaler (CVE-2026-8451) CVSS 8.8 — lecture hors limites pré-authentification dans le parser XML/SAML, famille CitrixBleed Divulgué le 30 juin 2026 ; tentatives d’exploitation moins de 24h après divulgation Vecteur : payloads <samlp:AuthnRequest> malformés avec espaces padding, cookie NSC_TASS anormal IP source d’une campagne tracée : 146.70.139[.]154 CVE précédent de la même famille : CVE-2026-3055 (CVSS 9.3), patché en mars 2026 🛠️ Outils et techniques observés Impacket — mouvement latéral et abus de protocoles NTLM relay attacks — escalade de privilèges Mimikatz — dump de credentials en mémoire PsExec, RDP, WMI — mouvement latéral living-off-the-land Script Chrome GPO-distribué — vol de credentials navigateur à l’échelle du domaine WSL (Windows Subsystem for Linux) — évasion EDR Cookies d’override forgés, payloads IKEv1 personnalisés, requêtes SAML malformées 🏭 Secteurs ciblés Santé, éducation, industrie manufacturière, gouvernements locaux, médias, services professionnels, infrastructures critiques. ...

📄 Source : Proofpoint | Date : 21 juillet 2026 | Type : Rapport annuel basé sur une enquête auprès de 953 professionnels de la sécurité dans 12 pays (mars-avril 2026) Contexte général Proofpoint publie son rapport AI-Era Ransomware Report 2026, fondé sur les réponses de 803 organisations ayant subi un incident ransomware au cours des 12 derniers mois. Le rapport identifie trois évolutions structurelles : les cibles humaines, la monétisation via l’extorsion, et l’inadéquation des défenses existantes. ...

📊 Contexte Sophos publie la septième édition de son rapport annuel State of Ransomware, basé sur une enquête indépendante menée par Vanson Bourne au T1 2026 auprès de 2 158 responsables IT et cybersécurité dans 17 pays, dont les organisations avaient été victimes de ransomware dans les 12 mois précédents. 🎯 Vecteurs d’attaque principaux Le changement majeur de cette édition concerne les causes techniques des attaques : Emails malveillants : 26% (nouveau n°1) Phishing : 24% (nouveau n°2) Credentials compromis : 23% Vulnérabilités exploitées : 18% (en baisse de 14 points par rapport à 2025) 79% des attaques ont débuté par une approche basée sur l’identité (compromission ou abus de credentials). ...

📰 Cet article est une newsletter d’analyse publiée le 16 juillet 2026 par Risky Business (Tom Uren), couvrant l’évolution des tactiques ransomware intégrant l’intelligence artificielle dans les opérations d’extorsion. 🎯 FulcrumSec : l’IA au service de la négociation FulcrumSec est un groupe d’extorsion de données actif depuis septembre 2025. Il utilise des techniques d’accès initiales simples : Exploitation de credentials hardcodés ou exposés Applications non patchées Stockage mal configuré Le groupe revendique la compromission de 25 organisations et le vol de plusieurs téraoctets de données. Sa particularité est d’utiliser l’IA non pas pour hacker, mais pour analyser les données volées afin d’établir une position de négociation solide et justifier ses demandes de rançon. ...

🔍 Contexte Le 21 juillet 2026, PRODAFT publie un rapport technique approfondi sur Funky Mantis, également suivi publiquement sous le nom DevMan, une opération de ransomware-as-a-service (RaaS) centralisée observée entre novembre 2025 et janvier 2026. 🏗️ Structure opérationnelle Funky Mantis fonctionne selon un modèle RaaS centralisé combinant : Gestion des affiliés via un portail web dédié (deux générations : décembre 2025 et v3 janvier 2026) Distribution d’accès réseau par pays Génération de payloads personnalisés (Windows, ESXi, Linux annoncés) Négociation des rançons et suivi des revenus Communications internes via Rocket.Chat (version 7.6) Le portail v3 (janvier 2026) a ajouté la gestion du cycle de vie des victimes, le suivi des délais, la création d’équipes et les codes d’invitation. ...

📰 Source : Le Temps (letemps.ch) — Article publié le 22 juillet 2026 🎯 Contexte de l’incident Le 30 juin 2026, une fiduciaire basée à Yverdon-les-Bains (canton de Vaud, Suisse) a été victime d’une attaque par ransomware menée par le groupe BravoX. L’attaque a été détectée via un problème de connexion au serveur. Le prestataire informatique a procédé à l’isolement des systèmes, à la suppression des accès compromis et à la restauration des données depuis une sauvegarde externe. ...

🗓️ Contexte Source officielle publiée le 20 juillet 2026 sur le site de la Fondation Wagerenhof (wagerenhof.ch). L’article constitue une communication institutionnelle de la fondation à destination du public. 🔴 Incident Le 9 juillet 2026 au soir, la Fondation Wagerenhof, établissement situé à Uster (canton de Zurich, Suisse), a été victime d’une attaque ransomware ciblant son environnement IT virtuel. Les attaquants ont bloqué l’accès à plusieurs systèmes et procédé au chiffrement de données. ...

📰 Source : Le Temps (avec ATS), publié le 21 juillet 2026. 🎯 Contexte de l’incident Le constructeur ferroviaire suisse Stadler Rail (Bussnang, Thurgovie) a été victime d’une cyberattaque survenue mi-juillet 2026. L’attaque a ciblé non pas les systèmes internes de Stadler directement, mais une plateforme d’échange utilisée par l’un de ses fournisseurs. 🔓 Vecteur d’accès initial L’accès aux données a été obtenu via des identifiants de connexion corrompus appartenant à une plateforme d’échange d’un fournisseur de Stadler. Ces identifiants sont ensuite tombés entre les mains des cybercriminels. ...