L’étude souligne comment les acteurs malveillants ont privilégié la rapidité d’impact grâce à l’exploitation de vulnérabilités (notamment ToolShell SharePoint et React2Shell / CVE-2025-55182), tout en améliorant simultanément leur furtivité grâce à l’exécution en mémoire, l’exploitation des technologies cloud-native, l’utilisation d’outils « living-off-the-land » et une obfuscation de plus en plus assistée par l’IA.
Les principales conclusions sont les suivantes :
L’exploitation des vulnérabilités est désormais la voie la plus rapide pour compromettre un système. Des campagnes comme l’exploitation de ToolShell SharePoint et React2Shell (CVE 2025 55182) ont réduit les délais d’intrusion de plusieurs jours à quelques heures grâce à l’exécution rapide de webshells, l’accès aux identifiants et les déplacements latéraux.
La furtivité est devenue la méthode de prédilection des attaquants. Les acteurs malveillants s’appuient de plus en plus sur des chargeurs en mémoire, des charges utiles préparées et l’exploitation abusive des plateformes cloud/de confiance (SERPENTINE#CLOUD, DEEP#DRIVE) pour se fondre dans l’activité normale des entreprises et contourner les contrôles de périmètre.
Les ransomwares ont atteint leur pleine maturité et constituent désormais une chaîne d’approvisionnement complète. L’activité de 2025 a révélé un modèle de produit industrialisé et affilié, s’étendant à des familles établies et à des souches à évolution rapide, avec des tactiques, techniques et procédures (TTP) stables sur les environnements Windows, Linux et ESXi.
Les menaces basées sur l’IA ont évolué, passant de la génération de leurres à l’évasion et à l’automatisation. Des groupes tels que EvilAI, PROMPTFLUX, PROMPTSTEAL, PROMPTLOCK, FRUITSHELL et QUIETVAULT montrent que les attaquants utilisent l’IA pour faire muter les logiciels malveillants, contourner les contrôles statiques et automatiser les flux de travail d’intrusion.
Les conclusions de l’étude, qui se projettent jusqu’en 2026, indiquent une augmentation des campagnes d’exploitation automatisées, une focalisation accrue sur les attaques ciblant l’identité (abus de l’authentification multifacteur, détournement de jetons/sessions, manipulation des services d’assistance) et un recours plus fréquent à l’IA pour mener des attaques à grande échelle. Le rapport suggère qu’une défense durable reposera sur une détection comportementale et corrélée des menaces au niveau des terminaux, de l’identité, du réseau et du cloud, ainsi que sur des procédures de réponse éprouvées.
