Storm-2603

🔍 Contexte Publié le 5 novembre 2026 par Kaspersky (Securelist), cet article présente une analyse technique détaillée d’une intrusion attribuée avec confiance modérée à Storm-2603, un acteur de menace suivi par Microsoft. L’incident a été identifié rétrospectivement en décembre 2025 lors d’une analyse d’un client Kaspersky. 🎯 Vecteur d’accès initial L’attaque a exploité CVE-2025-53770 et CVE-2025-53771 (vulnérabilités dites « ToolShell ») affectant Microsoft SharePoint on-premises, permettant une exécution de code à distance via des requêtes HTTP forgées ciblant le composant ToolPane. ...

🌐 Contexte Symantec (Broadcom) publie le 1er octobre 2026 une analyse technique détaillée des activités récentes du groupe Longlegs (alias Storm-2603, anciennement associé aux clusters CL-CRI-1040, CamoFei et ChamelGang), un acteur à nexus chinois responsable du ransomware Warlock, apparu en juin 2025. 🎯 Ciblage Au cours des deux derniers mois précédant la publication, Longlegs a compromis au moins quatre organisations dans des pays lusophones et hispanophones (Europe, Afrique, Amérique latine) : ...

📋 Contexte : Publié en octobre 2026 par Microsoft, le Microsoft Digital Defense Report (MDDR) couvre la période juillet 2025 – juin 2026. Il s’appuie sur plus de 165 trillions de signaux de sécurité quotidiens, 15 000+ partenaires et 35 000 ingénieurs sécurité. Ce rapport constitue une rétrospective annuelle majeure de l’état de la cybersécurité mondiale. 🤖 L’IA transforme la physique de la cybersécurité L’IA compresse les délais d’attaque, réduit le coût des capacités offensives et permet aux attaquants d’opérer à grande échelle et de manière autonome. Parmi les évolutions majeures : ...

📋 Contexte : L’ENISA (Agence de l’Union européenne pour la cybersécurité) a publié en septembre 2026 son rapport annuel ETL 2026 (ENISA Threat Landscape 2026), couvrant la période du 1er janvier au 31 décembre 2025. Le rapport repose sur l’analyse de 8 257 incidents collectés depuis des sources ouvertes et des informations anonymisées partagées par les États membres de l’UE. 🎯 Principaux types d’incidents : Les attaques DDoS représentent 51,3 % des incidents enregistrés, suivies des accès non autorisés (39,5 %). Parmi les techniques d’ingénierie sociale, le phishing domine à 77,8 %, suivi du malspam (13 %). L’exploitation de vulnérabilités (N-day et 0-day) constitue 60,4 % des vecteurs d’intrusion identifiés dans les cas d’accès non autorisé. ...

📋 Contexte : Le CERT-EU, service de cybersécurité des institutions, organes et agences de l’Union européenne, publie le 8 avril 2026 son rapport annuel sur le paysage des menaces cyber pour l’année 2025 (TLP:CLEAR). Ce rapport s’appuie sur l’analyse des activités malveillantes d’intérêt (MAI) collectées tout au long de 2025, avec une expansion significative de l’usage de l’automatisation et de l’IA dans les processus de surveillance. 🎯 Acteurs et origines : En 2025, 174 acteurs malveillants distincts ont été identifiés (contre 110 en 2024). Les activités liées à la Chine représentent 37% des MAI attribuées, suivies par la Russie (32%), la Corée du Nord (11%) et l’Iran (7%). Les acteurs liés à la Chine ont principalement exploité des vulnérabilités et des compromissions de chaîne d’approvisionnement. Les acteurs liés à la Russie ont ciblé prioritairement les entités soutenant l’Ukraine. ...

Selon Unit 42, un acteur de menace, identifié comme Storm-2603, exploite des vulnérabilités SharePoint à travers un ensemble d’activités nommé CL-CRI-1040. Ce groupe utilise un outil de malware sophistiqué appelé Project AK47, démontrant une motivation financière. Le malware Project AK47 comprend plusieurs composants, notamment le cheval de Troie AK47C2 qui utilise les protocoles DNS et HTTP pour communiquer, ainsi que le rançongiciel AK47/X2ANYLOCK qui emploie le chiffrement AES/RSA et ajoute l’extension .x2anylock aux fichiers compromis. Le malware intègre des mécanismes de chargement de DLL et utilise une clé XOR codée en dur ‘VHBD@H’. ...