next.ink - Alltricks s’est fait pirater son système d’envoi d’e-mails, qui passe visiblement par Sendinblue (Brevo). Des clients ont reçu des tentatives de phishing. La société continue son enquête pour voir s’il y a eu exfiltration de données.
La saison des fuites de données est au beau fixe, au grand dam de vos données personnelles et bancaires, avec des risques de phishing. C’est au tour de la boutique en ligne spécialisée dans le cyclisme d’en faire les frais, comme vous avez été plusieurs à nous le signaler (merci à vous !).
Certains ont, en effet, reçu un email de phishing provenant de la boutique en ligne, parfois sur alias utilisé uniquement pour cette enseigne, ce qui ne laisse que peu de doute quant à la provenance de « l’incident de cybersécurité » pour reprendre un terme à la mode.
Le système d’envoi d’e-mails piratés pour envoyer du phishing
L’email piégé affiche en gros un lien « Open in OneDrive », sur lequel il ne faut évidemment pas cliquer. Le lien semble légitime puisqu’il est de la forme « https://r.sb3.alltricks.com/xxxx ». Il reprend donc bien le domaine d’Alltricks, avec un sous domaine « r.sb3 ». Mais ce lien n’est qu’une redirection vers une autre adresse. Le domaine r.sb3.alltricks.com renvoie vers Sendinblue, une plateforme de gestion des newsletters.
C’est une pratique courante avec ce genre de service : les liens sont modifiés afin de pouvoir récupérer des statistiques sur le taux d’ouverture par exemple. Problème, impossible de savoir où mène ce lien juste en le regardant. Plus embêtant dans le cas présent, son domaine principal pourrait laisser penser que c’est un lien légitime, alors que non !
Hier, le revendeur a communiqué auprès de ses clients : « Nous souhaitons vous informer qu’une intrusion récente a affecté notre système d’envoi d’e-mails. Il est possible que vous ayez reçu, au cours des derniers jours, un message provenant d’adresses telles que : pro@alltricks.com, infos@alltricks.com
ou no-reply@alltricks.com ». La société ne donne pas plus de détails sur la méthode utilisée par les pirates.
Suivant les cas, « ces e-mails pouvaient contenir un lien vous invitant à : renouveler votre mot de passe, ouvrir un fichier Excel, consulter un document OneDrive ». Le revendeur ajoute qu’ils « ne proviennent pas de [son] équipe et ne doivent pas être ouverts ». Dans le cas contraire, il recommande « de modifier rapidement le mot de passe associé à votre compte e-mail ».
status.francelink.net - Rapport d’incident – Cyberattaque du 28/07/2025
Nous savons que vous attendez avec impatience des informations claires sur l’incident survenu le 28 juillet 2025 et sur l’avancée de nos actions. Conscients de l’impact important que cette situation peut avoir sur vos activités, nous avons travaillé à vous fournir ce rapport dès que nous avons pu rassembler des éléments fiables. Il présente les faits connus à ce jour, les mesures mises en place, les premières avancées dans la récupération des données, ainsi que les prochaines étapes prévues pour rétablir vos services dans les meilleures conditions possibles.
Deux actions malveillantes ont été menées de façon coordonnée :
Chiffrement des données sur nos serveurs de production.
Chiffrement de nos serveurs de sauvegarde.
Les éléments dont nous disposons indiquent qu’une extraction de données a très probablement eu lieu dans le cadre de cette attaque, conformément au mode opératoire habituel du groupe AKIRA. À ce stade, nous ne connaissons pas encore l’ampleur réelle de cette fuite et les analyses sont toujours en cours.
Isolement complet de l’infrastructure et coupure immédiate des accès réseaux.
Mise en place d’un environnement sécurisé pour empêcher toute propagation.
Lancement d’une procédure de réponse à incident avec intervention d’experts en cybersécurité.
Mandat d’un premier prestataire spécialisé en récupération de données. Ce dernier a conclu que la tâche dépassait ses capacités au bout de 4 jours.
Engagement d’un second prestataire, mieux équipé pour gérer ce type de situation, qui a permis de récupérer une première partie de données (cf ci-dessus).
Planification de nouvelles vagues de récupération pour les jours à venir.
numerama.com - Depuis la fin juillet 2025, le Muséum national d’Histoire naturelle (MNHN) de Paris, l’une des institutions majeures en recherche et patrimoine naturel dans le monde, est la cible d’une cyberattaque d’une ampleur inédite. L’organisation ne parvient plus à accéder à de nombreuses bases de données destinées à la recherche scientifique.
C’est une affaire qui s’enlise, et dont l’issue demeure incertaine.
Depuis plusieurs semaines, une partie des réseaux, des outils de recherche et des services numériques essentiels du Muséum National d’Histoire Naturelle de Paris restent inaccessibles.
L’incident, révélé le 31 juillet 2025 par nos confrères de La Tribune, n’a toujours pas été résolu à l’heure où nous publions cet article, ce mardi 12 août à la mi-journée.
La direction du Muséum dit faire face à une cyberattaque sévère : « C’est une attaque vraiment massive. (…) La durée de l’indisponibilité des outils et services, ainsi que le calendrier du retour à la normale, ne sont pour le moment pas encore déterminés », précise Gilles Bloch, président du MNHN, au micro de FranceInfo le 11 août 2025.
Pour l’heure, une question demeure : qui sont les auteurs de cette cyberattaque, et quelles peuvent être leurs motivations ?
L’hypothèse d’un ransomware
La direction de l’organisme confirme avoir prévenu les autorités. Une enquête judiciaire est en cours, dirigée par la section cybercriminalité du parquet de Paris, pour déterminer l’origine, le mode opératoire et les motivations exactes de l’attaque.
Si les premiers éléments semblent orienter vers une opération criminelle structurée, le cas du Muséum national d’Histoire naturelle va bien au-delà du simple vol de données, comme cela a pu être le cas lors de récentes cyberattaques ayant visé des grands groupes français tels qu’Air France ou Bouygues Telecom.
Ici, les chercheurs du Muséum et du centre PATRINAT se retrouvent privés d’accès à leurs principaux outils de travail. Les bases de données inaccessibles représentent une véritable manne scientifique, indispensable aux chercheurs et à plusieurs réseaux collaboratifs. L’attaque perturbe fortement la recherche française, particulièrement dans le secteur des sciences naturelles et de la biodiversité.
Et c’est précisément cette situation d’indisponibilité totale et d’interruption prolongée qui fait redouter la présence d’un ransomware. Il est probable que les auteurs de l’attaque cherchent à exercer un chantage financier : restaurer l’accès aux outils informatiques contre le versement d’une somme d’argent, le tout orchestré via un logiciel malveillant qui tient l’établissement en otage.
Une position claire de la part du MNHN
Dans sa communication publique, la direction du Muséum national d’histoire naturelle de Paris tient à lever toute ambiguïté : aucune rançon ne sera payée.
Gilles Bloch rappelle qu’il s’agit d’« une doctrine de l’État français et des administrations publiques ». L’objectif, comme dans d’autres pays, est de ne pas alimenter le modèle économique des réseaux cybercriminels.
En attendant l’issue de cette affaire, et malgré les perturbations techniques, l’établissement assure que les galeries d’exposition, les jardins botaniques et les parcs zoologiques restent ouverts et fonctionnent normalement. Les visiteurs ne subissent donc aucune conséquence directe de la cyberattaque.
newsroom.orange.com Newsroom Groupe Orange - Le vendredi 25 juillet, le groupe Orange a détecté une cyberattaque sur un de ses systèmes d'information.
Immédiatement alertées, avec le support d'Orange Cyberdefense, les équipes se sont pleinement mobilisées pour isoler les services potentiellement concernés et limiter les impacts.
Cependant, ces opérations d'isolement ont eu pour conséquence de perturber certains services et plateformes de gestion pour une partie de nos clients Entreprises et pour quelques services Grand Public principalement en France. Nos équipes dédiées sont pleinement mobilisées pour informer et accompagner les clients concernés.
Nos équipes ont identifié et mettent en œuvre les solutions qui permettent, sous vigilance renforcée, de rouvrir les principaux services impactés au fur et à mesure d'ici mercredi 30 juillet matin.
Une plainte a été déposée et les autorités compétentes ont été alertées. Nous travaillons avec elles en parfaite collaboration.
A ce stade des investigations, aucun élément ne laisse penser que des données de nos clients ou d'Orange auraient été exfiltrées. La plus haute vigilance sur ce point est maintenue.
Pour des raisons évidentes de sécurité Orange ne fera pas davantage de commentaires.
lesnumeriques.com 25.07 - Orange indique avoir détecté, vendredi 25 juillet dernier, une cyberattaque à son encontre. Des mesures ont été prises immédiatement et l'opérateur fait aujourd'hui le point, notamment sur les conséquences pour ses utilisateurs.
La saison des piratages et autres actes malintentionnés en ligne bat son plein. Après Free en mai dernier notamment, et bien d'autres attaques du genre depuis, c'est au tour d'Orange d'être ciblé. Le groupe, par voie de communiqué de presse ce lundi 28 juillet, a indiqué avoir été victime d'une attaque informatique vendredi 25 juillet 2025. Maintenant que le weekend est passé, la firme revient sur cet événement, dont le plus gros semble derrière elle, malgré des investigations toujours en cours.
Cyberattaque d'Orange : des perturbations, mais pas de perte de données
Première information : c'est l'un des systèmes d'information d'Orange qui a été visé par les hackers. Orange indique que ses équipes et celles d'Orange Cyberdefense ont été immédiatement alertées et mobilisées pour isoler les services concernés. Cette opération d'isolement pour limiter les impacts à d'autres systèmes a cependant eu des conséquences directes pour certains usagers, dont certains services ont pu être perturbés. En conséquence, les clients Entreprises et certains dans la branche Grand Public peuvent donc rencontrer des soucis avec leurs services ces derniers jours. Orange indique rouvrir progressivement les éléments concernés d'ici au mercredi 30 juillet. Pour éviter tout problème, cette réouverture se fait sous surveillance renforcée.
Un retour à la normale pour bientôt
La bonne nouvelle, c'est qu'au stade actuel des investigations, "aucun élément ne laisse penser que des données de nos clients ou d'Orange auraient été exfiltrées." La vigilance reste cependant de mise, puisque nous n'en sommes qu'au début de ce nouvel épisode de piratage. Orange se refuse d'ailleurs à donner plus de détails sur l'attaque par raison de sécurité. En attendant, une plainte a été déposée par le groupe auprès des autorités compétentes.Notons enfin que cet événement n'a pas empêché Orange, lors de sa publication trimestrielle ce matin, de rehausser ses objectifs annuels pour 2025 de 3 % après un solide premier semestre.
usine-digitale.fr - Un cybercriminel affirme avoir exfiltré des documents de type secret-défense appartenant à Naval Group. Les premières investigations de l'industriel français n'ont pas trouvé d'intrusion dans ses systèmes, mais l'enquête est toujours en cours.
Naval Group a annoncé, le 26 juillet, être la cible "d'une attaque réputationnelle" : un hacker affirme détenir des données classifiées et menace de les publier en ligne.
Aucune intrusion confirmée
Contacté par nos soins, l'industriel affirme "qu'aucune intrusion n'a été détectée dans [ses] systèmes informatiques", d'après les premiers résultats de son enquête interne, menée en collaboration avec les services de l'Etat. Il a également précisé que les investigations n'étaient pas terminées et qu'une plainte avait été déposée le 25 juillet. Les équipes sont en train de "vérifier dans les plus brefs délais l'authenticité, la provenance et l'appartenance des données concernées".
Des données potentiellement très sensibles
C'est le 23 juillet que le cybercriminel a posté sa revendication sur un forum, affirmant détenir des documents secret-défense appartenant à Naval Group. A titre de preuve, un premier lot de données d'environ 13 Go a été publié, rapporte Numerama. Ces fichiers comprendraient notamment des vidéos issues d'un système de surveillance sous-marin datant de 2003.
Plus grave, le hacker affirme être en possession du code source des systèmes de combat (CMS) pour sous-marins et frégates ainsi que de la typologie du réseau interne et de données techniques classifiées, selon le média Cybernews. Ces informations n'ont pas été confirmées par Naval Group.
numerama.com - Depuis le 23 juillet 2025, un cybercriminel prétend avoir en sa possession des documents secret défense appartenant à Naval Group. À moins de 24 heures de l’échéance fixée par le corbeau virtuel, le leader européen du naval de défense confirme avoir détecté un potentiel incident, mais précise qu’une enquête est en cours afin d’évaluer précisément la menace.
Coup de bluff ou réelle menace ? Depuis le 23 juillet 2025, un hacker dissémine au compte-goutte ce qu’il assure être des extraits de documents top-secrets appartenant à Naval Group. Échanges confidentiels, accès à des machines virtuelles, documents techniques, le cybercriminel assure détenir une mine d’or de données, couvrant principalement la période 2019-2024.
Sur un célèbre forum du Dark Web, le maitre-chanteur fanfaronne : les données ne sont pas à vendre, il souhaite être contacté directement par Naval Group avant le 26 juillet 2025. Si sa demande reste pour morte, il diffusera l’ensemble des documents gratuitement sur la plateforme.
Contacté par nos confrères de La Tribune, Naval Group confirme qu’un potentiel incident a été détecté par leurs équipes techniques mais que, pour l’heure, l’ampleur réel de la menace reste à déterminer.
Un chantage aux enjeux majeurs
Il demeure difficile d’évaluer avec précision le niveau de risque posé par ce chantage. Un premier lot de données d’environ 13 Go a été publié le 23 juillet 2025 à titre de preuve. Certains fichiers, comme des vidéos provenant d’un système de surveillance sous-marin datant de 2003, n’ont rien de décisif en matière de sécurité. Leur but semble avant tout de rendre crédible la menace, en montrant que le hacker détient bien des documents internes de Naval Group.
Si la véracité de la fuite se confirme, cet incident constituerait un risque majeur non seulement pour Naval Group, mais aussi pour la sécurité nationale française.
L’exposition du code source du CMS, le système informatique central pilotant les opérations des bâtiments militaires, ouvrirait la voie à des vulnérabilités critiques exploitables par des États ou groupes hostiles. De tels incidents obligeraient notamment à la mise en place de contre-mesures pour limiter les risques d’exploitation.
Enquête en cours et mobilisation des autorités
Le géant français semble en tout cas prendre la menace au sérieux et annonce travailler directement avec les autorités françaises pour lever le voile sur cette affaire. Une enquête est en cours.
Naval Group, joue un rôle stratégique majeur dans l’industrie de défense française et européenne. Il conçoit notamment les sous-marins nucléaires, frégates de combat et le porte-avions Charles de Gaulle.
clubic.com - L'administrateur russophone d'un des plus influents forums cybercriminels mondiaux, XSS.is, vient d'être arrêté. L'opération est le fruit d'une enquête franco-ukrainienne de longue haleine.
Les autorités ukrainiennes ont interpellé à Kiev, mardi 22 juillet, le cerveau présumé de XSS.is, une plateforme défavorablement réputée, puisque lieu incontournable de la cybercriminalité russophone. L'arrestation couronne une investigation française lancée il y a quatre ans maintenant, et qui révèle aujourd'hui l'ampleur considérable des gains amassés par l'administrateur du forum, estimés à sept millions d'euros.
XSS.is cachait 50 000 cybercriminels derrière ses serveurs chiffrés
Actif depuis 2013 tout de même, XSS.is, autrefois connu sous le nom de DaMaGeLab, constituait l'un des principaux carrefours de la cybercriminalité mondiale. La plateforme russophone rassemblait plus de 50 000 utilisateurs enregistrés, autrement dit un vrai supermarché du piratage informatique, même si beaucoup moins fréquenté que feu BreachForums, tombé en avril. Sur XSS.is, les malwares, les données personnelles et des accès à des systèmes compromis se négociaient dans l'ombre du dark web.
Le forum proposait aussi des services liés aux ransomwares, ces programmes malveillants qui bloquent les données d'un ordinateur jusqu'au paiement d'une rançon. Un serveur de messagerie chiffrée, « thesecure.biz », complétait l'arsenal en facilitant les échanges anonymes entre cybercriminels. L'infrastructure offrait ainsi un environnement sécurisé pour leurs activités illégales.
L'administrateur ne se contentait pas d'un rôle technique passif. Tel un chef d'orchestre du crime numérique, il arbitrait les disputes entre hackers et garantissait la sécurité des transactions frauduleuses. Un homme aux multiples casquettes, en somme. Toujours est-il que cette position centrale lui permettait de prélever des commissions substantielles sur chaque échange.
Une coopération internationale exemplaire, portée par la France
L'enquête préliminaire française, ouverte le 2 juillet 2021 par la section cybercriminalité du parquet de Paris, a mobilisé la Brigade de lutte contre la cybercriminalité. Les investigations ont révélé des bénéfices criminels d'au moins 7 millions d'euros, dévoilés grâce aux captations judiciaires effectuées sur les serveurs de messagerie.
Outre la France et les autorités ukrainiennes, Europol a joué un rôle déterminant dans cette opération d'envergure internationale. L'agence européenne a facilité la coordination complexe entre les autorités françaises et ukrainiennes, déployant même un bureau mobile à Kiev pour faciliter l'arrestation.
Voilà en tout cas une arrestation de plus contre les réseaux cybercriminels. Souvenez-vous, il y a quelques jours, les mêmes agences avaient déjà démantelé le groupe de hackers prorusses NoName057(16). Des succès successifs qui témoignent d'une intensification bienvenue dans la lutte contre les menaces et les hackers, alors que les cyberattaques se multiplient contre les infrastructures critiques européennes.
next.ink - France Travail a envoyé, mardi 22 juillet au soir, un courrier d'information à certains des usagers inscrits à son service, alertant d'un acte de cyber malveillance susceptible d'avoir entrainé la consultation illégitime de leurs données personnelles. Dans son email, que Next reproduit ci-dessous, l'ex Pole Emploi indique que la fuite est survenue au niveau « du portail emploi destiné à [ses] partenaires ».
Nom, prénom, adresses, téléphone et statut France Travail
L'agence affirme par ailleurs avoir immédiatement fermé le service concerné, lancé des analyses pour déterminer l'origine de l'attaque, et rempli ses obligations de signalement en informant la CNIL dès le 13 juillet, date de la découverte de cet incident.
« Les données compromises sont vos nom, prénom, adresses postale et électronique, numéro de téléphone, identifiant France Travail et statut (inscrit, radié). Vos données bancaires ou vos mots de passe ne sont pas concernés par cet incident », informe France Travail.
Comme toujours en de telles circonstances, l'agence invite les utilisateurs concernés à la prudence, notamment vis à vis des risques de phishing (hameçonnage).
Une application de suivi des formations mise en cause
Contactée par Next, la direction de France Travail apporte quelques précisions sur la nature de l'incident et surtout sur son périmètre. L'alerte est d'abord partie du CERT-FR de l'ANSSI, le 12 juillet. Son traitement a permis aux équipes internes de France Travail d'identifier le service par lequel est intervenue la fuite.
« Il s’agit de l’application Kairos permettant aux organismes de formation d'agir sur le suivi des formations des demandeurs d'emploi. Le service a été immédiatement fermé ainsi que tous les autres services hébergés sur le portail Emploi destiné à nos partenaires », explique France Travail. La fuite aurait été rendue possible grâce à la compromission, via un malware de type infostealer (logiciel spécialisé dans le vol d'informations personnelles) d'un compte utilisateur rattaché à un organisme de formation basé dans l'Isère.
next.ink - L'Hôpital privé de la Loire (HPL), qui se trouve à Saint-Étienne, a été victime d'une cyberattaque, révélait ce jeudi 10 juillet, le journal Le Progrès.
Géré par le groupe Ramsay, le HPL avait publié un communiqué de presse mardi 8 juillet affirmant qu'il avait été victime quelques jours plus tôt d'un « vol d’identité » concernant « une quantité importante de données personnelles de ses patients ». Mais l'établissement se voulait rassurant, affirmant que les données étaient « essentiellement de nature administrative ».
Mardi soir, une personne se présentant comme responsable du piratage a contacté nos confrères du Progrès pour s'en indigner. Elle affirme posséder des données concernant plus de 530 000 patients dont leurs cartes d'identité. Elle ajoute que « l'argent est la motivation » sans préciser le montant exigé.
Cette réaction a obligé l'hôpital à revoir sa communication. À l'AFP, il expliquait jeudi 10 juillet, avoir envoyé un email « à plus de 126 000 patients concernés par le piratage informatique de l’Hôpital privé de la Loire (HPL), et les 40 d’entre eux qui sont concernés par le vol de données médicales seront contactés individuellement ». Et il affirme que son fonctionnement n'a cependant pas été affecté.
Le parquet de Paris a, de son côté, expliqué à l'agence de presse que sa section cybercriminalité avait été saisie et avoir confié l'enquête à l’Office anticybercriminalité (OFAC).
Interrogé par l'AFP sur la demande de rançon, le groupe Ramsay n'a pas voulu s'exprimer sur le sujet.
The probe is based on complaints from a lawmaker and an unnamed senior civil servant.
rench prosecutors have opened a criminal investigation into X over allegations that the company owned by billionaire Elon Musk manipulated its algorithms for the purposes of “foreign interference.”
Magistrate Laure Beccuau said in a statement Friday that prosecutors had launched the probe on Wednesday and were looking into whether the social media giant broke French law by altering its algorithms and fraudulently extracting data from users.
The criminal investigation comes on the heels of an inquiry launched in January, and is based on complaints from a lawmaker and an unnamed senior civil servant, Beccuau said.
A complaint that sparked the initial January inquiry accused X of spreading “an enormous amount of hateful, racist, anti-LGBT+ and homophobic political content, which aims to skew the democratic debate in France.”
POLITICO has reached out to X for comment.
The investigation lands as X is increasingly under fire from regulators in Paris and Brussels.
Two French parliamentarians referred the platform to France’s digital regulator Arcom on Thursday following anti-Semitic and racist posts by Grok, the artificial-intelligence chatbot that answers questions from X users.
The European Commission has separately been investigating the Musk-owned platform for almost two years now, on suspicion of breaching its landmark platforms regulation, the Digital Services Act.
therecord.media July 9th, 2025 - DGSE intelligence head Nicolas Lerner said Moscow’s tactics are evolving and increasingly include on-the-ground activities carried out by paid operatives.
France’s top intelligence official has warned that Russia is waging "a war of influence" against the country through hybrid online disinformation, espionage and sabotage operations.
Nicolas Lerner, head of the DGSE foreign intelligence agency, said in an interview with French broadcaster LCI that Moscow’s tactics are evolving and now include physical operations carried out by paid intermediaries. He cited an incident last year in which suspected Russian saboteurs placed coffins near the Eiffel Tower draped in the French flag bearing the inscription “French soldiers of Ukraine.”
“These are not amateur operations,” Lerner said. “They reflect a desire to disrupt our information space and undermine trust in our institutions.”
He said that around 80 Russian agents were active in France before Russia’s full-scale invasion of Ukraine in 2022, and that 50 of them have since been expelled. Paris has also imposed sanctions on individuals linked to Moscow’s intelligence services.
Lerner warned that Russia poses a medium- and long-term “existential threat” to Europe, its democracies and its values.
His comments come amid alarm over a growing wave of alleged Russian hybrid operations across Europe. In recent months, NATO allies and EU member states have reported suspected sabotage, cyberattacks, and disinformation campaigns linked to Moscow.
In June, trains between Amsterdam and The Hague were disrupted in what Dutch authorities suspect was a sabotage attempt tied to the NATO summit. Around the same time, pro-Russian hacktivists claimed responsibility for distributed denial-of-service attacks targeting summit-related organizations.
In France, the high-speed rail network was hit by coordinated sabotage just hours before last year’s Olympic Games opening ceremony, affecting lines around Paris.
Polish officials recently accused Russian intelligence of orchestrating a 2024 fire at a major Warsaw shopping mall. Warsaw responded by shutting down a Russian consulate.
On Tuesday, three South London men were found guilty of carrying out an arson attack on a depot housing humanitarian aid intended for Ukraine. The men were hired by the Wagner Group, a private militia that has acted under the orders of the Kremlin.
European officials have also warned of cyber operations targeting military, government, and critical infrastructure across the continent. On Wednesday, German media reported that a Kremlin-linked hacking group is attempting to steal sensitive data from the German armed forces.
CERTFR-2025-CTI-009
Date de la dernière version 01 juillet 2025
In September 2024, ANSSI observed an attack campaign seeking initial access to French entities’ networks through the exploitation of several zero-day vulnerabilities on Ivanti Cloud Service Appliance (CSA) devices. French organizations from governmental, telecommunications, media, finance, and transport sectors were impacted. ANSSI’s investigations led to the conclusion that a unique intrusion set was leveraged to conduct this attack campaign. The Agency named this intrusion set « Houken ». Moderately sophisticated, Houken can be characterized by an ambivalent use of resources. While its operators use zero-day vulnerabilities and a sophisticated rootkit, they also leverage a wide number of open-source tools mostly crafted by Chinese-speaking developers. Houken’s attack infrastructure is made up of diverse elements - including commercial VPNs and dedicated servers.
ANSSI suspects that the Houken intrusion set is operated by the same threat actor as the intrusion set previously described by MANDIANT as UNC5174. Since 2023, Houken is likely used by an access broker to gain a foothold on targeted systems, which could eventually be sold to entities interested in carrying out deeper post-exploitation activities. Though already documented for its opportunistic exploitation of vulnerabilities on edge devices, the use of zero-days by a threat actor linked to UNC5174 is new to ANSSI’s knowledge. The operators behind the UNC5174 and Houken intrusion sets are likely primarily looking for valuable initial accesses to sell to a state-linked actor seeking insightful intelligence. However, ANSSI also observed one case of data exfiltration as well as an interest in the deployment of cryptominers, indicating straight-forward profit-driven objectives.
2.1 The attack campaign in a nutshell
At the beginning of September 2024, an attacker repeatedly exploited vulnerabilities CVE-2024-
8190, CVE-2024-8963, and CVE-2024-9380 vulnerabilities to remotely execute arbitrary code
on vulnerable Ivanti Cloud Service Appliance devices [1, 2, 3, 4]. These vulnerabilities were
exploited as zero-days, before the publication of the Ivanti security advisory [5, 6, 7].
The attacker opportunistically chained these vulnerabilities to gain initial access on Ivanti CSA
appliances, with the intention of:
• Obtaining credentials through the execution of a base64 encoded Python script1
.
• Ensuring persistence, by:
– deploying or creating PHP webshells;
– modifying existing PHP scripts to add webshells capabilities;
– occasionally installing a kernel module which acts as a rootkit once loaded.
Likely in an effort to prevent exploitation by additional unrelated actors, the attacker attempted
to self-patch web resources affected by the vulnerabilities.
On occasions, and after establishing a foothold on victim networks through the compromise
of Ivanti CSA devices, the attacker performed reconnaissance activities and moved laterally.
In-depth compromises allowed the attacker to gather additional credentials and deploy further
persistence mechanisms. Most recent activities around this attack campaign were observed
at the end of November 2024 by ANSSI.
Several incidents affecting French entities, and linked to this attack campaign, were observed
by ANSSI at the end of 2024. The campaign targeted french organizations from governmental,
telecommunications, media, finance, and transport sectors.
In three cases, the compromise of Ivanti CSA devices was followed by lateral movements toward
the victims’ internal information systems. The malicious actor also collected credentials and
attempted to establish a persistence on these compromised networks. Attacker’s operational
activities time zone was UTC+8, which aligns with China Standard Time (CST).
ANSSI provided significant support to these entities, a
L'antenne secrète, Airbus et la Chine (1/2) – Les services de renseignement français suspectent qu'une petite société de télécommunications chinoise ait déployé une station d'écoute à proximité de sites d'Airbus. Si une enquête judiciaire est ouverte, l'affaire mobilise fortement les espions hexagonaux. Révélations.
C'est une rue étroite qui coupe la "plus belle avenue du monde". À une centaine de mètres des Champs-Élysées, à Paris, entre une immense boutique du géant français du prêt-à-porter Lacoste et un ancien restaurant irakien, apparaît le 17 rue du Colisée. Ce centre d'affaires sans charme héberge un cabinet d'avocats, un groupe spécialisé dans les semi-conducteurs et une entreprise de production musicale. Depuis le 1er janvier 2025, l'immeuble compte un nouvel occupant : la société chinoise SATHD Europe, spécialisée dans les télécommunications par satellite. Alors que ses statuts juridiques l'attestent, l'entreprise ne figure pas sur la plaque mentionnant les locataires. Ces derniers affirment par ailleurs n'avoir constaté aucun signe de présence de cette mystérieuse entité entre les murs.
SATHD Europe existe pourtant bel et bien. La société est même soupçonnée par les services de renseignement hexagonaux d'être à l'origine de l'une des plus grandes opérations d'espionnage ayant visé la France ces dernières années. Après plusieurs mois d'enquête, Intelligence Online est en mesure de révéler une affaire de longue haleine, dans laquelle les regards convergent vers la Chine.
Village idéalement situé dans le cône de réception satellitaire
Début 2022. Les officiers de la Direction du renseignement et de la sécurité de la défense (DRSD), service de contre-ingérence du ministère des armées, repèrent une antenne suspecte qui dépasse du balcon d'un immeuble de Boulogne-sur-Gesse, petite commune rurale de Haute-Garonne. Celle-ci ressemble à peu de chose près à une parabole permettant de recevoir la télévision par satellite. Les contre-espions français sont toutefois sur leurs gardes. Ce village se situe à environ 71 kilomètres en ligne droite du téléport d'Issus Aussaguel. Ce centre de télécommunications, au sud de Toulouse, pilote les satellites d'observation de la Terre du Centre national d'études spatiales (CNES), notamment les Pléiades fabriqués par Airbus Group et les SWOT conçus par le français Thales Alenia Space (TAS) et l'américain Jet Propulsion Laboratory.
Depuis la fin de l’année 2023, VIGINUM observe et documente les activités d’un mode opératoire informationnel russe susceptible d’affecter le débat public numérique francophone et européen, connu sous le nom de « Storm-1516 ».
Le mode opératoire informationnel (MOI) Storm-1516, actif depuis plus d’un an et demi, est responsable de plusieurs dizaines d’opérations informationnelles ayant ciblé des audiences occidentales, dont française. S’appuyant sur l’analyse de 77 opérations informationnelles documentées par VIGINUM et conduites par Storm-1516 entre la date de son apparition supposée et le 5 mars 2025, ce rapport détaille les principaux narratifs et contenus employés, leur chaîne de diffusion, ainsi que les acteurs étrangers impliqués dans la conduite du MOI.
L’analyse par VIGINUM de ces différentes opérations informationnelles démontre que le dispositif d’influence informationnelle russe a investi des efforts conséquents pour coordonner les actions d’un important réseau d’acteurs, d’organisations et de MOI agissant depuis le territoire russe et dans les pays ciblés, et ce depuis le début de l’invasion à grande échelle de l’Ukraine par la Russie en 2022.
Storm-1516 constitue aujourd’hui un mode opératoire informationnel mature, qui offre à ses commanditaires la capacité de mener à la fois des actions de court terme en réaction à l’actualité, mais également de s’inscrire dans des stratégies de long terme, visant à décrédibiliser des personnalités ou des organisations européennes et nord-américaines, notamment en amont de grands événements et de processus électoraux.
Si l’impact réel sur le débat public numérique demeure difficile à estimer, VIGINUM observe que de nombreux narratifs propagés via ce MOI ont atteint une visibilité très importante en ligne, et qu’ils sont parfois repris, de manière inconsciente ou opportuniste, par des personnalités et des représentants politiques de premier plan.
Les opérateurs de Storm-1516 poursuivent aujourd’hui leurs activités avec un rythme opérationnel soutenu, et devraient très probablement continuer à adapter leurs TTPs, notamment pour crédibiliser davantage leurs contenus, tenter de contourner les mécanismes de modération des plateformes, gêner le suivi et l’imputation technique de leurs activités, ou encore renouveler leurs infrastructures d’attaque.
Au regard de ces éléments, VIGINUM considère que les activités de Storm-1516 réunissent les critères d’une ingérence numérique étrangère, et représentent une menace importante pour le débat public numérique français et européen.
La France condamne avec la plus grande fermeté le recours par le service de renseignement militaire russe (GRU) au mode opératoire d’attaque APT28, à l’origine de plusieurs cyber-attaques contre des intérêts français.
Depuis 2021, ce mode opératoire d’attaque (MOA) a été utilisé dans le ciblage ou la compromission d’une dizaine d’entités françaises. Ces entités sont des acteurs de la vie des Français : services publics, entreprises privées, ainsi qu’une organisation sportive liée à l’organisation des Jeux olympiques et paralympiques 2024. Par le passé, ce mode opératoire a également été utilisé par le GRU dans le sabotage de la chaîne de télévision TV5Monde en 2015, ainsi que dans la tentative de déstabilisation du processus électoral français en 2017.
APT28 est aussi employé pour exercer une pression constante sur les infrastructures ukrainiennes dans le contexte de la guerre d’agression menée par la Russie contre l’Ukraine, notamment lorsqu’il est opéré par l’unité 20728 du GRU. De nombreux partenaires européens ont également été visés par APT28 au cours des dernières années. À ce titre, l’UE a imposé des sanctions aux personnes et entités responsables des attaques menées à l’aide de ce mode opératoire.
Targets of the cyberattacks include electronics and home appliances store Boulanger and the retailer Cultura.
Pro-Russian and pro-Palestinian hacktivist groups share a common adversary in France, leading to coordinated cyberattacks against the country.
En collaboration avec "L'Œil du 20 heures", franceinfo a enquêté sur des données de géolocalisation de millions de téléphones en France, permettant d'identifier la vie privée de salariés de l'armée, de la DGSE, de lieux de pouvoir ou d'autres sites sensibles.
France's Navy personnel revealed classified information about submarine patrols through the Strava fitness app, found an investigation by Le Monde.
