CyberVeille.chJan 30
📢 CERT Polska révèle des attaques destructrices coordonnées contre l’énergie et l’industrie en Pologne
📝 Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025...
📖 cyberveille : https://cyberveille.ch/posts/2026-01-30-cert-polska-revele-des-attaques-destructrices-coordonnees-contre-lenergie-et-lindustrie-en-pologne/
🌐 source : https://cert.pl/en/posts/2026/01/incident-report-energy-sector-2025/
#FortiGate #ICS_OT #Cyberveille
CERT Polska révèle des attaques destructrices coordonnées contre l’énergie et l’industrie en Pologne

Selon CERT Polska (CSIRT NASK), un ensemble d’attaques purement destructrices a visé le 29 décembre 2025 au moins 30 fermes éoliennes/solaires, une grande centrale de cogénération (CHP) et une entreprise manufacturière en Pologne. Les opérations ont touché à la fois l’IT et l’OT, sans demande de rançon, et ont été conduites par un même acteur. • Cible et impact OT (renouvelables) ⚡️ Perte de communication entre les sites et les DSOs via le GCP; production non interrompue mais risque de perturbation. Vecteur: dispositifs FortiGate exposés (SSL‑VPN sans MFA, comptes statiques), réinitialisés usine pour effacer les traces. Actions: exploitation d’identifiants par défaut et interfaces locales pour endommager l’OT: Hitachi RTU560: connexion web avec compte “Default”, téléversement de firmware corrompu (ELF modifié) causant boucle de reboot; sécurisation de mise à jour non activée ou contournée (CVE‑2024‑2617; corrigé en 13.7.7). Mikronika RTUs: SSH root par défaut, suppression massive de fichiers. Hitachi Relion 650 v1.1 (IEDs): FTP par défaut pour supprimer des fichiers critiques → arrêt irréversible. Mikronika HMI (Win10): RDP via admin local connu, ouverture SMB/445, Impacket, déploiement de DynoWiper. Moxa NPort 6xxx: reset usine, mot de passe changé, IP mise à 127.0.0.1 pour retarder la reprise. • Intrusion et tentative de sabotage IT (CHP) 🏭

CyberVeille
CyberVeille.chDec 26
📢 Paysage des menaces ICS T3 2025 : baisse globale, scripts/phishing et spyware en hausse
📝 Source: Kaspersky ICS CERT — Rapport « Threat Landscape for Industrial Automation Systems, Q3 2025 ».
📖 cyberveille : https://cyberveille.ch/posts/2025-12-26-paysage-des-menaces-ics-t3-2025-baisse-globale-scripts-phishing-et-spyware-en-hausse/
#CVE_2017_11882 #ICS_OT #Cyberveille
Paysage des menaces ICS T3 2025 : baisse globale, scripts/phishing et spyware en hausse

Source: Kaspersky ICS CERT — Rapport « Threat Landscape for Industrial Automation Systems, Q3 2025 ». Ce bilan mondial détaille l’évolution trimestrielle des menaces visant les environnements industriels (ICS/OT), par catégories, régions, secteurs et vecteurs d’infection. • Chiffres clés 📊: la part d’ordinateurs ICS ayant vu des objets malveillants bloqués baisse à 20,1 % (plus bas depuis 2022). Les menaces depuis Internet reculent à 7,99 % (plus bas depuis 2022), mais les scripts malveillants et pages de phishing progressent à 6,79 % (+0,3 pp), et le spyware atteint 4,04 % (+0,2 pp), prenant la 2e place des catégories. Les ressources internet sur liste noire chutent à 4,01 % (plus bas depuis 2022). Ransomware: 0,17 % (+0,03 pp). Par région, l’éventail va de 9,2 % (Europe du Nord) à 27,4 % (Afrique); le pic de blocages a eu lieu en août, et septembre est au plus bas depuis deux ans.

CyberVeille
CyberVeille.chDec 14
📢 Ransomware industriel Q3 2025 : 742 incidents, domination de Qilin et fragmentation RaaS
📝 Selon Dragos, ce rapport de menace couvre le T3 2025 (juillet-septembre) et analyse les tendances ransomware visant les environne...
📖 cyberveille : https://cyberveille.ch/posts/2025-12-14-ransomware-industriel-q3-2025-742-incidents-domination-de-qilin-et-fragmentation-raas/
🌐 source : https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q3-2025
#ICS_OT #RaaS #Cyberveille
Ransomware industriel Q3 2025 : 742 incidents, domination de Qilin et fragmentation RaaS

Selon Dragos, ce rapport de menace couvre le T3 2025 (juillet-septembre) et analyse les tendances ransomware visant les environnements ICS/OT et les systèmes IT qui soutiennent les opérations industrielles. • Volume et cibles : Dragos recense 742 incidents ransomware (+) touchant des entités industrielles, avec l’Amérique du Nord en tête, suivie de l’Europe puis de l’Asie (hausse en Thaïlande). Le secteur manufacturier concentre 72% des cas (532), dont la construction (142) comme sous-secteur le plus affecté. D’autres secteurs en hausse incluent gouvernement (35) et électrique/renouvelables (16). Les impacts montrent comment des intrusions IT peuvent perturber la production et la logistique sans toucher directement les réseaux ICS.

CyberVeille
CyberVeille.chNov 10
📢 Neuf paquets NuGet malveillants sabotent bases de données et systèmes industriels via déclencheurs différés
📝 Selon Socket (Threat Research Team), neuf paquets NuGe...
📖 cyberveille : https://cyberveille.ch/posts/2025-11-10-neuf-paquets-nuget-malveillants-sabotent-bases-de-donnees-et-systemes-industriels-via-declencheurs-differes/
🌐 source : https://socket.dev/blog/9-malicious-nuget-packages-deliver-time-delayed-destructive-payloads?utm_medium=feed
#ICS_OT #IOC #Cyberveille
Neuf paquets NuGet malveillants sabotent bases de données et systèmes industriels via déclencheurs différés

Selon Socket (Threat Research Team), neuf paquets NuGet publiés entre 2023 et 2024 sous l’alias « shanhai666 » contiennent du code malveillant à activation temporisée visant des applications .NET et des systèmes industriels; 9 488 téléchargements sont recensés et, bien que signalés à NuGet le 5 novembre 2025, les paquets étaient encore accessibles au moment de la publication. • Nature de l’attaque: campagne de supply chain utilisant des méthodes d’extension C# pour intercepter de façon transparente les opérations BD/PLC. Les packages sont 99% fonctionnels pour inspirer confiance et masquer ~20 lignes de charge malveillante. Les déclencheurs rendent l’attaque probabiliste (20% par opération) et temporellement différée (2027–2028 pour BD), compliquant la détection et l’attribution.

CyberVeille
CyberVeille.chOct 30
📢 Canada: alerte sur des intrusions de hacktivistes dans des infrastructures critiques
📝 Selon BleepingComputer, le Centre canadien pour la cybersécurité a alerté que des hacktivistes ont...
📖 cyberveille : https://cyberveille.ch/posts/2025-10-30-canada-alerte-sur-des-intrusions-de-hacktivistes-dans-des-infrastructures-critiques/
🌐 source : https://www.bleepingcomputer.com/news/security/canada-says-hacktivists-breached-water-and-energy-facilities/
#Canada #ICS_OT #Cyberveille
Canada: alerte sur des intrusions de hacktivistes dans des infrastructures critiques

Selon BleepingComputer, le Centre canadien pour la cybersécurité a alerté que des hacktivistes ont à plusieurs reprises compromis des systèmes d’infrastructures critiques au Canada, parvenant à modifier des contrôles industriels d’une manière qui aurait pu conduire à des conditions dangereuses. ⚠️ Points clés: Type d’attaque: intrusions par des hacktivistes. Cibles: systèmes d’infrastructures critiques à l’échelle du Canada. Impact: modification de contrôles industriels avec risque de conditions dangereuses. Fréquence: incidents survenus à plusieurs reprises. TTPs (si mentionnés):

CyberVeille
CyberVeille.chOct 14
📢 Énergie & utilities: +54% de ransomware et RCE/ACE dominantes — rapport CYFIRMA
📝 CYFIRMA publie un rapport sectoriel sur 90 jours détaillant l’activité cyber dans l’énergie & utilities.
📖 cyberveille : https://cyberveille.ch/posts/2025-10-13-energie-utilities-54-de-ransomware-et-rce-ace-dominantes-rapport-cyfirma/
🌐 source : https://www.cyfirma.com/research/cyfirma-industry-report-energy-utilities-4/
#ICS_OT #IOC #Cyberveille
Énergie & utilities: +54% de ransomware et RCE/ACE dominantes — rapport CYFIRMA

CYFIRMA publie un rapport sectoriel sur 90 jours détaillant l’activité cyber dans l’énergie & utilities. Panorama sectoriel 📈 Le secteur se classe 12e-13e sur 14 en volume d’activité malveillante. Des campagnes APT ont touché 3 opérations sur 22 observées (14%), dans 17 pays et via des vecteurs variés. Les incidents de ransomware ont augmenté de 54% pour atteindre 43 victimes, le secteur restant toutefois relativement moins prioritaire pour les attaquants en raison de sa dépendance à l’OT. L’activité souterraine liée au secteur est restée stable (2,27% de part), dominée par les sujets fuites de données et exfiltrations.

CyberVeille
CyberVeille.chAug 17, 2025
📢 Patch Tuesday OT/ICS d’août 2025 : correctifs critiques chez Siemens, Schneider, Honeywell, ABB, Aveva et Phoenix Contact
📝 SecurityWeek publie un récapitu...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-17-patch-tuesday-ot-ics-daout-2025-correctifs-critiques-chez-siemens-schneider-honeywell-abb-aveva-et-phoenix-contact/
🌐 source : https://www.securityweek.com/ics-patch-tuesday-major-vendors-address-code-execution-vulnerabilities/
#ICS_OT #Patch_Tuesday #Cyberveille
Patch Tuesday OT/ICS d’août 2025 : correctifs critiques chez Siemens, Schneider, Honeywell, ABB, Aveva et Phoenix Contact

SecurityWeek publie un récapitulatif des avis Patch Tuesday d’août 2025 pour l’ICS/OT, avec des correctifs et mitigations émis par Siemens, Schneider Electric, Honeywell, Aveva, ABB et Phoenix Contact, ainsi que des avis de la CISA. Plusieurs failles sont critiques ou à haute sévérité, exposant à l’exécution de code, à l’accès non autorisé, à la fuite de données et aux DoS. • Siemens a publié 22 nouveaux avis, dont un pour la faille critique CVE-2025-40746 dans Simatic RTLS Locating Manager, exploitable par un attaquant authentifié pour une exécution de code avec privilèges Système ⚠️. Des failles à haute sévérité touchent aussi Comos (exécution de code), Siemens Engineering Platforms (exécution de code), Simcenter (crash ou exécution de code), Sinumerik (accès distant non autorisé), Ruggedcom (contournement d’authentification avec accès physique), Simatic (exécution de code), Siprotect (DoS) et Opcenter Quality (accès non autorisé). Des vulnérabilités issues de composants tiers sont également traitées (OpenSSL, Linux kernel, Wibu Systems, Nginx, Nozomi Networks, SQLite). Des correctifs existent pour beaucoup de failles, tandis que seules des mitigations ou contournements sont disponibles pour d’autres. Des problèmes de sévérité moyenne/faible sont résolus dans Simotion Scout, Siprotec 5, Simatic RTLS Locating Manager, Ruggedcom ROX II et Sicam Q.

CyberVeille