Kill one, spawn many

"Détruire pour protéger." L'industrie cyber applique cette doctrine depuis seize ans. En 2026, les données permettent d'en mesurer le résultat.

En cinq mois, Google, Microsoft, Europol et le DOJ ont démantelé cinq des plus grands réseaux proxy, botnets et plateformes de phishing au monde. IPIDEA : 550 groupes de menaces observés en une semaine, plusieurs millions de devices neutralisés¹. Tycoon 2FA : 62% du phishing bloqué par Microsoft, 330 domaines saisis². SocksEscort : 369 000 adresses IP dans 163 pays³. Aisuru, Kimwolf, JackSkid et Mossad : plus de 3 millions de devices compromis, 315 000 attaques DDoS attribuées⁴. L'industrie applaudit. Les communiqués parlent de "dégradation significative."

Personne ne pose la question de ce qui vient après.

Après, c'est une chronologie que les communiqués ne couvrent pas. Et cette chronologie raconte une histoire différente de celle des keynotes.

Le postulat

La doctrine de disruption repose sur un raisonnement économique : augmenter le coût de l'attaquant réduit le volume d'attaques. Sandra Joyce, VP de Google Threat Intelligence Group, l'a formalisé en keynote à RSA 2026 en mars⁵. La défense passive ne suffit plus. Il faut perturber activement l'adversaire, démanteler ses infrastructures, comprimer son retour sur investissement. Le cadre politique américain accompagne le mouvement : le One Big Beautiful Bill Act alloue un milliard de dollars aux opérations cyber offensives. Plusieurs propositions de loi déposées en 2025 cherchent à ressusciter les lettres de marque, le Scam Farms Marque and Reprisal Authorization Act contre les cybercriminels, un autre texte contre les cartels. Toutes restent en commission⁶.

Google opère l'infrastructure qu'exploitent les adversaires : Android, Gmail, Chrome, le DNS, le cloud. Google peut donc les en déloger. Le raisonnement se tient. Il suppose que l'adversaire, une fois délogé, disparaît.

Microsoft teste ce modèle depuis 2010 avec sa Digital Crimes Unit⁷. Seize ans et des dizaines d'opérations plus tard, le cybercrime a augmenté chaque année, sans exception. Si le postulat fonctionnait, on observerait une inflexion quelque part. On observe le contraire. En avril 2026, Barracuda publie son bilan annuel du paysage des botnets : l'année 2025 a été simultanément celle des plus grandes victoires de disruption et celle de la plus forte croissance de l'activité cybercriminelle⁸. Disruption et accélération, en même temps.

Les faits

Janvier 2026. Google démantèle IPIDEA, l'un des plus grands réseaux de proxy résidentiels au monde¹. Action judiciaire sur les domaines C2, coordination avec Cloudflare, Spur et Lumen's Black Lotus Labs, suppression de plus de 600 applications Android via Play Protect. Le pool de devices disponibles chute de plusieurs millions.

Au même moment, le réseau Kimwolf survit indépendamment. Kimwolf ne se contentait pas d'alimenter IPIDEA avec 2 millions d'appareils Android infectés⁹. Selon le rapport Lumen Defender Threatscape 2026, les opérateurs de Kimwolf exploitaient une vulnérabilité dans IPIDEA qui permettait le pivotement LAN : un acteur achetait un accès proxy résidentiel, le jailbreakait, pivotait dans le réseau local et recrutait d'autres devices dans le botnet¹⁰. Kimwolf était un parasite d'IPIDEA. Google a détruit l'hôte. Le parasite a muté en organisme autonome.

Un mois plus tard, le botnet Aeternum apparaît¹¹. Son C2 transite par la blockchain Polygon. Les saisies de domaines, principal outil juridique des takedowns, sont inopérantes contre cette architecture. Aeternum n'est pas un résidu d'IPIDEA. C'est un produit de l'après-IPIDEA, conçu pour résister aux méthodes qui ont fonctionné en janvier.

Début mars. Takedown coordonné Europol/Microsoft contre Tycoon 2FA². 330 domaines saisis. Victoire opérationnelle indiscutable. Mais l'opérateur principal (identifié au Pakistan) reste en liberté. Les credentials volés circulent toujours. Microsoft chiffre la suite lui-même : le phishing Tycoon recule de 15 % le reste du mois, puis repart dès la troisième semaine, les domaines basculant vers le .RU (plus de 41 % du parc fin mars) et quittant Cloudflare¹².

Deuxième semaine de mars. Lumen documente KadNap, un réseau de 14 000 routeurs ASUS revendus comme proxys résidentiels¹³. Le malware opérait depuis août 2025, cinq mois avant la chute d'IPIDEA, sur une lignée distincte. Pendant que Google démantelait un réseau, un autre grandissait sur les équipements edge, hors de portée de l'opération. L'offre proxy se régénère en parallèle des démantèlements, pas en réaction à eux, sur un substrat plus difficile à cartographier, à saisir et à attribuer.

Même semaine. Les autorités américaines démantèlent SocksEscort³. 369 000 adresses IP. 163 pays.

19 mars. Le DOJ, avec le Canada et l'Allemagne, démantèle quatre botnets simultanément : Aisuru, Kimwolf, JackSkid et Mossad⁴. Plus de 3 millions de devices compromis. Kimwolf, le parasite qui avait survécu à la chute d'IPIDEA en janvier, avait entre-temps triplé sa base de bots en une seule semaine et lancé des attaques atteignant 30 térabits par seconde¹⁰. Il aura fallu deux mois pour le démanteler à son tour. D'ici là, il avait déjà rempli sa fonction : démontrer que la destruction de l'hôte ne fait qu'accélérer l'évolution du parasite.

Cinq démantèlements majeurs en cinq mois. La population totale de réseaux proxy n'a pas diminué.

Publier, c'est enseigner

Chaque opération de disruption publie du renseignement technique. Indicateurs de compromission, architecture C2, signatures de SDK, mode opératoire détaillé. L'intention est défensive : permettre à la communauté de se protéger.

L'effet est éducatif : permettre à l'adversaire de corriger ses erreurs.

Pour IPIDEA, Google a exposé l'architecture tier-1/tier-2, les 7 400 serveurs identifiés, les domaines de distribution des SDK, les 13 marques opérées depuis la même infrastructure¹. Le prochain opérateur de proxy résidentiel dispose d'un cours complet sur ce qu'il ne faut pas reproduire. Ne pas centraliser les SDK. Ne pas réutiliser les mêmes domaines pour le C2 et le marketing. Ne pas passer par le Play Store. Ne pas opérer treize marques depuis le même backend.

Ce qui est exposé ne sera plus exploitable. Le rendement de chaque publication de renseignement technique est décroissant par construction : elle ferme la fenêtre qu'elle documente.

Le scénario était écrit

En avril 2025, Sekoia TDR et Orange Cyberdefense publiaient un rapport conjoint sur le marché des proxy résidentiels¹⁴. Deux de leurs conclusions éclairent directement la suite des événements.

D'abord, la fragmentation apparente du marché masquait une consolidation réelle. Des fournisseurs présentés comme indépendants partageaient les mêmes entités juridiques, la même infrastructure serveur, les mêmes wallets crypto. Intel 471 a confirmé : 922 S5 Proxy, ABC S5 Proxy et PIA S5 Proxy affichaient la même adresse Ethereum sur leurs sites respectifs¹⁵. IPIDEA opérait 13 marques depuis la même architecture. La fragmentation était un décor. La réalité était un oligopole opaque.

Ensuite, la conclusion la plus prémonitoire. Sekoia écrivait en toutes lettres que le marché est "si fragmenté qu'aucun fournisseur n'est un acteur suffisamment important pour justifier un démantèlement. La disparition d'un fournisseur malveillant signifie simplement que les acteurs cyber se déplacent vers l'un des nombreux autres fournisseurs"¹⁴.

Google a fait exactement ce que Sekoia décrivait comme inefficace. Le résultat correspond à ce que Sekoia avait prédit : la demande s'est redistribuée.

Avec un effet de bord supplémentaire. En frappant un nœud d'interconnexion qui masquait une consolidation cachée, Google l'a remplacé par une fragmentation réelle cette fois. L'opacité du marché a augmenté, pas diminué. C'est l'effet ballon documenté en criminologie depuis trente ans : on démantèle un cartel, le trafic ne diminue pas, il se redistribue en structures plus petites et plus difficiles à surveiller.

Les survivants sont les plus résistants

La pression de la disruption industrielle sélectionne. Les commodity actors (ceux qui dépendent d'infrastructure mutualisée et bon marché) tombent. Ceux qui restent debout résistent, par définition, aux méthodes qui ont éliminé les précédents.

Lumen, qui opère l'un des plus grands backbones Internet au monde, a documenté le mécanisme dans son rapport Defender Threatscape 2026¹⁰. En quatre mois, Black Lotus Labs a participé à la disruption de plus de 550 nœuds C2 liés à Aisuru et Kimwolf. Les opérateurs réagissaient en heures, parfois en minutes, mettant en place des serveurs de remplacement et déclenchant des re-téléchargements massifs de malware à travers le botnet. Le rapport conclut que la vitesse et l'échelle des cycles de récupération de Kimwolf montrent comment les futurs botnets évolueront sous pression : en se reconstituant plus vite que les défenseurs ne peuvent réagir.

La résistance n'est pas que du côté de l'infrastructure. Le 17 mars, une campagne de 1,5 million de messages frappe 179 000 organisations dans 43 pays en orchestrant trois plateformes de phishing à la fois : Tycoon 2FA, Kratos et EvilTokens¹². L'opérateur ne dépend plus d'un fournisseur unique, il répartit son trafic sur des kits interchangeables. Démanteler l'un d'eux ne déplace rien, le client était déjà sur les autres. La redondance n'est plus une réaction au takedown, elle est intégrée d'avance.

Aeternum et son C2 blockchain¹¹ pousse la logique un cran plus loin. HONESTCUE¹⁶, premier malware documenté qui externalise sa génération de code vers un LLM commercial, encore un autre. L'analyse statique et les signatures deviennent inadaptées face à du code généré dynamiquement à chaque exécution. La disruption de l'infrastructure ne touche pas la fabrique du malware.

Le kit d'exploitation iOS Coruna complète le tableau¹⁷. Conçu au niveau étatique, il prolifère désormais vers le vol de crypto. La frontière entre outils gouvernementaux, surveillance commerciale et cybercrime de masse a disparu. La disruption nettoie le bruit de fond visible et pousse la menace réelle dans l'ombre. On élimine ce qu'on savait détecter. On sélectionne ce qu'on ne sait pas détecter.

La reconstitution se mesure en heures

L'industrie de la disruption mesure ce qu'elle fait, pas ce qu'elle produit. Domaines saisis, devices nettoyés, groupes identifiés : des métriques d'activité.

Les communiqués de victoire ne mesurent pas ce qui se reconstitue derrière. Quand quelqu'un le mesure, le résultat contredit la doctrine. En février 2025, une étude relue par les pairs l'a fait. Une équipe académique, financée par le Conseil européen de la recherche, a suivi le plus vaste démantèlement jamais conduit contre les booters, ces services de DDoS à la demande vendus quelques dollars par mois. L'opération, menée par le FBI, la NCA et la police néerlandaise, a saisi 62 domaines en deux vagues entre décembre 2022 et mai 2023, procédé à des arrestations et déployé des sites pièges pour décourager les clients. L'analyse croise plusieurs sources, dont le trafic réel capté sur les domaines saisis¹⁸.

Plus de la moitié des booters de la première vague sont revenus en ligne en une médiane de 19 heures. Tous ceux de la seconde vague sont revenus, médiane de 42 heures. Les opérateurs saisis aux deux vagues ont réinstallé leur service, la seconde fois, en une heure : ils étaient préparés. Sur le volume d'attaques, la première vague a produit une baisse de 20 à 40 %, statistiquement significative, résorbée en six semaines avant que le volume ne repasse au-dessus de son point de départ. La même durée qu'au démantèlement de 2018.

La même étude replace l'épisode dans une lignée. Le ver Conficker a été neutralisé il y a plus de quinze ans ; des millions de machines restaient infectées des années plus tard. Deux ans après la disruption de VPNFilter, des routeurs étaient toujours compromis. Le rançongiciel LockBit est réapparu une semaine après l'opération internationale qui l'avait frappé. Sur des cas sans rapport entre eux, la reconstitution est la règle.

Côté vendeur, le marché des infostealers raconte la même chose. En mai 2025, Microsoft, le FBI et Europol saisissent 2 300 domaines liés à Lumma Stealer¹⁹. Les indicateurs de compromission tombent à 57 le jour du takedown, remontent à 287 le lendemain, atteignent 457 une semaine plus tard, au-dessus des niveaux d'avant²⁰. Trend Micro documente la migration vers des hébergeurs russes moins coopératifs²¹. En février 2026, Lumma opère de nouveau à pleine échelle²². Le plus gros démantèlement d'infostealer de l'histoire a été absorbé en quelques semaines.

Le coût de la disruption est supporté une fois par le disrupteur. Le coût de la recomposition est réparti sur des centaines d'acteurs qui s'adaptent en parallèle. Le coût de la ré-attribution est supporté par tous les défenseurs, y compris ceux qui n'ont pas la visibilité du disrupteur.

Cette étude livre un dernier résultat, le plus décisif. Partout, la saisie d'infrastructure a produit un effet court. Ce qui a modifié durablement les pratiques, c'est la composante d'influence : faux sites déployés par la police, publicités ciblées, présence sur les forums, de quoi installer une perception du risque chez les clients. Or c'est la saisie d'infrastructure, la moitié éphémère, que Google industrialise et vend. La moitié qui dure ne se vend pas, et reste hors de portée de qui n'est pas un État.

Le cycle se referme

Google disrupts l'infrastructure observable. Les attaquants se fragmentent et deviennent plus difficiles à tracer. Google publie un rapport montrant que les menaces se sophistiquent. Google vend la nécessité de sa visibilité globale comme seule réponse. La dépendance s'accroît. Le cycle recommence²³.

Aucun complot là-dedans. Une propriété émergente d'un système où le disrupteur est aussi le vendeur de la solution au problème qu'il contribue à aggraver. Sandra Joyce le dit elle-même à RSA : le secteur privé opère l'infrastructure que les adversaires exploitent, ce qui lui donne des capacités que les agences gouvernementales n'ont parfois pas⁵. C'est vrai. C'est aussi un argument commercial. Les deux coexistent.

Quand on n'est pas Google

Pour une entreprise qui n'opère pas une plateforme cloud mondiale, un OS mobile dominant, un moteur de recherche, un service email à 1,8 milliard d'utilisateurs et un réseau DNS planétaire, la doctrine de disruption a une conséquence concrète²⁴.

Avant le démantèlement d'IPIDEA, vos équipes pouvaient identifier les nœuds de sortie du réseau, les ajouter aux blocklists, corréler les activités suspectes transitant par une infrastructure connue. Après, le trafic malveillant transite par des réseaux que vous ne connaissez pas, depuis des devices que vous ne pouvez pas cartographier, avec des patterns que vous n'avez pas encore observés. Le bruit de fond observable a été remplacé par du bruit de fond invisible.

Pour une PME de la BITD, un hôpital, une collectivité, une ETI industrielle, le bilan est négatif. La menace n'a pas diminué. La visibilité sur la menace a diminué. Et la seule entité qui conserve cette visibilité est celle qui a causé la fragmentation.

La bonne échelle

Perturber l'attaquant dans votre réseau (traquer sa présence, comprendre ses mouvements latéraux, couper ses accès, documenter ses TTPs) produit un effet local maîtrisé. Le coût est proportionnel à votre taille. Le bénéfice vous revient directement.

Perturber l'attaquant à l'échelle d'Internet (démanteler son infrastructure, fragmenter ses réseaux, publier ses méthodes) produit un effet dont les bénéfices sont captés par ceux qui ont la visibilité mondiale, et dont les coûts sont répartis sur tous les autres.

La première approche est accessible. La seconde est un luxe qui se paie en dépendance.

Ce que je ne sais pas

Le contre-factuel est invérifiable. Il est possible que sans disruption, le volume d'attaques serait encore plus élevé. Aucune donnée ne permet de trancher.

La reconstitution et l'impact court, eux, sont désormais mesurés. L'étude citée plus haut le fait systématiquement, hors de tout intérêt commercial ; Microsoft sur Tycoon, Lumen sur Kimwolf, Lumu et Trend Micro sur Lumma le documentent cas par cas. Mais l'étude porte sur le marché des booters, le bas de gamme mutualisé, et exclut explicitement le crime organisé et étatique. Pour IPIDEA et Aeternum, les preuves de reconstitution restent indirectes : apparition chronologique, corrélation temporelle. La causalité directe « ce takedown a produit ce successeur » n'est pas démontrée formellement.

Reste l'angle mort principal. La dégradation de l'attribution et la perte de visibilité pour les défenseurs qui n'ont pas participé au takedown sont une déduction, pas une mesure. On sait désormais chiffrer la vitesse de reconstitution ; personne ne publie de données sur ce que la fragmentation coûte à ceux qui la subissent sans l'avoir provoquée. Cette absence est en soi un résultat : la doctrine est appliquée sans mesure de son effet sur les défenseurs non-participants.

Conclusion

Seize ans de takedowns. Le cybercrime n'a jamais été aussi industrialisé, fragmenté, résilient. Le problème n'est peut-être pas l'exécution de la doctrine. Le problème est peut-être la doctrine.

Vingtième article d'une série sur les failles de la cybersécurité occidentale :

• Article 1 : La vulnérabilité de la gestion des vulnérabilités
• Article 2 : La dépendance européenne aux standards américains
• Article 3 : Les États, architectes cachés du marché noir des vulnérabilités
• Article 4 : L'IA ou l'effondrement du modèle défensif occidental
• Article 5 : Desert Power — survivre sans l'Empire
• Article 6 : I Am Altering the Deal
• Article 7 : Le dernier canal
• Article 8 : Lord of Cyber War
• Article 9 : Les faucons du numérique
• Article 10 : They Live... we sleep
• Article 11 : Soylent Green
• Article 12 : Ghost in the Binary
• Article 13 : Now You See Me
• Article 14 : The Prestige
• Article 15 : Pitch Black
• Article 16 : The Thing That Should Not Be
• Article 17 : Status: clean
• Article 18 : Le Guépard
• Article 19 : The Usual Suspects

Sources

¹ Google Cloud Blog / GTIG, « Disrupting the World's Largest Residential Proxy Network », 29 janvier 2026. https://cloud.google.com/blog/topics/threat-intelligence/disrupting-largest-residential-proxy-network

² Microsoft On the Issues, « How a global coalition disrupted Tycoon 2FA », 4 mars 2026. Europol, « Global Phishing Service Platform Taken Down », mars 2026. https://blogs.microsoft.com/on-the-issues/2026/03/04/how-a-global-coalition-disrupted-tycoon/ https://www.europol.europa.eu/media-press/newsroom/news/global-phishing-service-platform-taken-down-in-coordinated-public-private-action

³ The Hacker News, « Authorities Disrupt SocksEscort Proxy Botnet Exploiting 369,000 IPs Across 163 Countries », 14 mars 2026. TechCrunch, « Law enforcement shuts down botnet made of tens of thousands of hacked routers », 12 mars 2026. https://thehackernews.com/2026/03/authorities-disrupt-socksescort-proxy.html https://techcrunch.com/2026/03/12/law-enforcement-shuts-down-botnet-made-of-tens-of-thousands-of-hacked-routers/

⁴ CyberScoop, « Justice Department disrupts botnet networks that hijacked 3 million devices », 20 mars 2026. Cybersecurity Dive, « US, allies move to dismantle four high-volume IoT botnets », mars 2026. Krebs on Security, « Feds Disrupt IoT Botnets Behind Huge DDoS Attacks », mars 2026. https://cyberscoop.com/botnet-disruption-aisuru-kimwolf-jackskid-mossad/ https://www.cybersecuritydive.com/news/botnet-takedown-operation-us-canada-germany/815309/ https://krebsonsecurity.com/2026/03/feds-disrupt-iot-botnets-behind-huge-ddos-attacks/

⁵ Nextgov/FCW, « Google launches threat disruption unit, stops short of calling it 'offensive' », 23 mars 2026. RSAC 2026 keynote Sandra Joyce, « Activate Industry!: Moving Beyond Defense to Disruption and Active Defense ». https://www.nextgov.com/cybersecurity/2026/03/google-launches-threat-disruption-unit-stops-short-calling-it-offensive/412321/ https://www.rsaconference.com/library/video/rsac-2026-quick-look-activate-industry

⁶ Voir dans cette série : « Lord of Cyber War » (lettres de marque, privatisation des opérations cyber). Scam Farms Marque and Reprisal Authorization Act of 2025 (H.R. 4988), déposé par le représentant David Schweikert le 15 août 2025, renvoyé à la commission des Affaires étrangères de la Chambre, zéro cosignataire, statut « Introduced » à date. Version cartels du même dispositif : Cartel Marque and Reprisal Authorization Act of 2025 (H.R. 1238 / S. 3567). CyberScoop, « Google previews cyber 'disruption unit' as U.S. government mulls more offensive options », 27 août 2025. https://www.congress.gov/bill/119th-congress/house-bill/4988 https://cyberscoop.com/google-cybersecurity-disruption-unit-active-defense-hack-back/

⁷ Lawfare / Seriously Risky Business, « Google Sharpens Its Cyber Knife », 5 septembre 2025 — citant le précédent Microsoft DCU depuis 2010 et les deux premières opérations Google (Glupteba 2021, BadBox 2.0 juillet 2025). Microsoft, « The DCU helps the law move at the speed of cybercrime ». https://www.lawfaremedia.org/article/google-sharpens-its-cyber-knife

⁸ Barracuda Networks, « Top threat trends of the 2025 botnet landscape », 13 avril 2026 — « 2024 was a year of both disruption and acceleration for botnet-driven threats. [...] Overall botnet activity continued to grow in scale and intensity. » https://blog.barracuda.com/2026/04/13/top-threat-trends-of-the-2025-botnet-landscape

⁹ The Hacker News, « Kimwolf Android Botnet Infects Over 2 Million Devices », janvier 2026. Cybersecurity News, « Mirai-Based Botnets Evolve Into Massive DDoS and Proxy Abuse Threat », 25 mars 2026 — « Despite the takedown efforts, these botnets continue to adapt and find new ways to stay operational. » https://cybersecuritynews.com/mirai-based-botnets-evolve-into-massive-ddos/

¹⁰ Lumen Technologies / Black Lotus Labs, « 2026 Defender Threatscape Report », 7 avril 2026 — 550+ nœuds C2 Aisuru/Kimwolf disruptés en quatre mois. Reconstruction en heures/minutes. Kimwolf triplé en une semaine, attaques à 30 Tbps. Vulnérabilité IPIDEA exploitée pour pivotement LAN. Network World, « Lumen: Upstream network visibility is enterprise security's new front line », 9 avril 2026. Help Net Security, « Cybercriminals move deeper into networks, hiding in edge infrastructure », 8 avril 2026. https://ir.lumen.com/news/news-details/2026/Lumen-Unveils-2026-Defender-Threatscape-Report-Upstream-Network-Visibility-is-the-New-Front-Line-of-Cyber-Defense/default.aspx https://www.networkworld.com/article/4156541/lumen-upstream-network-visibility-is-enterprise-securitys-new-front-line.html https://www.helpnetsecurity.com/2026/04/08/large-botnets-campaigns-attack-activity/

¹¹ The Hacker News, « Aeternum C2 Botnet Stores Encrypted Commands on Polygon Blockchain to Evade Takedown », 26 février 2026 — C2 sur smart contracts Polygon, 200/build,4000/build, 4 000 /build,4000/code source complet, anti-analyse intégrée. https://thehackernews.com/2026/02/aeternum-c2-botnet-stores-encrypted.html

¹² Microsoft Threat Intelligence, « Email threat landscape Q1 2026: trends and insights », 30 avril 2026 — courbe de reconstitution Tycoon 2FA (-15 % puis reprise dès la troisième semaine, migration TLD vers le .RU à plus de 41 % du parc fin mars, sortie de Cloudflare). Campagne multi-PhaaS du 17 mars : 1,5 million de messages, 179 000 organisations, 43 pays, orchestration simultanée de Tycoon 2FA, Kratos et EvilTokens. https://www.microsoft.com/en-us/security/blog/2026/04/30/email-threat-landscape-q1-2026-trends-and-insights/

¹³ The Hacker News, « KadNap Malware Infects 14,000+ Edge Devices to Power Stealth Proxy Botnet », mars 2026. https://thehackernews.com/2026/03/kadnap-malware-infects-14000-edge.html

¹⁴ Sekoia.io TDR & Orange Cyberdefense World Watch, « Unveiling the depths of Residential Proxies providers », avril 2025 — « The market is so fragmented that no single provider is a major-enough actor worth tackling. One malicious going down would only mean cyber actors would move on to any of the numerous other providers. » https://blog.sekoia.io/unveiling-the-depths-of-residential-proxies-providers/

¹⁵ Intel 471, « A Look at the Residential Proxy Market », août 2025 — 922 S5 Proxy, ABC S5 Proxy et PIA S5 Proxy partageant la même adresse Ethereum. https://www.intel471.com/blog/a-look-at-the-residential-proxy-market

¹⁶ Google Cloud Blog / Sandra Joyce, « Recent advances in how threat actors use AI tools », novembre 2025 — HONESTCUE, génération dynamique de code via LLM commercial. https://cloud.google.com/blog/products/identity-security/cloud-ciso-perspectives-recent-advances-in-how-threat-actors-use-ai-tools

¹⁷ iVerify, « Coruna: Inside the Nation-State-Grade iOS Exploit Kit We've Been Tracking », mars 2026. BleepingComputer, « Spyware-Grade Coruna iOS Exploit Kit Now Used in Crypto Theft Attacks », mars 2026. https://iverify.io/blog/coruna-inside-the-nation-state-grade-ios-exploit-kit-we-ve-been-tracking

¹⁸ Anh V. Vu, John Kristoff, Ben Collier, Richard Clayton, Daniel R. Thomas, Alice Hutchings (universités de Cambridge, Illinois Chicago, Édimbourg, Strathclyde), « Assessing the Aftermath: the Effects of a Global Takedown against DDoS-for-hire Services », USENIX Security Symposium 2025, arXiv:2502.04753, 7 février 2025 — étude relue par les pairs, financée par le Conseil européen de la recherche. Reconstitution médiane de 19 h (première vague, 52 % des booters) et 42 h (seconde vague, 100 %), 1 h pour les opérateurs saisis deux fois. Baisse du volume DDoS de 20-40 %, significative sur les attaques par amplification UDP, résorbée en six semaines. Composante d'influence (sites pièges, publicités, présence sur forums) créditée de l'effet durable. Précédents Conficker, VPNFilter, LockBit (Operation Cronos) cités en discussion. https://arxiv.org/abs/2502.04753

¹⁹ Microsoft Digital Crimes Unit, « Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool », 21 mai 2025 — 2 300 domaines saisis, 394 000 machines infectées en deux mois. Dark Reading, « Lumma Stealer Takedown Reveals Sprawling Operation », 21 mai 2025. Cybersecurity Dive, « Microsoft leads international takedown of Lumma Stealer », 21 mai 2025. https://www.cybersecuritydive.com/news/microsoft-takedown-lumma-stealer/748727/

²⁰ Lumu Technologies, « Advisory Alert: Lumma Stealer Rebounds After Takedown », novembre 2025 — IoC : 57 le 21 mai, 287 le 22 mai, 457 le 28 mai. https://lumu.io/blog/lumma-stealer-rebounds/

²¹ Trend Micro, « Back to Business: Lumma Stealer Returns with Stealthier Methods », 22 juillet 2025 — migration vers hébergeurs russes, canaux de distribution discrets, nombre de comptes ciblés revenu aux niveaux pré-takedown en juin-juillet. SecurityWeek, « Lumma Stealer Malware Returns After Takedown Attempt », 23 juillet 2025. https://www.trendmicro.com/en_us/research/25/g/lumma-stealer-returns.html https://www.securityweek.com/lumma-stealer-malware-returns-after-takedown-attempt/

²² Hunter Strategy, « LummaStealer Resurgence After 2025 Infrastructure Disruption », 18 février 2026 — « Activity began recovering within weeks, and by late 2025 and early 2026, campaigns were again increasing globally. » Bitdefender / BusinessStory, « Previously-hobbled Lumma Stealer has returned with lures that are hard to resist », février 2026. https://blog.hunterstrategy.net/lummastealer-resurgence-after-2025-infrastructure-disruption/

²³ Voir dans cette série : « Soylent Green » (biais d'auto-attribution des vendeurs de cybersécurité, cycle commercial de la menace) et « L'IA ou l'effondrement du modèle défensif occidental » (déséquilibre offensif/défensif).

²⁴ Voir dans cette série : « Pitch Black » (dépendance européenne aux infrastructures américaines de vulnérabilité). La doctrine de disruption renforce cette dépendance : la capacité de disruption est concentrée chez les opérateurs d'infrastructure américains. L'Europe n'a ni le cadre légal, ni le mandat institutionnel, ni la visibilité opérationnelle pour mener des opérations de disruption équivalentes. NIS2 ne prévoit rien de tel. L'ANSSI n'a pas ce mandat.