Une campagne désactive Microsoft Defender avant de lâcher les rançongiciels

Introduction : la claim à vérifier

Ce que rapportent les chercheurs en cybersécurité

La claim circule depuis le 2 juillet 2026: des attaquants désactiveraient systématiquement Microsoft Defender, l'outil Sysmon de surveillance des journaux, ainsi que des pare-feux applicatifs (WAF), avant de déployer l'outil de vol d'identifiantsMimikatz. Cette affirmation provient directement du rapport de renseignement sur les vulnérabilités publié par Threat-Modeling.com, une source spécialisée en cybersécurité que nous avons pu consulter directement.

Ce fact-check vérifie chaque élément de cette affirmation: la nature exacte de la technique, son lien avec les vulnérabilités récentes de Defender, et la fiabilité de la source qui la documente. Verdict préliminaire: l'affirmation est globalement corroborée par la source primaire, avec quelques nuances techniques à apporter.

Claim n°1 : une chaîne d'attaque en trois étapes

Ce que dit précisément le rapport

Selon Threat-Modeling.com, la campagne suit une séquence précise: les attaquants obtiennent d'abord un accès initial au système visé, désactivent ensuite l'ensemble de la surveillance de sécurité, puis récoltent les identifiants des utilisateurs. Le rapport qualifie cette méthode de « chaîne de suppression défensive » sophistiquée, un terme technique qui décrit précisément ce type d'attaque en cascade.

Verdict: VRAI. Cette description correspond exactement à ce que documente la source primaire, sans exagération ni raccourci. La séquence en trois temps, accès puis neutralisation puis vol, constitue effectivement le schéma classique d'une attaque de ce type, largement documenté dans la littérature spécialisée en cybersécurité au-delà de ce seul rapport.

Pourquoi cette séquence est particulièrement dangereuse

Ce qui rend cette chaîne d'attaque redoutable n'est pas chacune de ses étapes prise isolément, mais leur enchaînement rapide et coordonné: une fois la surveillance neutralisée, les attaquants opèrent pratiquement à l'aveugle pour les équipes de sécurité, qui perdent leur capacité de détection précisément au moment où l'attaque devient la plus dommageable.

Cette réalité technique confirme que la vitesse de détection reste le facteur décisif dans la limitation des dégâts d'une cyberattaque moderne, un principe que ce rapport illustre concrètement plutôt que de façon théorique.

Claim n°2 : deux vulnérabilités Defender distinctes cette semaine

BlueHammer, un rançongiciel confirmé

Le rapport nomme précisément deux vulnérabilités touchant Microsoft Defender découvertes dans la même semaine: BlueHammer, une faille d'élévation de privilèges répertoriée sous CVE-2026-33825, confirmée par la CISA comme étant activement utilisée dans des campagnes de rançongiciels réelles.

Verdict: VRAI, avec confirmation officielle. Le fait que la CISA, l'agence américaine de cybersécurité, ait confirmé une exploitation active de cette faille dans de véritables attaques par rançongiciel donne un poids factuel considérable à cette partie de l'affirmation. Ce n'est pas une menace théorique mais un vecteur d'attaque documenté sur le terrain.

RoguePlanet, un zero-day encore sans correctif complet

La seconde vulnérabilité, baptisée RoguePlanet, constitue selon le rapport un zero-day critique confirmé dans l'antivirus intégré par défaut à chaque installation de Windows. Microsoft travaillerait activement à développer un correctif de sécurité, mais les détails techniques précis de cette faille restent limités en attendant sa publication officielle.

Verdict: VRAI, mais incomplet par nature. Un zero-day, par définition, désigne une vulnérabilité non corrigée au moment de sa découverte, ce qui explique pourquoi les détails techniques exhaustifs ne sont pas encore publiquement disponibles. Cette limitation ne remet pas en cause la véracité de la claim, elle en révèle simplement la nature évolutive.

Claim n°3 : deux failles Defender en 48 heures, un fait sans précédent

Une concentration inhabituelle de vulnérabilités critiques

Le rapport souligne que la découverte de deux vulnérabilités critiques distinctes dans l'antivirus intégré de Microsoft en l'espace de 48 heures constitue un événement qualifié de « sans précédent ». BlueHammer aurait été révélée la veille de RoguePlanet, selon la chronologie précise établie par le rapport du 1er juillet.

Verdict: PROBABLEMENT VRAI, sous réserve de vérification historique complète. Nous n'avons pas pu confirmer de façon indépendante qu'aucun précédent similaire n'existe dans l'histoire de Microsoft Defender, mais la source spécialisée, dont c'est le métier de suivre ce type d'événement au quotidien, affirme ce caractère exceptionnel avec une certaine autorité technique.

Pourquoi la nature de Defender amplifie le risque

Le rapport insiste sur un point technique essentiel: Defender fonctionne avec des privilèges de niveau SYSTÈME et se situe à la frontière de confiance la plus profonde de Windows. Chaque vulnérabilité affectant ce composant représente donc potentiellement un vecteur de compromission totale du système, et non une simple faille mineure limitée à une fonctionnalité secondaire.

Verdict: VRAI. Cette caractérisation technique du niveau de privilège de Defender correspond à l'architecture connue et documentée de Windows. Un logiciel de sécurité disposant de tels privilèges constitue effectivement une cible de choix précisément parce que sa compromission ouvre un accès quasi total au système visé.

Claim n°4 : les recommandations défensives sont-elles réalistes

Ce que les experts recommandent concrètement

Le rapport recommande aux organisations de vérifier que la protection anti-sabotage de Defender est activée, ce qui empêche sa désactivation non autorisée, de surveiller les journaux d'événements Windows pour détecter les arrêts de services de sécurité, et de mettre en place des alertes sur tout changement d'état de Defender ou de Sysmon.

Verdict: RECOMMANDATIONS TECHNIQUEMENT VALIDES. Ces mesures correspondent aux bonnes pratiques standards de l'industrie de la cybersécurité pour ce type de menace. Elles ne garantissent pas une protection absolue, mais elles réduisent significativement la fenêtre d'opportunité dont disposent les attaquants pour opérer sans être détectés.

Les limites pratiques de ces recommandations

Il faut cependant nuancer l'enthousiasme technique: toutes les organisations, en particulier les petites structures sans équipe de sécurité dédiée, ne disposent pas nécessairement des ressources humaines et techniques pour mettre en œuvre une surveillance continue de ces journaux d'événements. La recommandation est juste sur le plan technique, mais son applicabilité universelle reste discutable.

Cette limitation pratique ne rend pas la recommandation fausse, elle souligne simplement un fossé persistant entre les bonnes pratiques théoriques de cybersécurité et les capacités réelles des organisations les plus vulnérables, souvent les moins bien équipées pour se défendre.

Claim n°5 : Mimikatz reste un outil de choix pour le vol d'identifiants

Un outil ancien mais toujours redoutablement efficace

L'affirmation selon laquelle les attaquants utilisent Mimikatz pour siphonner les identifiants une fois la surveillance désactivée s'appuie sur un fait bien établi dans l'industrie: cet outil, développé initialement à des fins de démonstration de sécurité, reste l'un des utilitaires de vol d'identifiants les plus utilisés dans les attaques réelles depuis plus d'une décennie.

Verdict: VRAI et cohérent avec les tendances établies. La persistance de Mimikatz comme outil de choix, malgré son ancienneté relative dans le paysage des menaces informatiques, n'a rien de surprenant pour quiconque suit ce secteur: son efficacité pour extraire des identifiants en mémoire reste largement intacte face aux défenses standards non spécifiquement configurées pour le détecter.

Ce que cela révèle sur la maturité défensive des organisations

Le fait qu'un outil aussi connu et documenté continue de fonctionner efficacement dans des attaques contemporaines révèle un problème plus large que la seule question des vulnérabilités Defender: de nombreuses organisations n'ont toujours pas déployé les configurations défensives spécifiques qui permettraient de détecter ou de bloquer efficacement l'usage de Mimikatz sur leurs systèmes.

Ce constat, s'il n'est pas explicitement formulé ainsi dans le rapport source, découle logiquement des faits qu'il présente: la technologie défensive existe, mais son déploiement effectif reste inégal selon les organisations.

Claim n°6 : le silence de Microsoft sur le calendrier de correction

Ce que le rapport reproche à la communication officielle

Le rapport de Threat-Modeling.com note que Microsoft n'a pas publié de calendrier précis pour le correctif complet de RoguePlanet, se contentant d'accusés de réception génériques dans son Microsoft Security Response Center. Cette absence de transparence sur les délais alimente l'incertitude chez les responsables de la sécurité informatique qui doivent, en attendant, appliquer des mesures d'atténuation temporaires plutôt qu'une correction définitive.

Verdict: VRAI, mais avec nuance nécessaire. Il est courant, et même recommandé par les bonnes pratiques du secteur, que les éditeurs ne divulguent pas de détails techniques précis sur un correctif en cours avant sa publication, afin d'éviter de fournir une feuille de route aux attaquants. Le silence relatif de Microsoft n'est donc pas nécessairement une faute, mais il reste frustrant pour les équipes de sécurité qui doivent gérer le risque dans l'incertitude.

Les précédents comparables chez d'autres éditeurs

Cette dynamique n'est pas propre à Microsoft: d'autres géants technologiques comme Google et Apple ont, par le passé, adopté des politiques similaires de divulgation graduée face à des vulnérabilités critiques de type zero-day, privilégiant la sécurité opérationnelle à la transparence immédiate envers le grand public.

Verdict: CONTEXTE CONFIRMÉ. La pratique de divulgation responsable, qui consiste à limiter l'information publique tant qu'un correctif n'est pas prêt, constitue une norme largement acceptée dans l'industrie de la cybersécurité, même si elle frustre légitimement les administrateurs systèmes en première ligne face à la menace.

Claim n°7 : l'ampleur réelle de la campagne reste à confirmer

Ce que le rapport dit, et surtout ce qu'il ne dit pas

Un examen attentif du rapport de Threat-Modeling.com révèle une limite importante: le document ne fournit pas de chiffres précis sur le nombre d'organisations touchées, ni sur l'identité des groupes de rançongiciels impliqués dans cette campagne spécifique. Cette absence de données quantitatives ne discrédite pas l'affirmation, mais elle en limite la portée factuelle exacte.

Verdict: INFORMATION INCOMPLÈTE, PAS FAUSSE. Il serait malhonnête d'affirmer que cette campagne a touché un nombre précis de victimes sans source le confirmant. Ce que l'on peut affirmer avec certitude, c'est que la technique existe, qu'elle est documentée, et que les vulnérabilités exploitées sont réelles et confirmées par la CISA.

Pourquoi cette prudence méthodologique compte

Cette distinction entre une technique confirmée et une ampleur encore floue illustre précisément pourquoi un fact-check rigoureux doit résister à la tentation d'amplifier une menace au-delà de ce que les sources permettent réellement d'établir, même lorsque le sujet est légitimement préoccupant pour la sécurité des organisations occidentales.

Cette rigueur ne diminue en rien la gravité de la menace documentée: elle en précise simplement les contours factuels, ce qui permet aux responsables de sécurité de prioriser leurs efforts sur des bases solides plutôt que sur une panique mal calibrée.

Conclusion : verdict global sur la campagne rapportée

Une affirmation largement corroborée par une source spécialisée fiable

Après vérification de chaque élément constitutif de cette affirmation, notre verdict global est le suivant: l'essentiel de la claim est VRAI et bien documenté par le rapport de Threat-Modeling.com, lui-même appuyé sur des confirmations de la CISA concernant l'exploitation active de la faille BlueHammer. La chaîne d'attaque décrite, la nature critique des deux vulnérabilités Defender, et le rôle de Mimikatz dans le vol d'identifiants correspondent tous à des faits techniquement cohérents et corroborés.

La seule réserve à apporter concerne les détails techniques complets de RoguePlanet, encore limités en raison de sa nature de zero-day non entièrement corrigé, une limitation inhérente à ce type de découverte plutôt qu'une faiblesse de la source d'information elle-même.

Ce que les organisations devraient retenir

Au-delà du verdict factuel, ce fact-check confirme une réalité opérationnelle urgente: les organisations utilisant Windows et Microsoft Defender devraient traiter cette information comme un signal d'alerte légitime justifiant une révision immédiate de leur posture de sécurité, plutôt que comme une simple curiosité technique parmi d'autres dans le flux constant de rapports de cybersécurité.

Signé Maxime Marquette, chroniqueur

Encadré de transparence du chroniqueur

Qui je suis et mes biais assumés

Je traite les sujets technologiques avec une conviction ferme: l'Occident doit conserver son avance technologique face à des rivaux comme la Chine, la Russie, l'Iran et la Corée du Nord, dont les capacités offensives en cybersécurité sont documentées de longue date. Cette conviction ne m'empêche pas de vérifier rigoureusement chaque affirmation technique avant de la relayer.

Ce fact-check s'appuie exclusivement sur les rapports de renseignement sur les vulnérabilités publiés par Threat-Modeling.com les 1er et 2 juillet 2026. Je n'ai inventé aucun détail technique, aucune vulnérabilité et aucune citation dans ce texte.

Ce que je ne sais pas et ma méthode

Je ne suis pas un chercheur en cybersécurité et je ne peux pas vérifier personnellement le code exploitant ces vulnérabilités. Ma méthode consiste à évaluer la cohérence interne du rapport, sa correspondance avec les faits techniques connus sur l'architecture Windows, et la crédibilité de ses sources citées, notamment la CISA, plutôt que de me prononcer au-delà de ce que ces éléments permettent raisonnablement de conclure.

Sources

Sources primaires

Threat-Modeling.com, Vulnerability Intelligence Report — 2 juillet 2026

Microsoft Security Response Center, blog officiel de sécurité — accès juillet 2026

Sources secondaires

Threat-Modeling.com, Vulnerability Intelligence Report — 1er juillet 2026

Cybersecurity and Infrastructure Security Agency (CISA), catalogue des vulnérabilités exploitées connues — accès juillet 2026

Military Times, contexte sur les cybermenaces visant les infrastructures occidentales — accès juillet 2026

Wikipedia, historique et fonctionnement de l'outil Mimikatz — consulté juillet 2026