Depuis deux ans, les gros titres consacrés au piratage des équipements de périphérie (pare-feux, passerelles VPN, contrôleurs d’accès distant ) ont surtout mis en avant les groupes liés à la Chine et leurs cibles de prédilection, Ivanti, Fortinet ou Palo Alto Networks.

Une étude conjointe de Tenable et SentinelOne vient nuancer ce récit.

Les deux éditeurs américains ont croisé deux bases de données constituées indépendamment. L’une est issue de la télémétrie d’exposition de Tenable sur des milliers d’environnements clients quand l’autre est tirée des enquêtes de réponse à incident (DFIR) menées par SentinelOne.

Leur conclusion souligne que loin d’être l’apanage d’un seul type d’attaquant, l’infrastructure edge est devenue un terrain de chasse commun à cinq catégories d’acteurs distinctes : la Chine, la Russie, la Corée du Nord, l’Iran et les groupes cybercriminels à motivation financière.

Une convergence à 79 % malgré des vulnérabilités différentes

Le point de départ de l’étude est contre-intuitif.

Au niveau des vulnérabilités et expositions communes (CVE), les deux jeux de données se recoupent très peu. Sur 82 CVE identifiées au total, seules 17, soit 21 %, apparaissent dans les deux corpus. Autrement dit, Tenable et SentinelOne ne regardaient, pour l’essentiel, pas les mêmes failles.

En revanche, au niveau des fournisseurs, la convergence est frappante.

Onze des quatorze éditeurs présents dans le corpus de Tenable se retrouvent également dans les dossiers d’intervention de SentinelOne, soit un taux de recoupement de 79 %.

Recentrée sur les seuls équipements edge et d’accès distant, cette convergence atteint 100 %. Les sept fournisseurs identifiés indépendamment par Tenable dans cette catégorie ( Fortinet, Citrix, Ivanti, Palo Alto Networks, Cisco, Juniper et VMware ) figurent tous dans les dossiers d’incidents traités par SentinelOne.

Pour les deux éditeurs, la portée de ce résultat dépasse le simple constat statistique.

Si les deux jeux de données avaient convergé sur les mêmes CVE précises, le message aurait été rassurant : corriger cette poignée de failles suffirait à limiter le risque.

Ce que montrent les chiffres est différent et plus difficile à traiter. Des acteurs étatiques et des groupes cybercriminels, agissant sans lien entre eux, trouvent chacun leur propre chemin d’accès chez les mêmes fournisseurs.

Corriger la CVE du trimestre ne retire pas un éditeur de la liste des cibles.

Douze failles exploitées à la fois par des Etats et des cybercriminels

L’étude a recensé 93 cas documentés d’exploitation de vulnérabilités par des acteurs de la menace, représentant une quarantaine de groupes identifiés.

Douze vulnérabilités y affichent une attribution dite « multi-nexus » confirmée avec le plus haut niveau de confiance méthodologique. Des preuves directes établissent qu’un acteur étatique et un acteur cybercriminel ont exploité, indépendamment l’un de l’autre, la même faille chez le même fournisseur.

Parmi les exemples cités figure une vulnérabilité zero-day des appliances SonicWall SMA1000. Elle a d’abord été exploitée par un groupe d’espionnage dont l’origine n’a pas pu être établie, avant d’être utilisée à son tour par les opérateurs du ransomware INC.

Le même scénario se retrouve avec une faille de PAN-OS GlobalProtect, le système de sécurité de Palo Alto Networks. Celle-ci a été exploitée par un acteur lié à la Chine, puis par les opérateurs du ransomware INC.

Autre exemple : une vulnérabilité de la plateforme Check Point Quantum a été exploitée séparément par un groupe chinois et par le groupe iranien Fox Kitten.

Au total, douze vulnérabilités présentent ce profil « multi-nexus ». Les huit autres concernent des produits de Fortinet, Citrix, Cisco et Ivanti.

Pour les auteurs de l’étude, cette convergence change la donne pour les entreprises. Une défense conçue pour contrer les groupes étatiques ne les protège pas nécessairement contre les cybercriminels : les uns comme les autres peuvent exploiter les mêmes vulnérabilités et franchir la même porte d’entrée.

F5, en tête de l’exposition ; Citrix, championne de la lenteur des correctifs

Sur le volet strictement technique, la télémétrie de Tenable, portant sur des milliers d’environnements clients, dresse un classement par fournisseur qui bouscule certaines idées reçues.

Malgré la forte exposition médiatique des vulnérabilités affectant ses équipements, Fortinet ne se classe qu’en milieu de tableau avec 24,9 % de ses environnements clients exposés à au moins une vulnérabilité activement exploitée. Un niveau proche de ceux de Check Point (18,6 %) et d’Ivanti (24,1 %).

Deux fournisseurs se distinguent nettement, mais pour des raisons opposées.

F5 affiche le taux d’exposition le plus élevé de l’étude parmi les échantillons statistiquement robustes : 53,8 % des 2 784 environnements clients surveillés utilisant des produits F5 présentaient au moins une vulnérabilité connue et activement exploitée, non corrigée.

Citrix, de son côté, ne domine pas en volume (28,8 % d’exposition) mais en durée. Le délai médian pour appliquer un correctif sur ses équipements atteint 461 jours, et 71 % des environnements concernés hébergent toujours une vulnérabilité non corrigée un an après sa divulgation.

Fortinet apparaît également comme le fournisseur ciblé par le plus grand nombre d’acteurs distincts : 29 groupes répartis dans les cinq catégories de nexus étudiées, contre 22 pour Citrix et 19 pour Ivanti.

Un cycle de failles quasi automatique chez Ivanti

L’étude souligne la récurrence des vulnérabilités activement exploitées dans les produits Ivanti. Sur la gamme EPMM, une nouvelle vulnérabilité de ce type est observée en moyenne tous les 8,5 mois, contre 13 mois pour la gamme Connect Secure.

Pour Tenable et SentinelOne, ce rythme rend la prochaine faille pratiquement inévitable et devrait inciter les entreprises utilisant ces produits à budgéter, dès aujourd’hui, la capacité de correction nécessaire pour l’année à venir.

Plus largement, l’étude constate que les vulnérabilités jugées les plus prioritaires ne sont pas corrigées plus vite que les autres, au contraire.

Sur une liste de 238 CVE hautement prioritaires suivies par Tenable, le délai médian de remédiation atteint 146 jours contre 122 jours pour l’ensemble des autres vulnérabilités.  Un écart que les auteurs qualifient de statistiquement significatif.

Les auteurs avancent plusieurs explications d’ordre opérationnel. La mise à jour d’un pare-feu ou d’une passerelle VPN peut entraîner une interruption de service pour les utilisateurs qui en dépendent. Ces équipements nécessitent également des opérations de maintenance et de validation spécifiques tandis qu’ils disposent rarement des mêmes agents de sécurité que les postes de travail et les serveurs.

Vol d’identifiants et mouvements latéraux : ce que montrent les enquêtes de terrain

Le volet SentinelOne de l’étude, tiré de missions réelles de réponse à incident, illustre concrètement ce que permet la compromission d’un équipement edge.

Lors de trois interventions distinctes impliquant des appliances FortiGate, des attaquants ont atteint le plan de gestion des équipements et créé des comptes administrateurs non autorisés. Dans deux de ces incidents, ils ont également exporté les configurations des appareils et extrait des identifiants qui pouvaient être utilisés pour progresser dans le réseau.

Un autre incident concerne une appliance Ivanti Cloud Services compromise fin 2024 par un acteur lié à la Chine. Celui-ci avait exploité deux vulnérabilités ( CVE-2024-8963 et CVE-2024-8190) en les chaînant avant la première divulgation publique de cette combinaison. Après avoir obtenu l’accès à l’équipement, l’attaquant a collecté des clés SSH et d’autres identifiants qui y étaient stockés.

Ces appliances ne produisant pas de télémétrie de sécurité classique, les enquêteurs ont dû reconstituer les intrusions à partir des journaux d’authentification et des traces laissées dans l’annuaire Active Directory — une difficulté qui, selon les auteurs, illustre le décalage entre la criticité de ces équipements et les moyens de détection dont ils disposent réellement.

Les recommandations des deux éditeurs

Tenable et SentinelOne formulent cinq recommandations pour les entreprises.

En priorité, corriger sans délai les équipements F5 et Citrix qui cumulent des niveaux d’exposition élevés et des délais de remédiation parmi les plus longs constatés.

Ensuite, réduire la surface d’attaque de ces appliances en désactivant les fonctions qui ne sont pas indispensables. Les deux éditeurs recommandent également de renforcer la protection des postes internes afin de limiter les mouvements latéraux d’un attaquant qui serait parvenu à compromettre le périmètre.

Les deux éditeurs recommandent également aux entreprises utilisant Ivanti Connect Secure ou EPMM de se préparer à une nouvelle vulnérabilité activement exploitée dans ces gammes au cours des douze prochains mois. Ils préconisent aussi de définir des délais de correction spécifiques aux équipements edge, plus courts que les standards généraux de l’entreprise.

Enfin, Tenable et SentinelOne recommandent de ne pas fonder la priorisation des correctifs sur le seul score CVSS. Une vulnérabilité présentant des signes d’exploitation active peut en effet avoir un score de sévérité modéré. Les entreprises doivent donc croiser plusieurs indicateurs, notamment la sévérité, les informations sur les menaces et le contexte des actifs concernés.

The post Etats et cybercriminels piratent les mêmes VPN et pare-feux appeared first on Silicon.fr.

Des chercheurs de Check Point Research ont identifié un nouvel épisode de l’opération « Dream Job », vaste campagne d’espionnage attribuée au groupe nord-coréen Lazarus.

Cette fois, les cyberattaquants ont combiné une ingénierie sociale particulièrement élaborée à l’exploitation d’une vulnérabilité jusque-là inconnue pour pénétrer les réseaux d’entreprises de la défense et de l’aérospatiale en Europe, en Inde et en Amérique du Sud.

Le mode opératoire repose sur de fausses propositions d’embauche censées émaner de grands noms du secteur, notamment Lockheed Martin et l’entreprise spécialisée dans la protection des données Enveil.

Pour rendre la supercherie crédible, les assaillants sont allés jusqu’à créer plusieurs faux sites imitant celui d’Enveil, certains étant suffisamment bien référencés pour apparaître en haut des résultats de recherche.

Les victimes, pensant télécharger des documents ou logiciels depuis une source légitime trouvée via un moteur de recherche, installaient en réalité le programme malveillant des attaquants. Cette approche rend caducs les réflexes classiques de vigilance, puisque ni le recruteur, ni le site, ni le classement Google ne permettaient de déceler la supercherie.

Une cible géopolitique précise

Une fois le piège refermé, un faux lecteur PDF baptisé « SecurityPDF » servait de porte d’entrée pour déployer discrètement une nouvelle porte dérobée modulaire, surnommée « Troy », capable d’exécuter dix-sept commandes différentes selon les instructions des opérateurs.

Parallèlement, les attaquants ont eu recours à une version mise à jour du rootkit FudModule (3.1), qui exploitait une vulnérabilité jusqu’alors inconnue dans le pilote Windows AFD.sys pour obtenir les droits système les plus élevés et désactiver les outils de détection habituellement déployés par les entreprises.

Cette faille, référencée CVE-2026-68820, a été signalée aux équipes de Microsoft, qui l’ont corrigée dans le cadre de leur mise à jour de sécurité mensuelle du 11 août 2026.

Les secteurs visés touchent notamment aux capteurs de surveillance, aux drones et à la robotique militaire. Plusieurs pays sont concernés, dont la France, l’Allemagne, le Brésil et l’Inde. Cette dernière est particulièrement exposée du fait de l’essor rapide de son industrie de défense et d’aérospatiale.

Une infrastructure de commande discrète

Plutôt que de s’appuyer sur des serveurs dédiés facilement repérables, Lazarus a privilégié le détournement d’installations de messagerie web Roundcube et de plateformes de gestion de contenu compromises, en s’appuyant notamment sur une faille connue (CVE-2025-49113, pour laquelle un correctif existe déjà) et sur des identifiants dérobés circulant sur le dark web.

Un nouveau webshell, nommé « RelayShell », a permis de transformer au moins dix-sept serveurs compromis en relais pour les communications entre les machines infectées et les opérateurs du groupe.

Point particulièrement inquiétant relevé par les chercheurs : une organisation française déjà compromise a ensuite été utilisée comme point de départ pour lancer de nouvelles vagues de phishing ciblé à travers le monde, en s’appuyant sur sa réputation pour crédibiliser les nouveaux messages piégés. Une intrusion réussie peut ainsi servir de tremplin à d’autres attaques, bien au-delà de la victime initiale.

Pour Sergey Shykevich, responsable du renseignement sur les menaces chez Check Point Software, le plus inquiétant dans cette campagne n’est pas tant la faille zero-day exploitée que la capacité des attaquants à s’appuyer sur des signaux de confiance habituellement fiables : un bon classement dans les résultats de recherche, l’apparence de marques reconnues, ou encore la réputation d’organisations déjà compromises.

The post Comment Lazarus détourne des offres d’emploi pour infiltrer l’industrie de la défense appeared first on Silicon.fr.

Handala Hack n’est pas un groupe isolé. Selon les chercheurs de Check Point Research, il s’agit d’un persona en ligne opéré par Void Manticore (également connu sous les noms Red Sandstorm ou Banished Kitten), un groupe que le MOIS, le Ministère iranien du Renseignement et de la Sécurité, pilote directement.

Void Manticore possède en réalité plusieurs façades publiques distinctes. Outre Handala Hack, actif depuis fin 2023 et ciblant principalement Israël, on compte Homeland Justice, un persona que le groupe maintient depuis mi-2022 pour des attaques contre des cibles gouvernementales, télécom et autres secteurs en Albanie, ainsi que Karma, persona aujourd’hui disparu que Handala a vraisemblablement absorbé.

Les chercheurs notent que dans certaines intrusions, la communication à destination des victimes (messages dans les wipers, notes que les attaquants laissaient dans les environnements compromis) se présentait sous le nom Karma, tandis que les données volées transitaient ensuite vers Handala pour y être publiées.

Le nom et l’iconographie du groupe s’inspirent du personnage de bande dessinée palestinien Handala. L’entité a récemment élargi son périmètre d’action aux États-Unis, ciblant notamment le géant de la technologie médicale Stryker.

D’après des sources publiques citées dans le rapport, Void Manticore présenterait des chevauchements d’activité avec la Direction de la sécurité intérieure du MOIS, et plus précisément sa Division de lutte contre le terrorisme dirigée par Seyed Yahya Hosseini Panjakit tué par des frappes israéliennes sur l’Iran au début du mois.

Des accès initiaux obtenus via la chaîne d’approvisionnement IT

Handala cible de manière systématique les fournisseurs de services IT pour obtenir des identifiants d’accès. Le groupe les exploite ensuite pour s’introduire dans les environnements VPN des organisations victimes.

L’analyse révèle des centaines de tentatives de connexion et de brute-force contre des infrastructures VPN, originaires de nœuds VPN commerciaux et fréquemment liées à des noms d’hôtes Windows par défaut du type DESKTOP-XXXXXX ou WIN-XXXXXX.

Un élément est notable : après la coupure d’internet en Iran en janvier, les chercheurs ont observé ce type d’activité provenant de plages d’adresses IP Starlink, une tendance qui s’est poursuivie.

En parallèle, la discipline opérationnelle du groupe s’est dégradée : les analystes ont relevé des connexions directes depuis des adresses IP iraniennes, là où le groupe utilisait auparavant des nœuds VPN commerciaux pour masquer son origine.

Une phase de reconnaissance discrète avant la destruction

Dans au moins une intrusion récente que les chercheurs attribuent à Handala, le groupe a établi son accès initial plusieurs mois avant la phase destructrice. Durant cette période de latence, il a accumulé accès persistants et identifiants d’administration de domaine.

Les activités pré-impact observées comprennent :

• La désactivation de Windows Defender
• Des opérations de reconnaissance et de vol d’identifiants, incluant le dump de la mémoire du processus LSASS via rundll32.exe et comsvcs.dll
• L’export de ruches de registre sensibles (HKLM)
• L’exécution d’ADRecon (dra.ps1), un framework PowerShell de reconnaissance Active Directory, permettant d’obtenir des identifiants d’administrateur de domaine

Déplacement latéral : RDP et tunnelisation via NetBird

La marque de fabrique de Void Manticore est son fonctionnement manuel, « hands-on ». Le déplacement latéral s’effectue principalement via RDP (Remote Desktop Protocol). Pour atteindre les hôtes non directement accessibles depuis l’extérieur, le groupe déploie désormais NetBird, une plateforme open source permettant de créer des réseaux maillés privés « zero-trust ».

Les attaquants déploient NetBird manuellement : les attaquants se connectent en RDP sur les machines compromises, puis utilisent le navigateur web local pour télécharger le logiciel directement depuis le site officiel.

En installant NetBird sur plusieurs machines, ils établissent une connectivité interne entre systèmes, accélérant ainsi l’activité destructrice. Lors d’un incident, les chercheurs ont observé au moins cinq machines distinctes sous contrôle des attaquants opérant simultanément dans l’environnement.

Quatre méthodes de destruction déployées simultanément

La phase destructrice constitue la signature de Handala. Le groupe déploie quatre techniques de wiping en parallèle, qu’il distribue via les stratégies de groupe (GPO) pour maximiser l’impact.

1. Le Handala Wiper (exécutable custom)

Un wiper personnalisé, parfois nommé handala.exe, le groupe distribue via des scripts de connexion GPO à travers un fichier batch (handala.bat).Les attaquants le lancent à distance depuis le contrôleur de domaine sans l’écrire sur le disque des machines cibles. Il écrase le contenu des fichiers et emploie des techniques de wiping MBR pour corrompre ou détruire les données au niveau du disque.

2. Le Handala PowerShell Wiper (assisté par IA)

Un second wiper, cette fois en PowerShell, que le groupe distribue également par GPO. Il énumère et supprime tous les fichiers dans les répertoires C:\Users. Selon les chercheurs, la structure du code et la qualité détaillée des commentaires suggèrent que les attaquants ont développé ce script avec l’assistance de l’IA. En dernière étape, le script dépose une image de propagande nommée handala.gif sur tous les disques logiques.

3. Chiffrement des disques via VeraCrypt

Pour renforcer l’impact destructeur, les attaquants téléchargent VeraCrypt, un outil légitime de chiffrement de disque, directement depuis le site officiel en passant par le navigateur de la machine compromise. En chiffrant les disques système, ils rendent la récupération encore plus difficile, même si les autres composants de wiping n’ont que partiellement fonctionné.

4. Suppression manuelle

Dans certains cas, les opérateurs de Handala suppriment manuellement les machines virtuelles directement depuis la plateforme de virtualisation, ou suppriment des fichiers en se connectant en RDP, en sélectionnant tous les fichiers et en les effaçant. Handala a lui-même documenté ce comportement dans des vidéos et des matériaux qu’il diffuse.

Des TTPs stables, mais quelques évolutions notables

Les chercheurs soulignent que les TTPs de Void Manticore sont demeurées largement stables de 2024 à 2026, reposant sur des opérations manuelles, des wipers prêts à l’emploi, et des outils publics de suppression et de chiffrement. Deux évolutions récentes méritent toutefois attention. D’abord, l’adoption de NetBird pour la tunnelisation du trafic et l’accès aux hôtes internes. Ensuite, le recours à l’IA pour générer des scripts PowerShell de wiping

Image : © DR

The post Handala Hack, un groupe hacktiviste iranien aux méthodes destructrices appeared first on Silicon.fr.