Sandworm

🔍 Contexte Publié le 22 octobre 2026 par ESET Research (Anton Cherepanov et Peter Strýček), cet article analyse une intrusion en deux phases contre une entreprise ukrainienne de logistique céréalière, impliquant une collaboration entre deux groupes alignés sur la Russie : UAC-0099 et Sandworm. 📅 Chronologie de l’intrusion 16 juillet 2025 (06:59) : UAC-0099 obtient un accès initial via un email de spearphishing avec pièce jointe malveillante. Une tâche planifiée nommée pdfopentask exécute un payload PowerShell depuis %temp%\temporarydoc.txt. 16 juillet 2025 (07:00) : Déploiement de MATCHBOIL (downloader), qui télécharge MATCHWOK (backdoor, C&C : https://uztickets.com) depuis https://egyptanimals.com/animals/photoalbum. 17 juillet 2025 (09:28) : Déploiement de MythicRatatoskr sur la machine compromise, puis propagation latérale via un serveur OpenSSH SFTP. Période intermédiaire : Déploiement d’un serveur SOCKS5 via MythicRatatoskr (extrait d’une archive WinRAR). 17 septembre 2025 : Sandworm exécute une attaque de data-wiping via l’utilitaire SDelete déployé par Active Directory Group Policy. 🦠 MythicRatatoskr – Analyse technique Langage : Go Développement estimé : entre décembre 2024 et février 2025 Particularité : utilise le réseau mesh décentralisé Yggdrasil pour joindre son serveur C&C, rendant la détection réseau difficile Communication : HTTPS sur port 443 vers un nœud Yggdrasil, via des requêtes HTTP POST JSON avec 4 types de messages : checkin, tasking, result, getfile Persistance : service Windows nommé ieupdate Délai de démarrage : certains échantillons incluent un délai de 10 minutes pour éviter la détection Fonctions clés : CheckInAgent, agent_run, init_agent, saveConfig, getTasks, doTask, upload, download, screencat, shell, manageProxy Basé sur : le projet open source yggstack (pas besoin de privilèges pour créer une interface tunnel) Variante Linux : des indices suggèrent l’existence d’une variante Linux 🏗️ Infrastructure réseau Le C&C est hébergé à l’intérieur du réseau Yggdrasil (IPv6 décentralisé, chiffrement E2E via clés Ed25519, plage 200::/7) MythicRatatoskr embarque une liste encodée en base64 de pairs publics Yggdrasil et en sélectionne 3 aléatoirement pour rejoindre le réseau Yggdrasil n’est pas conçu pour l’anonymat mais offre résilience et difficulté de perturbation 🎯 Attribution UAC-0099 : groupe de cyberespionnage actif depuis 2022, ciblant organisations gouvernementales, institutions financières et médias ukrainiens ; aligné avec les intérêts russes (confiance moyenne) ; peut agir comme initial access broker pour Sandworm Sandworm : attribué à l’Unité 74455 du GRU ; connu pour NotPetya (2017), Industroyer, Olympic Destroyer ; très actif en Ukraine depuis février 2022 La remise d’accès UAC-0099 → Sandworm s’inscrit dans un pattern de coopération entre groupes russes (ex : Gamaredon × Turla, Gamaredon × InvisiMole) 📄 Type d’article Analyse technique et rapport d’incident détaillé publié par ESET Research, visant à documenter un nouveau backdoor, son infrastructure C&C innovante et la collaboration inter-groupes entre acteurs alignés sur la Russie. ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

🔍 Contexte Cisco Talos publie le 9 septembre 2026 une analyse de menace active portant sur l’exploitation de deux vulnérabilités dans Cisco Secure Firewall Management Center (FMC) Software. L’article documente trois clusters d’activité post-compromission distincts associés à des acteurs étatiques et cybercriminels. 🚨 Vulnérabilités exploitées CVE-2026-20079 (CVSS 10.0) : Bypass d’authentification critique permettant à un attaquant non authentifié d’exécuter des scripts et d’obtenir un accès root sur le système sous-jacent. CVE-2026-20316 (CVSS 5.3) : Permet à un attaquant distant de se connecter avec un compte à faibles privilèges ; utilisable en chaîne avec d’autres vulnérabilités pour élever les privilèges. 👥 Cluster #1 : UAT-12197 Exploitation de CVE-2026-20079 suivie du dépôt d’un web shell JSP (home.jsp) dans le répertoire webroot Tomcat de CSM. Un fichier JAR malveillant (cmd.jar) est ensuite déposé pour interroger les bases de données internes et exfiltrer les credentials utilisateurs via OmniQuery.pl. ...

📰 Source : Security Affairs (Pierluigi Paganini), publié le 3 septembre 2026. L’article s’appuie sur un rapport de DomainTools et une investigation menée par un consortium international de médias (The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare, FRONTSTORY.PL). 🏫 Contexte : Plus de 2 000 documents internes de l’Université Technique d’État de Moscou Bauman (MSTU Bauman) ont été analysés. Ces fichiers couvrent des dossiers académiques et administratifs jusqu’en 2025. Un utilisateur DarkForums connu sous le pseudonyme “Losyash” est suspecté d’avoir partagé les données, sans confirmation définitive. ...

🔍 Contexte Publié le 26 août 2026 par DomainTools Investigations (DTI), ce rapport analyse une fuite de données concernant le Département No. 4 (Кафедра № 4) du Centre de Formation Militaire de l’Université Technique d’État Bauman de Moscou. Les documents ont été examinés par un consortium international incluant The Insider, The Guardian, Le Monde, Der Spiegel, Delfi et VSquare. DTI a analysé séparément les 1 600 fichiers (1,8 Go) distribués via le forum darknet DarkForums RU par un compte nommé ‘Losyash’, créé le 25 juin 2026. ...

📋 Contexte : ESET Research publie son rapport semestriel H1 2026 (décembre 2025 – mai 2026), couvrant les grandes tendances du paysage des menaces observées via sa télémétrie mondiale. 🤖 Menaces liées à l’IA ESET a analysé près de 900 000 skills d’IA issus de dépôts populaires entre mars et mai 2026 : 25 000 ont été jugés suspects et plus de 3 000 bloqués comme malveillants. Ces composants peuvent être abusés pour exfiltrer des données, télécharger des malwares, injecter du code ou modifier le comportement d’un agent IA dans le temps. Des skills malveillants intégraient des outils offensifs comme Impacket, Mimikatz et BloodHound. ...

📅 Source et contexte : Rapport de threat intelligence publié le 25 juin 2026 par DomainTools Intelligence (DTI), couvrant les opérations cyber étatiques et para-étatiques ciblant les systèmes d’eau et d’assainissement entre 2024 et 2026. 🎯 Contexte stratégique : Les systèmes d’eau et d’assainissement sont devenus des cibles privilégiées de la guerre hybride en raison de leur sous-investissement chronique en cybersécurité OT, de l’exposition internet de leurs PLCs et HMIs, et de leur valeur psychologique et politique disproportionnée. Les trois acteurs étatiques majeurs (Iran, Russie, Chine) convergent vers la même doctrine : utiliser ces infrastructures civiles comme leviers de pression sans franchir le seuil du conflit ouvert. ...

🗓️ Contexte Publié le 24 juin 2026 par Dataminr (auteur : Joseph Slowik, Director of Threat Research and Cyber Engineering), cet article analyse l’ajout de CVE-2025-67038 au catalogue KEV (Known Exploited Vulnerabilities) de la CISA le 23 juin 2026, aux côtés de trois vulnérabilités affectant la plateforme Ubiquiti. 🔍 Vulnérabilité concernée CVE-2025-67038 : vulnérabilité d’injection de code / exécution de commandes arbitraires dans la plateforme Lantronix EDS5000 Le Lantronix EDS5000 est un convertisseur série-ethernet utilisé dans l’automatisation industrielle et les environnements OT/IoT Ces dispositifs constituent des points de passage critiques (choke points) pour les opérations cyber-physiques L’ajout au KEV confirme une exploitation active documentée ⚠️ Implications opérationnelles Exploitation possible entraînant une perte ou un déni de contrôle sur des équipements industriels ou d’automatisation en aval Les environnements industriels à haute disponibilité ne peuvent généralement pas appliquer des correctifs hors fenêtre de maintenance planifiée Des mesures compensatoires sont nécessaires dans l’immédiat 🏴‍☠️ Précédents d’acteurs étatiques 2015 – Ukraine : Sandworm (GRU russe) a attaqué des sous-stations de distribution électrique, développant un payload de firmware malveillant pour « bricker » des convertisseurs série-ethernet, induisant une perte de contrôle et compliquant la restauration ~2025 – Pologne : Berserk Bear (FSB russe) a exploité des identifiants par défaut sur des convertisseurs série-ethernet dans des entités industrielles polonaises pour les réinitialiser en paramètres d’usine, modifier les identifiants et les adresses IP, rendant les équipements inaccessibles 📌 Type d’article Analyse de menace à visée opérationnelle, destinée aux équipes de sécurité industrielle et OT, visant à contextualiser l’ajout au KEV CISA et à évaluer le niveau de risque cyber-physique associé à CVE-2025-67038. ...

🗞️ Contexte Article publié le 7 mai 2026 par The Guardian, dans le cadre d’une enquête exclusive menée par un consortium de six médias (Guardian, Der Spiegel, Le Monde, The Insider, Delfi, VSquare), basée sur plus de 2 000 documents internes de l’université Bauman de Moscou couvrant plusieurs années d’activité jusqu’en 2025. 🏫 Le programme secret : Département 4 Au sein de l’université Bauman Moscow State Technical University, un département confidentiel baptisé Département 4 (ou « Special Training ») forme discrètement des étudiants sélectionnés pour intégrer le GRU (Direction du renseignement militaire russe). Ce département est divisé en trois filières spécialisées, dont la principale porte le code 093400 intitulée « Special Reconnaissance Service ». ...

🗓️ Contexte Source : The Record Media, publié le 15 avril 2026. L’information est rapportée lors d’une conférence de presse à Stockholm par Carl-Oskar Bohlin, ministre suédois de la défense civile, en référence à un incident survenu au printemps 2025. 🎯 Incident Un groupe de hackers suspecté d’être pro-russe a tenté de perturber les opérations d’une centrale thermique située dans l’ouest de la Suède. La tentative d’intrusion a échoué grâce aux protections de sécurité intégrées de l’installation. Le nom de la centrale n’a pas été divulgué. ...