Alerte CISA : attaques iraniennes contre les PLC, ransomware Interlock et le silencieux LummaC2

Introduction

Ces derniers jours, une campagne de phishing russe visant les utilisateurs de Zimbra Collaboration Suite a été évoquée, mais les informations officielles disponibles ne la confirment pas. Les alertes publiées par la Cybersecurity and Infrastructure Security Agency (CISA) entre mai 2025 et avril 2026 racontent une tout autre histoire, faite de menaces concrètes allant des infrastructures critiques au vol d’identité numérique. Cet article analyse le contenu réel des alertes CISA et offre un aperçu actualisé de ce que les défenseurs et les responsables de la sécurité doivent savoir aujourd’hui.

Analyse technique

Les quatre alertes, bien que non liées entre elles, décrivent un paysage de risques articulé.

Exploitation de PLC par des attaquants iraniens (AA26-097A, 7 avril 2026)
La cible est les infrastructures critiques américaines. Les automates programmables industriels (PLC), piliers de l’automatisation industrielle, sont pris pour cible avec des techniques incluant probablement l’envoi de commandes malveillantes via le réseau ou l’accès non autorisé à des panneaux de contrôle exposés. L’opération révèle un adversaire doté de capacités offensives persistantes et d’intentions de sabotage physique, pas simplement d’espionnage.

Ransomware Interlock (AA25-203A, 22 juillet 2025)
Interlock est une famille de ransomware qui adopte la double extorsion : elle chiffre les données sur place et menace de les divulguer si la rançon n’est pas payée. Les méthodes de propagation, bien que non détaillées dans l’alerte, sont généralement liées à des courriels malveillants ou à des vulnérabilités logicielles non corrigées. Le chiffrement cible les serveurs de fichiers, les bases de données et les postes de travail, paralysant les opérations.

Exfiltration de données avec LummaC2 (AA25-141B, 21 mai 2025)
LummaC2 est un infostealer qui agit de manière furtive pour capturer des identifiants de connexion, des cookies de session, des portefeuilles de cryptomonnaies et des données bancaires. Souvent distribué via des logiciels crackés ou de fausses mises à jour, il envoie les profils volés à des serveurs de commande et contrôle, alimentant un marché noir numérique florissant qui facilite les attaques ultérieures.

Threat hunting et hygiène informatique (AA25-212A, 31 juillet 2025)
Plus qu’une notification de compromission, cette alerte souligne l’importance des activités proactives de threat hunting et d’amélioration de l’hygiène informatique au sein d’une grande organisation critique. L’objectif est de réduire la surface d’attaque et de détecter les anomalies avant qu’elles ne deviennent des incidents.

Impact

Les conséquences de ces menaces peuvent être graves et transversales :

• Systèmes de contrôle industriel : la manipulation des PLC peut entraîner des arrêts d’installations, des dommages matériels et des risques pour la sécurité publique.
• Activités ransomware : l’indisponibilité des données et l’exposition potentielle d’informations sensibles génèrent des pertes économiques, des interruptions de service et des dommages réputationnels.
• Vol d’identifiants et de données financières : LummaC2 expose les particuliers et les entreprises à la fraude, au vidage de comptes et à la compromission de comptes professionnels, avec le risque de mouvements latéraux au sein des réseaux.
• Lacunes d’hygiène informatique : l’absence de mise en œuvre des bonnes pratiques de sécurité de base amplifie l’efficacité de tout vecteur d’attaque, transformant des vulnérabilités connues en brèches facilement exploitables.

Atténuation

Pour les recommandations spécifiques et les indicateurs de compromission, il est indispensable de consulter les documents complets de la CISA (AA26-097A, AA25-212A, AA25-203A, AA25-141B). D’une manière générale, les organisations devraient :

• Isoler les réseaux industriels des réseaux administratifs et appliquer une segmentation rigoureuse.
• Mettre à jour régulièrement les systèmes d’exploitation, les firmwares des PLC et les applications.
• Déployer des solutions EDR/XDR et les maintenir configurées pour le blocage automatique.
• Former les utilisateurs à la reconnaissance du phishing et à la gestion sécurisée des pièces jointes.
• Activer l’authentification multifacteur partout où c’est possible et appliquer le principe du moindre privilège.
• Mettre en place des sauvegardes hors ligne et redondantes, en vérifiant périodiquement leur intégrité.
• Instaurer des processus de threat hunting continu et de surveillance des logs pour détecter rapidement les activités suspectes.

FAQ

1. Pourquoi fait-on référence à Zimbra alors que les sources n’en parlent pas ?
Le matériel reçu, composé exclusivement d’alertes CISA, ne contient aucun détail sur des campagnes de phishing contre Zimbra. L’hypothèse a pu émerger de canaux non officiels, mais à ce jour elle n’est pas corroborée par les sources vérifiées. Pour obtenir des informations fiables sur Zimbra, il faudrait consulter une autre source.

2. LummaC2 est-il également dangereux pour les utilisateurs privés ?
Oui, car il est conçu pour voler des identifiants, des cookies et des données financières auprès de particuliers. Une fois dérobées, ces informations peuvent être utilisées pour des accès illicites à des comptes bancaires, des réseaux sociaux et des plateformes professionnelles, avec des conséquences économiques et personnelles significatives.

3. Quelles mesures immédiates puis-je mettre en œuvre contre le ransomware Interlock ?
Outre des sauvegardes régulières et hors ligne, assurez-vous que tous les correctifs de sécurité sont appliqués, limitez les privilèges des comptes, désactivez les macros inutiles dans les documents et formez le personnel à ne pas ouvrir de pièces jointes suspectes. En cas d’infection, isolez immédiatement l’appareil du réseau et contactez l’équipe de réponse aux incidents.