Ransomware

Selon The Cyber Express, le Conseil de cybersécurité des Émirats arabes unis (EAU) a annoncé que les défenses nationales ont déjoué des cyberattaques organisées visant l’infrastructure numérique et des secteurs vitaux, avec un recours à l’intelligence artificielle pour outiller des offensives plus sophistiquées. Les opérations malveillantes incluaient des tentatives d’infiltration réseau, le déploiement de ransomware et des campagnes de phishing systématiques ciblant des plateformes nationales, dans le but de déstabiliser des services essentiels. Les systèmes de défense 24/7 auraient détecté et bloqué ces menaces avant toute perturbation, grâce à des coopérations avec des fournisseurs de services, des entités nationales et internationales, et des partenariats spécialisés. 🛡️ ...

Source: RFI — RFI rapporte qu’Air Côte d’Ivoire a subi une cyberattaque détectée dans la nuit du dimanche 8 février et révélée le vendredi 20 février, impliquant une extraction illégale de données sensibles et un possible chiffrement de fichiers. 🔐 Type d’attaque: ransomware avec double extorsion. 🗂️ Impact: extraction illégale de données sensibles; des fichiers copiés puis potentiellement chiffrés rendant leur accès impossible. 🧑‍✈️ Données concernées: contenu non précisé; l’article évoque qu’il pourrait s’agir d’informations de passagers, de données de salariés et de documents internes. ✈️ Opérations: programme de vols maintenu; pas de perturbation du trafic aérien signalée. 🕒 Chronologie: incident la nuit du 8 février; révélé le 20 février. Groupe et mode opératoire ...

Selon The Cyber Express, Advantest a confirmé une cyberattaque après la détection d’un ransomware le 15 février, et mène actuellement une enquête pour évaluer l’ampleur de l’incident. Type d’attaque: ransomware Date de détection: 15 février Statut: enquête en cours Axes d’investigation: accès réseau, exposition de données, impact potentiel sur l’organisation 🔎 L’entreprise examine comment le réseau a pu être accédé, si des données ont été exposées, et l’impact opérationnel associé. ...

Selon Cyderes – Howler Cell Threat Research Team (publié le 16 février 2026), 0APT est un ransomware écrit en Rust apparu avec une campagne de bluff revendiquant plus de 200 victimes, mais sans preuves vérifiables; l’équipe a néanmoins confirmé l’existence d’une plateforme RaaS fonctionnelle et de charges malveillantes opérationnelles. Cyderes souligne des doutes sur la crédibilité des fuites: un site onion listait de nombreuses victimes avant de disparaître, la section « leaks » du panneau RaaS propose des archives prétendument volumineuses qui ne se téléchargent pas, et aucune capture de données compromises n’est fournie. Les annonces massives et rapides (≈200 victimes) sans artefacts contredisent les pratiques des groupes de rançongiciels matures, renforçant l’hypothèse d’une campagne de bluff destinée à impressionner. ...

Bashe (ex-APT73) – Profil d’un acteur RaaS émergent Source : SuspectFile – Inside Bashe: The Interview with the Ransomware Group Known as APT73 https://www.suspectfile.com/inside-bashe-the-interview-with-the-ransomware-group-known-as-apt73/ Résumé exécutif Le groupe Bashe, précédemment identifié sous le nom APT73, est un acteur RaaS (Ransomware-as-a-Service) qui s’inscrit dans la nouvelle génération d’opérations structurées autour d’un modèle d’affiliation centralisé. Le rebranding vers “Bashe” ne serait pas lié à une pression policière ou à une compromission d’infrastructure, mais à un repositionnement identitaire. Le nom fait référence à une créature mythologique chinoise (serpent géant dévoreur d’éléphants), en cohérence avec leur rhétorique : cibler de grandes entreprises solvables. ...

Source : S2W (TALON) — Dans « Inside the Ecosystem, Operations: DragonForce », S2W dresse un panorama technique et opérationnel du groupe ransomware DragonForce, actif depuis décembre 2023, en couvrant son cartel RaaS, son Data Leak Site (DLS), son panel affiliés, et l’évolution de ses binaires Windows et Linux. Le groupe a émergé avec des fuites de données sur BreachForums, en s’appuyant sur des éléments des codes sources LockBit 3.0 (LockBit Black) et Conti. Au 01/2026, le builder basé LockBit 3.0 n’est plus disponible. DragonForce promeut son écosystème via le service RansomBay et des offres différenciantes (p. ex. Harassment Calling, Data Analysis) pour élargir son influence RaaS. ...

Selon Huntress (blog), fin janvier et début février 2026, l’équipe Tactical Response a observé deux intrusions où des acteurs ont combiné l’outil de surveillance Net Monitor for Employees Professional et la plateforme RMM SimpleHelp pour assurer une persistance robuste, aboutissant à une tentative de déploiement de ransomware Crazy (famille VoidCrypt) et à la surveillance d’activités liées aux cryptomonnaies. — Aperçu général Les attaquants ont utilisé Net Monitor for Employees comme canal d’accès principal (avec shell intégré via winpty-agent.exe) et SimpleHelp comme couche de persistance redondante 🔁. Les artefacts partagés (nom de fichier vhost.exe), l’infrastructure C2 qui se recoupe (dont dronemaker[.]org) et une tradecraft cohérente suggèrent un opérateur/groupe unique. — Cas #1 (fin janvier 2026) ...

Source : BridgePay Network Solutions – Page de statut. Contexte : série de mises à jour publiées du 6 au 8 février 2026 décrivant une panne majeure liée à un incident de cybersécurité. L’entreprise confirme une attaque par ransomware et indique travailler avec des autorités fédérales (dont le FBI et l’US Secret Service), des équipes forensiques et des spécialistes cybersécurité pour l’enquête, la sécurisation et la restauration. La remise en service n’a pas d’ETA et l’organisation souligne être encore aux premières étapes du processus. 🔒 ...

Selon Forcepoint X-Labs (blog Forcepoint), une campagne de phishing à fort volume abuse de fichiers raccourcis Windows (.lnk) déguisés en documents (« Your Document ») pour déposer le ransomware GLOBAL GROUP via la botnet Phorpiex, avec une exécution discrète et sans C2. • Chaîne d’attaque 🧵 Le mail joint un .lnk masqué (ex. Document.doc.lnk) avec icône empruntée à shell32.dll, s’appuyant sur le masquage des extensions Windows. Au clic, le .lnk lance cmd.exe puis PowerShell qui télécharge et écrit un binaire (ex. C:\Windows\windrv.exe; dans l’échantillon: %userprofile%\windrv.exe) depuis 178[.]16[.]54[.]109 (spl.exe), puis l’exécute (Start-Process). Le ransomware s’exécute localement, sans trafic réseau visible, et procède au chiffrement. • Particularités de GLOBAL GROUP 🔒 ...

Selon ch media, le fabricant lucernois de brosses à dents Trisa (Triengen, LU) a été la cible d’une attaque par le groupe de rançongiciels «Lynx», révélée par Inside-IT et corroborée par une revendication sur le dark web datée du 4 février. • Nature de l’attaque: rançongiciel («Lynx») avec exfiltration de données et chantage à la publication. Les assaillants affirment détenir >1 téraoctet de données et imposent un délai de 7 jours sous peine de diffusion et de vente à des concurrents. Des captures d’écran ont été publiées pour appuyer la revendication. ⚠️ ...