Un affilié des rançongiciels Hive et Nefilim a été condamné à 70 mois de prison le 27 octobre 2026, tandis que les autorités américaines annonçaient la saisie du domaine d'un hébergeur dans une affaire distincte. Le ministère de la Justice a indiqué que l'opération de rançongiciel avait perturbé des entreprises et des prestataires de santé. La saisie du domaine visait pour sa part un service accusé d'aider des clients criminels à maintenir leur infrastructure en ligne.
Une troisième poursuite concerne un présumé système d'investissement en cryptomonnaies ayant fait 174 victimes américaines identifiées. Par ailleurs, Anthropic a publié le détail de cinq chaînes d'exploitation qu'un modèle d'IA interne aurait développées contre des navigateurs et des systèmes d'exploitation, avec des correctifs signalés pour chaque cible.
Affilié à un rançongiciel condamné, administrateur présumé recherché
Le Bureau du procureur des États-Unis pour le district oriental de New York indique que la juge Pamela K. Chen a condamné à Brooklyn le ressortissant ukrainien Artem Aleksandrovych Stryzhak, 36 ans. Il avait plaidé coupable en décembre 2025 de complot en vue de commettre une fraude, une extorsion et des activités connexes impliquant des ordinateurs. Les autorités espagnoles l'ont arrêté en juin 2024, et il a été extradé vers les États-Unis le 30 avril 2025.
Selon les documents judiciaires, Stryzhak était un affilié, c'est-à-dire un attaquant qui déploie le rançongiciel d'un groupe en échange d'une part des gains, de Nefilim comme de Hive. Il a rejoint le complot Nefilim vers juin 2021 et a convenu avec l'administrateur Volodymyr Tymoshchuk de verser aux administrateurs du groupe 20 % des rançons qu'il collecterait pour l'accès à ses logiciels malveillants.
En juin 2021, Stryzhak a volé des données d'une entreprise de transport pétrolier et gazier. Environ une semaine plus tard, il a créé les adresses e-mail utilisées dans une note de rançon envoyée à cette entreprise. Son déploiement de Nefilim s'est poursuivi jusqu'en octobre 2021 au moins.
Stryzhak était aussi l'un des tout premiers affiliés de Hive. Lui et ses coconspirateurs ont déployé Hive contre sept victimes, dont des cabinets d'avocats, un cabinet dentaire et un prestataire de santé, pendant la pandémie de COVID-19. Les fichiers chiffrés devenaient inaccessibles, et les auteurs fournissaient une clé de déchiffrement lorsque les victimes payaient. Le FBI a fourni à l'une des victimes de Stryzhak une clé pendant sa campagne de perturbation, ce qui a permis de récupérer les données sans paiement de rançon.
L'ensemble de la conspiration Hive a attaqué environ 1 500 victimes dans le monde entre juin 2021 et janvier 2023, parmi lesquelles des organismes publics, des hôpitaux et des entreprises. Ce total concerne le groupe dans son ensemble, et non les sept victimes de Hive identifiées pour Stryzhak. Un hôpital a dû soigner ses patients déjà admis sans outils numériques et ne pouvait pas accepter immédiatement de nouveaux patients.
Le bureau du FBI à Springfield a enquêté sur l'affaire Nefilim, et celui de Tampa sur l'affaire Hive. Les autorités continuent de rechercher Tymoshchuk. Le Département d'État offre une récompense pouvant atteindre 11 millions de dollars pour toute information menant à son arrestation, à sa condamnation ou à sa localisation.
Domaine Virtualine saisi pour hébergement criminel présumé
Dans une annonce distincte du 27 octobre, le Bureau du procureur des États-Unis pour le district oriental de Virginie indique que les autorités ont obtenu une autorisation judiciaire pour saisir virtualine.net. Ce domaine servait à Virtualine, également connue sous les noms de Secury, Massgod, Spamhouse, Lanedo et Omegatech.
Les procureurs décrivent Virtualine comme un hébergeur « bulletproof » : un service d'hébergement présenté comme résistant aux plaintes pour abus et aux poursuites. Il proposait des serveurs, de l'hébergement et l'achat de domaines, et faisait de la publicité auprès de criminels sur des forums de cybercriminalité.
Les dossiers judiciaires citent une annonce de septembre 2024 autorisant des activités illégales comme l'hameçonnage, la fraude à la carte bancaire et le spam, tout en excluant les contenus d'abus sexuels sur mineurs et le terrorisme. En mars 2026, Virtualine a promu une offre de protection supplémentaire selon laquelle elle répondrait à une demande officielle des forces de l'ordre en transférant l'infrastructure d'un client vers une société écran prétendument sans lien avec elle, puis en réactivant le serveur.
Malgré cette restriction affichée, les procureurs allèguent que Virtualine a sciemment hébergé un forum identifié comme Vendor 1, qui vendait l'accès à des images et vidéos sexuelles de mineurs et d'adultes. Ce forum faisait aussi la promotion de pirates à louer pour s'introduire dans les comptes de victimes et obtenir des contenus intimes sans consentement.
Virtualine a commencé à recevoir des signalements concernant des contenus d'abus sexuels sur mineurs en janvier 2026, environ un mois après avoir attribué une adresse IP à Vendor 1. Ces signalements provenaient des forces de l'ordre en Allemagne, au Canada et en Australie, du National Center for Missing and Exploited Children américain, ainsi que de l'avocat d'une victime. Selon les procureurs, Virtualine a continué d'héberger le service et a contribué à construire un site distinct de téléversement et de téléchargement, qui restait hébergé à la date de l'annonce, malgré au moins une plainte pour abus concernant des images d'enfants.
Le fournisseur acceptait les paiements par une option intitulée BTC [NO-AML], au moyen d'adresses bitcoin non hébergées présentées comme permettant d'éviter que les fonds soient signalés comme illicites. Les procureurs allèguent que les paiements attribuables à des groupes criminels ont ensuite été blanchis pour dissimuler leur origine.
Le bureau du FBI à Washington a enquêté avec l'appui de la police allemande et néerlandaise, de la National Crime Agency britannique, d'OverRIPE, de Lumen et du Bureau des affaires internationales du ministère de la Justice.
Extradition dans un présumé blanchiment de 36,9 millions de dollars
Le ministère de la Justice a annoncé le 23 octobre que Zheng Zhao, ressortissant chinois de 44 ans, avait été extradé des Pays-Bas et avait comparu devant le tribunal du district central de Californie. Il est accusé d'avoir participé à un complot international d'investissement en cryptomonnaies mené depuis des centres d'arnaque au Cambodge.
Les documents judiciaires allèguent que des coconspirateurs à l'étranger ont approché des victimes américaines par des interactions non sollicitées sur les réseaux sociaux, des appels, des SMS et des services de rencontre. Après avoir gagné leur confiance, ils ont promu de faux investissements via des sites ressemblant à des plateformes légitimes de trading de cryptomonnaies, et ont faussement affirmé aux victimes que leurs placements prenaient de la valeur.
Selon les procureurs, le réseau a fait transiter l'argent volé par des sociétés écrans américaines, des comptes bancaires internationaux et des portefeuilles d'actifs numériques. Plus de 36,9 millions de dollars de fonds de victimes sont passés de comptes bancaires américains contrôlés par des coconspirateurs vers un compte unique auprès de la Deltec Bank, aux Bahamas. Zhao et d'autres auraient organisé avec la banque la conversion de ces fonds en Tether, le stablecoin identifié comme USDT, puis leur envoi vers un portefeuille contrôlé au Cambodge. Les coconspirateurs sur place ont ensuite distribué de l'USDT à des dirigeants de centres d'arnaque de la région.
Zhao a été inculpé en août 2025 de complot en vue de blanchiment d'argent et encourt au maximum 20 ans de prison en cas de condamnation. Ces accusations restent des allégations, et il est présumé innocent. Huit coconspirateurs ont plaidé coupable, dont ShengSheng He et Jingliang Su, condamnés respectivement à 51 mois et 46 mois de prison pour complot visant à exploiter une entreprise de transfert d'argent sans licence.
Le Global Investigative Operations Center du Secret Service enquête, avec l'appui d'autres agences américaines et des autorités néerlandaises. La poursuite s'inscrit dans le cadre de la Cyber-Enabled Scam Initiative de la Criminal Division. Le ministère invite les victimes de fraude à l'investissement en actifs numériques à la signaler sur IC3.gov.
Anthropic décrit cinq chaînes d'exploitation développées par l'IA
Dans un compte rendu technique distinct, Anthropic affirme qu'un modèle de recherche interne non publié a découvert des vulnérabilités et, après une première instruction, a écrit des exploits fonctionnels contre Chrome, Safari, Android, Windows et Linux. Ce sont les constats et démonstrations rapportés par l'entreprise.
Pour Chrome sur macOS, Anthropic décrit une page malveillante qui a lancé la Calculatrice en quelques secondes, exécutant du code hors du bac à sable du navigateur, la frontière censée contenir les composants compromis. La chaîne combinait une corruption de mémoire dans le moteur JavaScript V8, une évasion du bac à sable de régions mémoire de V8, une condition de course (race condition) dans CacheStorage et un use-after-free dans la fonctionnalité de connexion FedCM. Un use-after-free se produit lorsqu'un logiciel accède à une mémoire après l'avoir libérée.
La chaîne mettait en échec l'ASLR (address space layout randomization), qui masque l'emplacement du code en mémoire, et utilisait la programmation orientée retour (return-oriented programming), qui combine des fragments de code existants pour contrôler l'exécution. Anthropic affirme que Google a attribué 62 CVE, c'est-à-dire des identifiants de vulnérabilités, à ses constats, et qu'il les a toutes corrigées à partir de Chrome 156. Toutes ont été classées de gravité critique ou élevée. Elles comprenaient 13 évasions de bac à sable et 21 vulnérabilités pouvant compromettre le renderer, le processus qui gère le contenu des pages web.
La chaîne Safari contournait la politique de même origine, la règle qui sépare les données d'un site de celles d'un autre. Anthropic affirme qu'elle permettait de lire l'historique du navigateur, les cookies et les bases de données de session, et d'envoyer des requêtes authentifiées vers d'autres domaines avant de lire leurs réponses. Un attaquant pourrait donc lire le courriel d'un utilisateur connecté, ou consulter ses soldes bancaires et tenter des virements.
Cette chaîne combinait un use-after-free dans JavaScriptCore, une évasion de l'isolation mémoire Gigacage de WebKit et une faille dans le mécanisme de communication inter-processus du bac à sable. Elle modifiait des données du navigateur et un indicateur de sécurité, plutôt que d'exécuter du code arbitraire. Certains comportements des composants ne devenaient exploitables qu'une fois combinés. Anthropic affirme qu'Apple a accusé réception du rapport le jour même et a rapidement déployé un correctif, disponible pour les utilisateurs.
Pour Android, l'entreprise indique avoir extrait des photos et des informations personnelles d'un téléphone verrouillé via USB. Un travail d'analyse du code source, de rétro-ingénierie des services Google Play et de tests sur un Pixel 9 physique a abouti à une chaîne qui contournait les restrictions de transfert sur appareil verrouillé, l'autorisation entre pairs et la confirmation d'appairage à six chiffres. Un mécanisme de secours a ensuite transféré le contenu des fichiers malgré une restriction distincte sur les transferts de fichiers bruts. Anthropic affirme que Google a corrigé le problème.
La faille Windows, CVE-2026-33096, concernait une lecture de mémoire hors limites dans l'implémentation QUIC du noyau, un protocole de transport utilisé par HTTP/3. Anthropic affirme que quelques paquets pouvaient faire planter puis redémarrer une machine Windows répondant à HTTP/3 via l'implémentation native, et que des requêtes répétées pouvaient la maintenir hors service. Cette estimation de plusieurs millions de serveurs exposés sur Internet reste une estimation de l'entreprise. Selon Anthropic, Microsoft a résolu la vulnérabilité. Le modèle l'a trouvée par analyse binaire, notamment en reconstruisant et en comparant le comportement du programme avant d'examiner le code obtenu à la recherche de faiblesses.
La chaîne Linux visait des serveurs dotés d'un écouteur multipath TCP. Anthropic affirme qu'un attaquant distant non authentifié pouvait exploiter un use-after-free dépendant du timing pour exécuter des commandes en tant que root, le compte le plus privilégié, sans interaction de l'utilisateur. Une étape divulguait un pointeur du noyau pour révéler des emplacements mémoire, et une autre écrasait un pointeur de rappel pour rediriger l'exécution vers des fonctions noyau existantes. Les tentatives échouées pouvaient ne laisser qu'un échec de la négociation de connexion (handshake), ce qui permettait de multiplier les essais. La démonstration d'Anthropic a demandé 48 minutes pour divulguer un pointeur, puis cinq minutes de plus pour exécuter une commande.
Anthropic identifie cette faille comme CVE-2026-98432 et affirme que le correctif a été intégré en amont et rétroporté vers toutes les branches stables maintenues du noyau Linux. L'entreprise signale aussi des failles locales d'élévation de privilèges dans OpenBSD, FreeBSD et Linux, des évasions de bac à sable et des vulnérabilités d'applications web.
L'entreprise indique avoir signalé chaque vulnérabilité selon un processus de divulgation accordant 90 jours aux éditeurs pour corriger, puis 45 jours supplémentaires avant toute discussion technique complémentaire. Sa plateforme de recherche exécute en parallèle des agents d'analyse, suit la couverture de code, recherche des variantes des failles confirmées et soumet les constats à une vérification et à une évaluation des risques.
Aux équipes de développement, Anthropic recommande d'analyser le code lors des pull requests et a publié un plugin de conseils de sécurité pour Claude Code. L'entreprise indique aussi que son Cyber Verification Program élargi offre aux professionnels de la sécurité remplissant les conditions des capacités avancées et des classificateurs de blocage réduits, notamment l'accès à Claude Opus 5.5, Claude Sonnet 5.5 et Claude Mythos 5.1. Sa recommandation pratique est que les défenseurs analysent leur propre code pendant le développement.
