Wiper

📰 Source : Zero Day (Kim Zetter) — Date de publication : 24 avril 2026 En décembre 2025, PDVSA (Petróleos de Venezuela), la compagnie pétrolière d’État vénézuélienne, a été victime d’une cyberattaque survenue le 13 décembre 2025. L’entreprise a reconnu l’incident le 15 décembre, minimisant son impact sur les opérations. Des rapports ultérieurs ont cependant indiqué des perturbations significatives des exportations pétrolières et une atteinte aux systèmes SCADA gérant les raffineries, usines de compression et pipelines. ...

🔍 Contexte Publié le 21 avril 2026 par Kaspersky GReAT sur Securelist, cet article présente l’analyse technique d’une campagne de destruction de données ciblant le secteur de l’énergie et des utilities au Venezuela, dans un contexte de tensions géopolitiques dans la région des Caraïbes fin 2025 / début 2026. Les artefacts ont été découverts sur une ressource publique en mi-décembre 2025. 🎯 Nature de la menace La menace est un wiper (et non un ransomware) : aucune demande de rançon ni mécanisme d’extorsion n’a été identifié. L’objectif est la destruction irréversible des données. Le wiper, compilé fin septembre 2025, n’avait jamais été observé auparavant, indiquant une préparation de plusieurs mois. ...

🔍 Contexte Publié le 28 avril 2026 par Check Point Research (CPR), cet article présente une analyse technique approfondie du ransomware VECT 2.0, un service Ransomware-as-a-Service (RaaS) apparu pour la première fois en décembre 2025 sur un forum cybercriminel russophone. CPR a obtenu un accès au panneau d’affiliation et au builder via un compte BreachForums. 🧩 Présentation de VECT VECT est un ransomware écrit en C++, ciblant trois plateformes : Windows, Linux et VMware ESXi. La version 2.0 a été publiée en février 2026. Le groupe a annoncé des partenariats avec : ...

🔍 Contexte Publié le 30 mars 2026 par OpenSourceMalware.com, cet article constitue une rétrospective complète de la campagne supply chain orchestrée par TeamPCP en mars 2026. L’attaque a débuté par un incident de moindre ampleur en février 2026 et s’est transformée en la compromission en cascade de cinq écosystèmes majeurs en l’espace de cinq jours. 🎭 Acteur de la menace TeamPCP (alias DeadCatx3, PCPcat, ShellForce) est un groupe à motivation financière, spécialisé dans les environnements cloud-native. Il est lié à l’opération de ransomware CipherForce et entretient des liens de coordination confirmés avec LAPSUS$, selon le CTO de Mandiant Charles Carmakal lors de la RSA Conference. Le groupe est suivi par Aikido Security, Socket, Wiz, Flare et d’autres. ...

Le groupe hacktiviste pro-palestinien Handala, lié à l’Iran, a compromis les credentials Global Admin de Stryker Corporation pour déclencher un wipe massif via Microsoft Intune le 11 mars 2026. 🗓️ Contexte Source : ThreatHunter.ai, publié le 21 mars 2026. L’article analyse l’attaque destructrice menée par Handala contre Stryker Corporation, fabricant américain de dispositifs médicaux, dans la nuit du 11 mars 2026. 💥 Déroulement de l’attaque Les attaquants ont compromis l’environnement Microsoft Entra ID de Stryker et obtenu des credentials Global Administrator. Ils ont ensuite émis des commandes de wipe à distance en masse via Microsoft Intune, la plateforme MDM cloud de l’entreprise. L’attaque a débuté juste après minuit EDT et a touché : ...

Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025 au moins 30 fermes éoliennes/solaires, une grande centrale de cogénération (CHP) et une entreprise manufacturière en Pologne. Les opérations ont touché à la fois l’IT et l’OT, sans demande de rançon, et ont été conduites par un même acteur. • Cible et impact OT (renouvelables) ⚡️ Perte de communication entre les sites et les DSOs via le GCP; production non interrompue mais risque de perturbation. Vecteur: dispositifs FortiGate exposés (SSL‑VPN sans MFA, comptes statiques), réinitialisés usine pour effacer les traces. Actions: exploitation d’identifiants par défaut et interfaces locales pour endommager l’OT: Hitachi RTU560: connexion web avec compte “Default”, téléversement de firmware corrompu (ELF modifié) causant boucle de reboot; sécurisation de mise à jour non activée ou contournée (CVE‑2024‑2617; corrigé en 13.7.7). Mikronika RTUs: SSH root par défaut, suppression massive de fichiers. Hitachi Relion 650 v1.1 (IEDs): FTP par défaut pour supprimer des fichiers critiques → arrêt irréversible. Mikronika HMI (Win10): RDP via admin local connu, ouverture SMB/445, Impacket, déploiement de DynoWiper. Moxa NPort 6xxx: reset usine, mot de passe changé, IP mise à 127.0.0.1 pour retarder la reprise. • Intrusion et tentative de sabotage IT (CHP) 🏭 ...

Selon Zero Day (Kim Zetter), une opération de cyberattaque visant le réseau énergétique polonais fin décembre a employé un malware de type wiper — baptisé DynoWiper par ESET — dans une tentative délibérée de provoquer des coupures de courant et des perturbations de services, finalement déjouée par les autorités polonaises. 🎯 Cibles: deux centrales chaleur-électricité et un système de gestion de l’électricité renouvelable (éolien, solaire), au sein de la chaîne production + distribution. 💥 Type d’attaque: wiper (effacement/sabotage de fichiers critiques pour rendre les systèmes inopérants). ⚠️ Impact potentiel: jusqu’à 500 000 personnes privées d’électricité selon les autorités, mais aucune interruption constatée. ESET, qui a obtenu un échantillon du malware et l’a nommé DynoWiper, qualifie l’opération d’inédite en Pologne par son intention disruptive/destructive. Bien que l’attaque ait été neutralisée à temps, les chercheurs estiment qu’elle aurait pu être substantielle si elle avait abouti. Les autorités polonaises et ESET attribuent avec une confiance moyenne l’opération à Sandworm (lié au GRU), en raison de tactiques et techniques similaires à des campagnes de wipers en Ukraine. ...

Selon Ars Technica, s’appuyant sur une analyse d’ESET et des informations de Reuters, une tentative d’attaque fin décembre a visé le réseau électrique polonais. L’opération visait les communications entre des installations d’énergies renouvelables et les opérateurs de distribution, mais a échoué à interrompre l’alimentation électrique. ESET indique que l’outil employé était un wiper 🧹, un malware conçu pour effacer de façon permanente du code et des données, avec pour objectif de détruire les opérations. L’étude des TTPs a conduit les chercheurs à attribuer vraisemblablement l’attaque au groupe étatique russe Sandworm ️. ...

Selon BleepingComputer, deux paquets NPM malveillants présentés comme des outils de développement pour WhatsApp ont été découverts avec un code destructeur capable d’effacer des données sur les postes des développeurs. ⚠️ Les paquets usurpent l’identité d’outils liés à WhatsApp et contiennent un code de type wiper qui supprime récursivement les fichiers. L’objectif apparent est la destruction de données sur les environnements de développement. Impact: les machines des développeurs qui installent ces paquets sont exposées à une perte de données significative du fait de la suppression en profondeur des fichiers. ...

L’article, publié par Trend Micro, examine l’émergence du ransomware Anubis, un groupe de ransomware-as-a-service (RaaS) qui se distingue par sa capacité à non seulement chiffrer les fichiers, mais aussi à les détruire définitivement. Anubis est actif depuis décembre 2024 et a ciblé plusieurs secteurs, notamment la santé et la construction, dans des régions comme l’Australie, le Canada, le Pérou et les États-Unis. Le groupe utilise une approche d’extorsion double, combinant le chiffrement des données avec une fonction de destruction de fichiers qui rend la récupération impossible, même si la rançon est payée. ...