INC Ransomware revendique 3,5 To volés à Wall Street English et menace une fuite de passeports et pièces d’identité... avant de disparaitre !...

ZATAZ repère un "EDR killer" vendu sur un forum russophone, avec driver signé 2025, pour 3 000 $....

Ransomware 2025–2026 : concentration extrême, domination de Qilin et reflux cyclique en janvier sans déclin structurel....

À l’approche de 2026, la cybersécurité entre dans une phase de rupture. Entre disparition progressive du crypto-ransomware, montée en puissance de l’IA autonome et pression réglementaire accrue, les organisations devront faire face à des menaces plus rapides, plus intelligentes et plus difficiles à anticiper. Voici les tendances majeures qui façonneront l’année à venir.

Le crypto-ransomware voué à disparaître

 En 2026, le crypto-ransomware va disparaître progressivement, les cybercriminels abandonnant le chiffrement pour se concentrer sur le vol de données et l’extorsion. Les organisations ont nettement amélioré leurs capacités de sauvegarde et de restauration, ce qui leur permet désormais de se remettre d’une attaque de crypto-ransomware sans avoir à payer les rançons exigées.

Les cybercriminels préfèrent donc voler les données, menacer de les divulguer et même signaler les victimes aux régulateurs ou aux assureurs pour renforcer la pression. Le chiffrement ne rapporte plus : la véritable arme devient désormais l’exposition.

Les obligations de reporting du CRA encouragent enfin les principes de « Secure by Design »

En 2026, le Cyber Resilience Act (CRA) de l’Union européenne deviendra la force motrice qui poussera l’adoption généralisée des principes de sécurité intégrée dès la conception des produits. Avec une première phase d’application prévue pour septembre prochain, les éditeurs souhaitant vendre dans l’UE devront déclarer toute vulnérabilité exploitée activement ou tout incident de sécurité dans un délai de 24 heures – la contrainte de reporting la plus exigeante à ce jour.

Le déploiement initial du CRA risque d’être complexe, notamment car il est difficile pour les entreprises de détecter elles-mêmes les vulnérabilités dans leurs produits. Mais le CRA aura en revanche un impact fort à long terme en devenant un incitatif durable pour intégrer la sécurité dès les premières étapes de développement. Par ailleurs, les réglementations mondiales qui se superposent mettront en lumière des contradictions et des cadres divergents, forçant les organisations à naviguer dans un écosystème de conformité de plus en plus complexe.

Première faille de sécurité réalisée de bout en bout par une IA autonome

En 2025, nous prévoyions que les outils IA multimodaux seraient capables d’exécuter chaque étape de la « kill chain » d’un attaquant — ce qui s’est confirmé. En 2026, l’IA ne se contentera plus d’assister les cybercriminels : elle attaquera seule.

Du renseignement initial au scan de vulnérabilités, en passant par les mouvements latéraux et l’exfiltration de données, ces systèmes autonomes seront capables d’orchestrer une compromission complète à la vitesse machine.

Ce premier incident entièrement exécuté par l’IA sonnera comme une alerte pour les défenseurs ayant sous-estimé la vitesse à laquelle les IA génératives évoluent d’outils à véritables opérateurs. Les mêmes technologies qui permettent aux entreprises d’automatiser leurs workflows de sécurité sont désormais utilisées pour les surpasser. Les organisations devront combattre le feu par le feu : seules des solutions de défense basées sur l’IA, capables de détecter, analyser et réagir aussi vite que les IA adverses, pourront tenir le rythme.

Le déclin des VPN traditionnels favorisera l’essor du Zero Trust Network Architecture (ZTNA)

Les VPN traditionnels et outils d’accès à distance sont parmi les cibles préférées des attaquants, notamment à cause de la perte, du vol ou de la réutilisation des identifiants et du manque récurrent de MFA.

La sécurité technique d’un VPN importe peu : si un attaquant peut se connecter en se faisant passer pour un utilisateur légitime, il accède par défaut à l’ensemble des ressources internes.

Au moins un tiers des compromissions en 2026 sera lié à des faiblesses ou erreurs de configuration des outils d’accès distant et VPN hérités. Les acteurs malveillants ciblent activement les ports d’accès VPN depuis deux ans, en volant des identifiants ou en exploitant des vulnérabilités propres à certains produits.

Conséquence : 2026 sera également l’année où les PME commenceront à adopter massivement les solutions ZTNA, qui éliminent la nécessité d’exposer un port VPN potentiellement vulnérable sur Internet. Le fournisseur ZTNA prend en charge la sécurisation du service via sa plateforme cloud, et l’accès n’est plus global : chaque groupe d’utilisateurs n’obtient que l’accès strictement nécessaire aux ressources internes dont il a besoin, limitant ainsi l’impact potentiel en cas de compromission.

L’expertise en IA devient incontournable pour les professionnels de la cybersécurité

Nous sommes à l’aube d’une nouvelle ère où l’attaque et la défense se joueront sur un terrain dominé par l’IA. Les attaquants testent déjà des outils automatisés, adaptatifs et auto-apprenants ; les défenseurs incapables d’égaler ce niveau de vitesse et de précision seront dépassés avant même de comprendre qu’ils sont ciblés.

Pour survivre, les experts en sécurité devront aller au-delà d’une simple compréhension de l’IA et viser la maîtrise de ses capacités, l’utiliser pour automatiser la détection et la réponse, tout en anticipant les nouvelles vulnérabilités qu’elle crée. D’ici l’an prochain, la maîtrise de l’IA ne sera plus un atout, mais un prérequis : les recruteurs chercheront désormais des profils capables de démontrer des applications concrètes de l’IA dans la défense cyber.

En 2026, la cybersécurité entre dans un cycle où les anciennes certitudes ne tiennent plus. La disparition progressive du crypto-ransomware, la montée de l’IA autonome, la pression réglementaire et l’adoption massive du Zero Trust redéfinissent l’équilibre entre attaque et défense.

Les organisations n’auront plus le luxe d’attendre : seules celles capables d’intégrer l’IA, d’anticiper les nouvelles obligations et de repenser leurs architectures pourront conserver une longueur d’avance. L’année à venir ne sera pas seulement un tournant technologique, mais un test de résilience pour l’ensemble de l’écosystème numérique.

*Marc Laliberté est directeur des opérations cybersécurité de WatchGuard Technologies

The post { Tribune Expert } – Fin du ransomware, essor de l’IA autonome : 2026 change les règles du jeu appeared first on Silicon.fr.

Akira : près de 250 millions de dollars de rançons, un héritage Conti et une offensive coordonnée FBI–CISA–Europol contre ses attaques via VPN et accès à distance....

Qilin revendique le piratage de la Scientologie et d’entreprises, exposant données internes, sécurité d’événements et enjeux d’extorsion sur fond de renseignement....

Au-delà d’Hyper-V et d’ESXi, Akira a aussi chiffré des VM Nutanix.

Le bulletin que la CISA consacre à ce ransomware vient d’être mis à jour pour intégrer cette information… entre autres.

La version initiale datait d’avril 2024. Un an et demi plus tard, les techniques ont évolué sur toute la ligne, de l’accès initial à l’extorsion. Quant au chiffrement de VM Nutanix*, il a été constaté dans le cadre d’un incident survenu en juin 2025. Au début de la chaîne d’attaque, il semble y avoir eu la faille CVE-2024-40766 (contrôle d’accès défaillant dans les pare-feu SonicWall).

Des accès initiaux via Veeam

La version d’avril 2024 évoquait un accès initial via des VPN sans MFA. Essentiellement de marque Cisco, était-il précisé, avec deux vulnérabilités citées. L’une et l’autre localisées dans l’interface web d’ASA (Adaptitve Security Appliance) et de FTD (Firepower Threat Defense). La première (CVE-2020-3259) permet de récupérer du contenu en mémoire sans authentification. La deuxième (CVE-2023-20269) ouvre la voie à des attaques de force brute ou à la mise en place de sessions VPN SSL avec un utilisateur non autorisé.

D’après la nouvelle version du bulletin, à laquelle a contribué l’OFAC (Office anti-cybercriminalité français), l’arsenal d’accès initial s’est diversifié. Avec notamment :

• CVE-2020-3580, autre vulnérabilité sur l’interface web d’ASA et FTD, permettant un XSS sans authentification
• CVE-2023-28252, faille dans le CLFS (service de journalisation Windows utilisé par les programmes s’exécutant en mode utilisateur ou noyau), utilisée pour l’élévation de privilèges
• CVE-2024-37085 (contournement d’authentification dans ESXi via Active Directory)
• CVE-2023-27532 et CVE-2024-40711, qui touchent toutes les deux Veeam Backup & Replication (la première permet d’exfiltrer des authentifiants chiffrés depuis la base de données de config ; la deuxième ouvre la porte à une RCE par désérialisation de données malicieuses)

Zemana AntiMalware détourné pour stopper les antivirus

Sur la phase de reconnaissance, la mise à jour du bulletin ajoute peu d’éléments. Sinon l’utilisation de nltest /dclist: et de nltest /DOMAIN_TRUSTS.

Parmi les outils dont se servent les affiliés d’Akira figurent NetScan, Advanced IP Scanner et SoftPerfect. Mimikatz et LaZagne aussi, pour récupérer des authentifiants.

La version initiale signalait le recours à un outil légitime (Zemana AntiMalware) pour stopper les processus liés à des antivirus.

La mise à jour y ajoute l’exploitation d’outils d’accès distant tels AnyDesk et LogMeIn pour établir une persistance et se fondre dans l’activité admin.

La protection des disques virtuels neutralisée

La version initiale du bulletin apportait peu d’informations sur la manière dont les affiliés d’Akira obtenaient des privilèges.

La mise à jour en dit davantage, entre exploitation de services comme Veeam.Backup.MountService.exe et ajout de nouveaux comptes utilisateurs au groupe admin.
Elle mentionne un incident dans lequel la protection VMDK a été contournée en éteignant temporairement la VM du contrôleur de domaine. Les VMDK ont alors été copiés et attachés à une nouvelle VM. Cela a permis d’extraire le fichier NTDS.dit et la hive SYSTEM (groupe logique de clés, sous-clés et valeurs de registre) ; pour, au bout, compromettre un compte d’administrateur de domaine.

Un chiffrement hybride et personnalisable

Quantité d’outils ont été mis à profit pour l’exfiltration de données. 7-zip et WinRAR en font partie, comme FileZilla, RClone et WinSCP.

Pour établir des canaux de commande et de contrôle, AnyDesk, Cloudflare Tunnels, MobaXterm, Ngrok et RustDesk ont été mis à contribution.

Dans certain cas, à peine 2 heures se sont écoulées entre l’accès initial et l’exfiltration.

Le schéma de chiffrement utilisé par Akira était pour l’essentiel déjà établi en avril 2024. Hybride, il associe un cipher ChaCha20 et un système à clé RSA publique. L’ensemble permet un chiffrement total ou partiel, tout en le personnalisant selon le type et la taille de fichiers.

Afin de compliquer la récupération et l’analyse forensique, des commandes PowerShell sont utilisées pour supprimer les copies VSS.

Des options pour ne cibler que les VM

La première version d’Akira était écrite en C++. Sa deuxième incarnation, repérée à l’été 2023, est écrite en Rust. Elle est dotée d’une couche de protection supplémentaire compliquant l’analyse dynamique. Ainsi que d’une gestion des threads, améliorant l’efficacité du processus de chiffrement. Elle peut par ailleurs être déployée exclusivement contre les VM (paramètre vmonly) et stopper ces dernières (stopvm).

Akira est associé aux groupes connus sous le nom de Gold Sahara, Howling Scorpius, Punk Spider et Storm-1567. Il pourrait avoir des liens avec feu Conti.

* Lors d’une récente conférence, Gartner a prédit qu’à l’horizon 2028, 35 % des workloads VMware seraient passés sur une autre plate-forme. Le cabinet américain a suggéré d’envisager en premier lieu Nutanix. Pas tant pour les prix que pour les capacités fonctionnelles.

Illustration générée par IA

The post Akira : l’évolution d’un ransomware qui chiffre jusqu’aux VM Nutanix appeared first on Silicon.fr.

Entre Ngrok et Pinggy, pas de jaloux : les attaquants qui s’en sont pris au centre hospitalier Stell de Rueil-Malmaison ont exploité l’un et l’autre de ces services de tunneling.

C’était en mars dernier. Au bout, le déploiement d’un ransomware qui avait chiffré des serveurs Windows. La gestion administrative des patients, entre autres, s’en était trouvée indisponible pendant un temps. Des données personnelles ont par ailleurs possiblement été exfiltrées.

Un compte de test admin de domaine

Le point d’entrée fut un ancien compte de test, réactivé le 4 mars 2025 pour un audit Wi-Fi. Ce compte au mot de passe faible avait des privilèges d’admin de domaine et disposait d’un accès VPN.

L’accès initial, via ce vecteur, a lieu le 17 mars (un lundi). Le 22, une latéralisation est mise en œuvre par connexion RDP sur le contrôleur de domaine. Un mécanisme de persistance est ensuite déployé, en ajoutant Pinggy pour établir une connexion SSH sur le port 443.

Vendredi 28 mars, un canal est mis en place entre le contrôleur de domaine et le serveur de l’attaquant grâce à Ngrok. Le même jour, le ransomware est déployé et exécuté. Le lendemain, les traces de l’attaque sur les systèmes sont supprimées.

Le CH de Rueil-Malmaison passe au tiering AD

Le chiffrement n’est constaté que lundi 31 mars. À partir de là, les flux VPN sont coupés ; les serveurs impactés, isolés. Le lendemain, les sauvegardes sont mises hors réseau en vérifiant leur intégrité. L’ANSSI et le CERT Santé se déplacent sur site.

Le 2 avril, l’analyse des serveurs compromis démarre. Et du matériel (postes, clés 4G…) est demandé à l’ARS.

La reconstruction AD débute le 7, parallèlement à la fin des analyses. Le 10, la bascule est achevée. Le service de sauvegarde est relancé, les services métiers impactés sont restaurés et une formation d’administration sécurisée est dispensée.

La période d’avril-mai est marquée par le rétablissement progressif des services RH et d’admission, ainsi que le déploiement de nouveaux postes. Entre juin et septembre, un modèle par niveaux de privilège est mis en place pour l’AD.

Illustration générée par IA

The post Comment un ransomware s’est infiltré au CH Rueil-Malmaison appeared first on Silicon.fr.

Aleksey Volkov plaide coupable pour son rôle dans les attaques Yanluowang. Enquête sur le marché noir des accès initiaux et la désinformation dans le cybercrime....

Un étudiant de 19 ans condamné à quatre ans pour la cyberattaque mondiale contre PowerSchool....

Trois experts américains en cybersécurité accusés d’avoir exploité le ransomware BlackCat pour extorquer cinq entreprises entre 2023 et 2025....

Un membre présumé de Conti extradé d’Irlande comparaît aux États-Unis, illustrant la coopération mondiale contre les groupes de rançongiciels liés à la Russie....

Akira revendique une attaque contre Apache OpenOffice et menace de publier 23 Go de données internes de la Fondation Apache....

Les attaques d’identité explosent selon Microsoft. ZATAZ analyse la hausse de 32 % des piratages liés aux mots de passe volés....