Ransomware

🛡️ Contexte Cet avis a été publié le 20 octobre 2026 par la CISA (Cybersecurity and Infrastructure Security Agency) sous la référence AA26-293A. Il détaille les activités récentes du groupe ransomware SafePay, actif depuis août 2024. 🌍 Périmètre de ciblage Le groupe SafePay cible des entreprises et infrastructures critiques dans plusieurs régions : Amérique du Nord Amérique du Sud Europe Australie 🔓 Vecteurs d’accès initial Les acteurs SafePay utilisent plusieurs méthodes pour pénétrer les réseaux : ...

🔍 Contexte Publié le 18 octobre 2026 sur le blog Objective-See par Patrick Wardle, cet article présente l’analyse technique complète de Heartbreaker, un ransomware macOS précédemment inconnu et non détecté, découvert sur VirusTotal par Megan Carney. L’échantillon avait été soumis en mai 2025 et reste, au moment de la publication, non détecté par tous les moteurs antivirus de VirusTotal. 🎯 Caractéristiques du malware Type : Ransomware métamorphique ciblant macOS (ARM64 / Apple Silicon) Langage : Rust, signé ad hoc, binaire Mach-O 64 bits Cible : Fichiers dans le répertoire ~/Downloads de l’utilisateur Extension ajoutée : .heartbreaker Chiffrement : AES-256-GCM avec une clé statique codée en dur (g_w\`:D2Xq6Yxez-5{#3mfd=VcB.Qhsub`), identique pour toutes les victimes Format des fichiers chiffrés : nonce 12 octets || ciphertext || tag GCM 16 octets Note de rançon : README.txt déposé sur le Bureau, demande de 0,003 BTC 🔄 Mécanisme métamorphique Heartbreaker embarque son propre code source Rust (main.rs, build.rs) via la macro include_str!. À chaque exécution, il : ...

📈 311 revendications cette semaine (+49, +18.7% par rapport à S41) Période : 12.10.2026 au 18.10.2026 Analyse Ransomware — Semaine 42 / 2026 (12–18 octobre 2026) Source : eCrime.ch — Données agrégées de revendications publiques Vue d’ensemble La semaine 42 enregistre 311 revendications de rançongiciels sur les plateformes de fuite publiques, soit une hausse de +18,7 % par rapport à la semaine précédente (262 revendications, +49 en valeur absolue). Il s’agit d’une augmentation notable qui rompt avec le niveau observé la semaine S41. ...

📅 Source : Stoïk Labs (https://labs.stoik.io), publié le 14 octobre 2026. Rapport d’incident post-mortem d’une intrusion attribuée au groupe Akira, investigué par le Stoïk CERT chez un cabinet d’ingénierie européen de taille intermédiaire. 🎯 Vecteur initial L’intrusion débute sur le poste de travail Windows d’un ingénieur après la visite d’un site de camp sportif compromis. Un prompt ClickFix incite l’utilisateur à coller une commande dans la boîte de dialogue Exécuter (Windows Run), déclenchant l’infection initiale. ...

📉 262 revendications cette semaine (-6, -2.2% par rapport à S40) Période : 05.10.2026 au 11.10.2026 Analyse Ransomware – Semaine 41 2026 (05.10 – 11.10.2026) Vue d’ensemble La semaine 41 enregistre 262 revendications d’attaques par rançongiciel, soit une baisse de 6 cas (−2,2 %) par rapport à la semaine précédente (268 revendications). Le volume global reste stable, sans rupture significative de tendance sur le court terme. Activité des groupes Le groupe Gentlemen demeure le plus actif de la semaine avec 43 revendications, en hausse notable par rapport à ses 35 revendications de la semaine précédente (+23 %). Cette progression confirme une dynamique d’activité soutenue sur deux semaines consécutives. ...

🗓️ Contexte Source : NHK / news.sbs.co.kr — Article publié le 8 octobre 2026. IDC Frontier, filiale japonaise de SoftBank spécialisée dans les services cloud et les centres de données, a annoncé avoir été victime d’une attaque par ransomware ciblant son infrastructure de cloud d’entreprise. 🎯 Cibles et périmètre L’attaque a touché 495 entreprises et collectivités locales clientes des services d’IDC Frontier. Parmi les victimes identifiées : Préfecture d’Ibaraki : mise hors ligne du site officiel et du site du quartier général de la police préfectorale Filiale logistique de Nissui : perturbations ayant entraîné l’arrêt des flux entrants et sortants dans 17 hubs logistiques à l’échelle nationale 💥 Impact opérationnel L’attaque a provoqué des interruptions de service significatives pour des acteurs publics (administration, police) et privés (logistique), illustrant l’effet de cascade d’une compromission d’un fournisseur cloud mutualisé. ...

🗓️ Contexte Source : BleepingComputer, publié le 7 octobre 2026. Un grand jury fédéral du district est de New York a inculpé le 23 septembre 2026 Zohar Pinhasi, 50 ans, également connu sous les pseudonymes Zack Silver et Zack Green, propriétaire de la société MonsterCloud LLC basée en Floride. ⚖️ Charges retenues Pinhasi fait face à : 1 chef d’accusation de complot en vue de commettre une fraude électronique 2 chefs d’accusation de fraude électronique La période couverte par l’acte d’accusation s’étend de juin 2018 à juin 2023. Il a plaidé non coupable et a été libéré sous caution de 2 millions de dollars. ...

📰 Source : The Record Media — Date de publication : 6 octobre 2026 🎯 Contexte L’Université Métropolitaine d’Osaka (OMU), l’une des plus grandes universités du Japon, a été victime d’une attaque par ransomware débutée en fin de semaine précédente. L’établissement a officiellement confirmé l’incident le mardi suivant l’attaque. 💥 Impact opérationnel L’attaque a entraîné des perturbations majeures : Annulation des cours et fermeture d’une grande partie de l’infrastructure informatique Environ 500 serveurs mis hors service Indisponibilité du réseau interne, des messageries électroniques et des sites web de l’université 🖥️ Systèmes affectés Les systèmes touchés couvrent de nombreux domaines : ...

📰 Source : Eurosport (AFP), publié le 06/08/2026. L’article rapporte une cyberattaque ayant visé le club de rugby français Stade Français Paris, évoluant en Top 14. 🎯 Nature de l’attaque : Le club a confirmé avoir « subi une cyberattaque ayant affecté une partie de son système d’information ». L’attaque est revendiquée par le groupe cybercriminel Qilin, spécialisé dans les attaques par ransomware (rançongiciel), présumé basé en Russie. ⏳ Ultimatum et données exfiltrées : Le groupe Qilin a publié le Stade Français sur son site de cybercriminels depuis le mercredi précédant l’annonce, avec un compte à rebours annonçant la « publication prochaine des données volées ». Des captures d’écran de documents d’identité (cartes d’identité, passeports, titres de séjour) de joueurs ont d’ores et déjà été diffusées. ...

🏛️ Contexte Le 4 août 2026, le Département fédéral de la défense, de la protection de la population et des sports (DDPS) suisse a publié les conclusions de son enquête sur le cyberincident ayant touché RUAG LLC, filiale américaine de RUAG MRO Holding SA, les 9 et 10 octobre 2025. 🎯 Nature de l’incident L’attaque a été menée par le groupe de cybercriminels AKIRA, via un rançongiciel (ransomware). RUAG LLC a décidé de payer la rançon après avoir analysé la conformité de cette décision au droit américain. ...