Gamaredon and WebWorm: Two Faces of Russian and Chinese Cyberespionage

ESET | October 1, 2026 | Cybercrime  

What does a cyberespionage operation actually look like? Behind the APT acronym and the group names assigned by researchers lie infrastructures, tools and human operators whose habits can sometimes reveal more than they intend.

In this new episode of INCYBER Voices, Mathieu Tartare, a researcher at ESET, discusses two cases investigated by the company’s research teams: Gamaredon, a Russia-linked group particularly active against Ukraine, and WebWorm, a group aligned with Chinese interests whose activities have also been observed in Europe.

Above all, these two cases demonstrate that there is no single approach to cyberespionage.

Gamaredon: Relying on Volume and Constant Reinvention

Active against Ukraine for more than a decade, Gamaredon stands out for the sheer intensity of its operations. In 2025, ESET identified 35 distinct spear-phishing campaigns, primarily targeting Ukrainian government and military institutions.

The effectiveness of these campaigns lies less in crude deception than in their ability to resemble entirely credible communications. Attackers may use genuine official documents obtained through previous compromises, imitate government documents or spoof a sender’s email address. In some cases, emails may even originate from accounts belonging to previously compromised organizations.

Another defining characteristic is the exceptionally rapid evolution of the group’s technical arsenal. In 2025, ESET observed several new malicious scripts based on PowerShell.

The objective is not necessarily to develop highly sophisticated tools every time. Regularly changing malware, programming languages and, increasingly, infection chains makes detection more difficult.

“Developing new malware is not enough to evade detection,” explains Mathieu Tartare. Gamaredon therefore also frequently modifies the various stages leading from initial infection to the deployment of its tools.

This approach has led the researcher to acknowledge that, “from a certain perspective,” it could be described as assembly-line cyberespionage.

Cloudflare, Telegram, Discord, OneDrive: When Legitimate Services Become Attack Infrastructure

Gamaredon has also changed the way it conceals its infrastructure. Cloudflare and Microsoft Dev Tunnels, for example, can be used to hide the actual IP address of servers operated by attackers.

The group also uses a technique well known to researchers: dead drop resolvers.

Rather than relying directly on DNS to locate a command-and-control server, malware can retrieve a message published on a legitimate platform. Once decrypted, the message reveals the address of the actual server it needs to contact.

Telegram, Reddit and other publicly accessible services can therefore become intermediaries in an attack chain. And Gamaredon is far from being an isolated case.

WebWorm: Blending into Legitimate Network Traffic

WebWorm represents a different approach and operates in a different geographical environment.

The group, aligned with Chinese interests, has notably been observed by ESET targeting European organizations. One of its distinctive characteristics is its use of entirely legitimate tools.

On compromised servers, operators may install SoftEther VPN to maintain access to the network. Legitimate VPN software is less likely to be automatically blocked than an identified piece of malware.

Once installed, it allows attackers to reconnect to the information system through a channel resembling the one used by an administrator or a remote employee.

WebWorm still maintains its own backdoors. However, some of these also illustrate the increasingly blurred boundary between legitimate and malicious infrastructure.

EcoCrypt communicates through Discord, while GraphWorm relies on Microsoft Graph and OneDrive.

A Discord server can effectively become a command interface: the malware connects to it, retrieves messages sent by the operators and translates them into actions on the compromised machine.

Human Errors Also Tell the Story of an Attack

For researchers, these communications provide a particularly valuable source of intelligence.

In WebWorm’s case, ESET was able to observe commands issued by the operators and reconstruct part of their activity.

Login times can provide clues about their time zone. The language used during testing may offer another indication. Typos and repeated commands can sometimes help distinguish automated activity from human actions and even provide insights into an operator’s level of technical expertise.

However, none of these elements is sufficient on its own to attribute an operation.

ESET cross-references multiple indicators: victimology, working hours, infrastructure, server configurations, malware families and technical habits.

Rather than presenting attribution as an absolute certainty, researchers assign a low, medium or high confidence level.

This process is particularly important because groups aligned with Chinese interests tend to share certain tools and malware families more extensively, making attribution more challenging.

Two Groups, One Common Challenge for Defenders

Gamaredon and WebWorm do not operate in the same way.

The former relies heavily on volume, spear phishing and the rapid evolution of its tools and infection chains. The latter particularly illustrates another trend: the use of legitimate services to blend into the normal activity of an information system.

For defenders, the challenge is clear: organizations cannot simply block OneDrive, Discord or cloud infrastructure used every day by businesses.

When malicious use is identified, cooperation with the platforms becomes essential. According to Mathieu Tartare, these companies can shut down servers, accounts or other resources used by attackers following a report.

ESET’s investigations also sometimes uncover victims that are not customers of the company. These organizations are then notified and may be referred to incident response teams or, when necessary, contacted with the assistance of national CERTs.

The threat is not limited to ministries or major institutions. Smaller organizations can also become targets if they hold information, provide access or have some other value to attackers.

Mathieu Tartare’s final takeaway is ultimately far less exotic than the techniques discussed: remain vigilant against spear phishing, even when a message appears particularly convincing, and patch known vulnerabilities on internet-facing servers.

Indeed, behind complex infrastructures and groups that have been tracked for years, compromises still frequently begin with two much more ordinary weaknesses: a click and an unpatched server.

Interview | Inside Gamaredon and WebWorm: How Russian and Chinese APT Groups Operate

In this interview for INCYBER Voices, Mathieu Tartare, a researcher at ESET, takes a closer look at two cyberespionage groups: Russia-linked Gamaredon and China-aligned WebWorm. From spear-phishing campaigns and constantly evolving malware to the abuse of legitimate cloud services, he explains how these groups operate, how researchers track their activities, and what their methods reveal about the wider cyberespionage landscape.

Different Approaches to Cyberespionage

INCYBER News: Is there such a thing as a distinctly Russian or Chinese approach to cyberespionage?

Mathieu Tartare: The ecosystems are much more complex than that, but at first glance, you could say so. We do see somewhat different operating methods between APT groups aligned with Russia and those aligned with China.

There are differences in initial access techniques, exfiltration methods and the implants they use, whether those implants are shared or not. Of course, there are also differences between individual groups within those ecosystems.

For example, Russian groups tend to rely more heavily on spear phishing, or targeted phishing. China-linked groups, on the other hand, frequently compromise web servers by exploiting what we call n-day vulnerabilities. These are already known vulnerabilities for which patches exist, but many servers remain unpatched. That’s something we see very frequently among China-linked groups.

INCYBER News: Before examining these operations, how do you define an APT group from a research perspective?

Mathieu Tartare: Since we work from a technical perspective, we define a group as a cluster of activity. When we talk about a group, we’re not necessarily referring to specific individuals.

We’re talking about a cluster of activity characterized by an observed modus operandi. You could almost use the terms “group” and “modus operandi” interchangeably.

Gamaredon: Cyberespionage at Scale

INCYBER News: Gamaredon has been active against Ukraine since at least 2013. Ukrainian authorities have linked it to the FSB’s 18th Information Security Center. Who is behind the group, and why does it play such a central role in Russian cyberespionage?

Mathieu Tartare: Gamaredon has been attributed to the FSB, specifically Center 18, based in Sevastopol. The group was originally formed by former members of the Ukrainian security services who defected and joined the Russian side during the annexation of Crimea in 2014.

They were attached to the FSB’s Center 18 and theoretically form part of its cyberespionage division. What makes Gamaredon so central to the war in Ukraine is that it’s extremely active in the country. In fact, it’s the most active group there.

INCYBER News: In 2025, ESET identified 35 distinct spear-phishing campaigns, mainly targeting Ukrainian government and military institutions. What do these emails actually look like, and why are they still effective?

Mathieu Tartare: It varies from one campaign to another, depending on the type of document and the lure being used. But quite often, attackers use genuine official documents obtained through previous compromises or by other means, or documents that closely resemble legitimate ones issued by government organizations.

There might be a blurred image or blurred text, and the document might ask the user to enable macros in order to execute code.

There are many different techniques, but generally the document will look entirely legitimate, often appearing to come from a government organization or another organization that works with the intended target.

The sender’s email address may also be spoofed to make it look legitimate. Alternatively, some groups send spear-phishing emails directly from genuine government organizations that were previously compromised. The attackers use that access to launch further spear-phishing campaigns.

INCYBER News: Once an attacker gains access, what does Gamaredon look for? Documents, credentials, military intelligence? And how does the group move through the victim’s network?

Mathieu Tartare: We don’t always have visibility into what is exfiltrated, or necessarily how the group moves through the network.

Gamaredon is a group we have relatively good visibility into, and we regularly block it at the initial stage of infection.

But because we’re not the ones carrying out the incident response, we don’t necessarily know what types of documents have been stolen. So I can’t really answer that question.

INCYBER News: Another distinctive feature of Gamaredon is how quickly it renews its tools. In 2025, ESET identified six new malicious PowerShell-based scripts, five of them during the first quarter alone. What does this constant renewal tell us?

Mathieu Tartare: Gamaredon is indeed a group that constantly renews its arsenal. They are continually developing new implants.

You mentioned PowerShell, but they’re not just changing implants or malware. They’re also changing the programming languages used to execute them.

It’s a very dynamic group when it comes to malware development. This is often a technique used to quickly bypass antivirus protections.

If you develop lots of new malware using different languages, there’s a good chance that some of it will bypass basic detection mechanisms, simply because you’re constantly introducing new tools and techniques.

Generally speaking, the aim is to evade defenses.

INCYBER News: We often hear about the industrialization of cybercrime. Given Gamaredon’s volume of activity and rapid development of new tools, could we also describe its operations as assembly-line cyberespionage?

Mathieu Tartare: From a certain perspective, yes. Given the number of victims, or at least targets, and the number of implants and spear-phishing campaigns deployed by Gamaredon, you could describe it as a form of assembly-line cyberespionage.

This industrial approach can be explained by several factors, and it may simply be an operational choice. If these methods work, why bother with more sophisticated techniques?

They target a huge number of organizations using multiple different implants. Some implants may be detected, but when you look at the sheer number of organizations being targeted, statistically they’re almost certain to succeed against some that aren’t properly protected.

You can imagine that, from an intelligence agency’s perspective, Gamaredon’s techniques are effective and sufficient. There’s not necessarily any need for a quieter approach.

How Gamaredon Conceals Its Infrastructure

INCYBER News: Gamaredon previously had a reputation for being rather noisy, but ESET has observed greater efforts to conceal its infrastructure, notably through Cloudflare and Microsoft Dev Tunnels. What is the purpose of these techniques?

Mathieu Tartare: This is something we’re seeing increasingly among cyberespionage groups, but also among cybercriminal groups: the use of completely legitimate services to conceal the original IP address used by attackers to operate their command-and-control servers.

It’s a commonly used technique, alongside legitimate cloud services, to stay under the radar.

INCYBER News: You also mention “dead drop resolvers.” How can something as ordinary as a Telegram message become a communication mechanism between malware and its operators?

Mathieu Tartare: A dead drop resolver could be a Telegram message or a Reddit post, for example. Essentially, any post or message on an online platform can be used to locate the address of a C&C server, meaning a command-and-control server.

Normally, malware might use DNS resolution, which is essentially the internet’s directory system. But instead, the malware can connect to Telegram and retrieve an encrypted message. Once decrypted, that message reveals the address of the actual server.

This allows attackers to use legitimate services as an initial step in resolving a malicious address. They don’t need to use a domain name to resolve the server’s address.

They can encode or encrypt the address of a malicious server directly in a Telegram message, a Reddit post or another online service.

It’s a technique that’s been around for a very long time and has been used across different services. But its frequency has increased. We see it more often today than we did ten years ago.

INCYBER News: Beyond its constantly evolving malware, what other characteristics of Gamaredon have particularly stood out in your research?

Mathieu Tartare: What’s interesting about Gamaredon is that they don’t just regularly renew their malware. They also regularly change their infection chains, meaning the different stages, malware components, file formats and programming languages involved.

They’ve understood that we don’t stop them simply by blocking one piece of malware.

Developing new malware to evade detection might work, but today many security solutions use behavioral detection to identify malicious activity.

So they’ve realized that they also need to regularly change their behavior and infection chains. Regardless of which malware is used, if the infection chain and deployment behavior remain the same, behavioral detection will eventually block it.

What’s particularly interesting now is that they’ve understood that developing new malware alone is not enough to evade detection. They’re therefore paying close attention to changing their infection chains very frequently as well.

Cooperation Between Russian APT Groups

INCYBER News: Gamaredon has also been observed cooperating with other groups, including Turla, which is associated with the FSB but operates more discreetly and targets more selectively. What does this cooperation reveal?

Mathieu Tartare: First of all, this is relatively rare to observe among Russia-linked groups. There is competition between Russian intelligence agencies, so we wouldn’t necessarily expect much collaboration.

In this case, both groups have been attributed to the FSB. We’ve previously seen Gamaredon collaborate with InvisiMole.

In the case of Turla and Gamaredon, both have been publicly attributed to the FSB. We’ve also observed similar cooperation within the GRU, for example between Sandworm and UAC-0099.

At this stage, what we’re seeing is primarily cooperation within the same intelligence service, between FSB groups or between GRU groups, rather than between different agencies. That’s probably because those longstanding interagency rivalries still exist.

In the case of Gamaredon, InvisiMole and Turla, we’ve observed Gamaredon deploying or restarting Turla malware, or deploying InvisiMole malware, on only a small subset of machines.

We can imagine that, within this collaboration, certain targets are particularly interesting and that Turla then takes over after Gamaredon has handled the initial access.

We don’t see Turla collaborating with Gamaredon across all its victims. So we can reasonably imagine that this cooperation concerns specific high-value targets.

WebWorm: Chinese Cyberespionage Interests in Europe

INCYBER News: Let’s turn to WebWorm, a group aligned with Chinese interests. Initially active in Asia, it has increasingly been observed in Europe. ESET identified scanning activity against 56 European targets, including in Spain, Belgium, Hungary and Serbia. What do these targets tell us about the group’s objectives?

Mathieu Tartare: When it comes to intent, it’s always difficult to determine exactly what attackers are trying to achieve. But the list of countries you’ve just mentioned is clearly not random.

WebWorm has, for example, recently targeted Belgium. Within Europe, Belgium is a particularly important country because it hosts several international institutions and European Union institutions.

So we can reasonably assume that China is interested in closely monitoring government organizations based in Belgium.

Within the European Union, China-linked groups also frequently target national representations to the EU.

Europe is a major trading partner for Beijing, and many partnerships are connected to the Belt and Road Initiative, or BRI, whose aim is to expand China’s trade corridors towards Europe.

So we see a great deal of targeting, both by WebWorm and other China-linked APT groups, against interests connected to the Belt and Road Initiative.

WebWorm has also targeted Italy and Serbia. These are two countries where China has cultivated particular influence over the past ten or fifteen years, although that influence has declined somewhat in Italy more recently.

Beijing has notably been a major investor in both Italy and Serbia. We know that APT groups tend to monitor discussions within governments with which their countries have financial interests.

INCYBER News: WebWorm frequently relies on proxies, VPNs and legitimate tools. Why can tools with fewer built-in features actually be more difficult to detect?

Mathieu Tartare: Because they’re legitimate tools.

Very often, when WebWorm manages to compromise a server, the operators deploy SoftEther VPN, which is a completely legitimate VPN application.

The targeted organization’s security solutions may not block SoftEther VPN.

That allows the attackers to install a VPN to maintain access to the organization’s network and connect to it much like an employee working remotely would.

It allows them to remain completely under the radar.

INCYBER News: How does this differ from using a traditional backdoor?

Mathieu Tartare: WebWorm still deploys backdoors. They have their own collection of malware, which is proprietary and exclusive to the group.

A backdoor will often include more functionality directly in its code, allowing the attacker to carry out a wide range of actions more easily.

From the attacker’s perspective, there is usually a control panel that makes those actions straightforward to execute.

When using a VPN, by contrast, the attacker must then rely on the kinds of commands a network administrator would typically use to move through the network.

They might eventually deploy a backdoor if they believe they can do so without it being detected.

Discord and OneDrive as Command-and-Control Channels

INCYBER News: WebWorm has developed backdoors such as EcoCrypt, which communicates through Discord, and GraphWorm, which uses Microsoft Graph and OneDrive. How can these everyday services become command channels for cyberespionage?

Mathieu Tartare: In much the same way that dead drop resolvers can be used to conceal the address of an attacker’s servers, Discord can be used to control malware simply through messages.

You can abuse this legitimate service by having malware connect to Discord as a bot, read incoming messages and translate them into actions to be carried out on the victim’s machine.

You can imagine many different legitimate services being used to transmit actions that are then relayed to a backdoor.

INCYBER News: How do researchers distinguish malicious communications from legitimate activity on these platforms?

Mathieu Tartare: From our perspective, we discover malware that connects to Discord.

Because the malware contains the credentials needed to connect to Discord, we can connect to the server ourselves and observe the messages being exchanged.

It quickly becomes obvious that this isn’t a normal conversation. These are commands being sent to the malware.

INCYBER News: ESET analyzed 433 Discord messages linked to WebWorm. How do you move from examining a malware sample to observing the commands actually issued by its operators? And what can these messages reveal?

Mathieu Tartare: If malware has access to Discord or another cloud service, it needs the credentials required to connect, and those credentials are stored in its configuration.

We can therefore reuse them to connect to those services. Obviously, we’re not compromising the cloud services themselves. We’re simply using credentials already present in the malware.

In the messages, we can observe the scanning activity you mentioned, for example. We were able to identify it through commands sent by the attackers on Discord.

We could see them issuing commands to run scanning tools on victims’ networks. So we can observe different types of commands used to compromise a victim or search for information.

What’s particularly interesting in WebWorm’s case is that we had access not only to the commands through the Discord server, but also to their exfiltration server hosted on Amazon S3.

For some compromised organizations, which weren’t even our customers, we were able to observe documents being exfiltrated and identify which organization had been compromised and which data had been leaked.

What Human Errors Reveal About Cyberespionage Operators

INCYBER News: Behind these technical operations are human operators. What can their messages reveal about their working hours, mistakes, technical expertise or even their organizational structure?

Mathieu Tartare: Working hours are a particularly interesting example because they can provide another data point suggesting that a group may be linked to China.

For instance, its working hours might correspond to typical office hours in the UTC+8 time zone, which is China’s time zone.

We can also see whether we’re dealing with an organization that operates more like a start-up, with people working long hours outside normal office hours, or a more institutional group that works during regular business hours.

We also observed WebWorm testing its Discord servers before using them for malicious purposes. During these tests, the operators typed messages containing simplified Chinese characters, for example. That gives us another attribution indicator.

These messages can also tell us whether attacks are automated or actually carried out by humans.

Sometimes we’ll see typos or small typing errors. You immediately realize it’s a human operator: they’ve tried the same command three times, made a mistake three times, then run the help command to make sure they get it right.

That tells us we’re dealing with a human, but it also gives us some insight into their experience level.

Are they highly technical or not? How do they move laterally through the network?

Understanding the organizational structure is more complicated, however. We can’t see who’s behind the keyboard, and it’s difficult to infer how these groups are organized simply from messages observed on Discord.

Attribution: How Researchers Identify APT Groups

INCYBER News: How do you turn a Discord message or a technical artifact into evidence linking an operation to a particular group? Can attribution ever be established with absolute certainty?

Mathieu Tartare: There’s always some doubt because many of the artifacts we analyze are controlled by the attacker and can therefore be falsified.

Generally, we don’t use percentages to express certainty. Instead, we assign a low, medium or high confidence level to our attribution.

In WebWorm’s case, we have a high level of confidence because multiple indicators converge.

For example, they have a specific way of configuring their SoftEther VPN servers. Their network infrastructure is configured in a particular way, and they frequently use legitimate services to remain under the radar.

All these elements together allow us to attribute an operation to WebWorm with high confidence.

We then examine the group’s alignment with a country’s interests. We look at victimology, working hours and information about the attacker’s language, among other things.

For China-linked groups, we also have to take into account the fact that they share a great deal of malware with one another.

Simply observing certain malware families targeting an organization is therefore very rarely sufficient to attribute an operation to a specific group.

In the case of Russia-linked groups, collaboration is less extensive.

Turla’s malware, for example, generally won’t be used by Sednit, also known as APT28. That makes malware identification a somewhat stronger attribution indicator in those cases.

INCYBER News: So greater cooperation between Chinese APT groups makes attribution more difficult?

Mathieu Tartare: Yes, and that makes attribution much more complicated.

INCYBER News: Even when researchers cannot identify the initial entry point, can they still reconstruct an operation by cross-referencing enough evidence?

Mathieu Tartare: Absolutely. Imagine a crime scene where you don’t know which door the criminal used to enter, but you have plenty of other evidence that still allows you to trace the crime back to them.

Gamaredon vs. WebWorm: Different Methods, Different Objectives?

INCYBER News: Gamaredon launches large numbers of campaigns and rapidly renews its tools, while WebWorm relies heavily on proxy chains and legitimate services. What do these approaches reveal about their respective objectives?

Mathieu Tartare: In Gamaredon’s case, we can see that the objective is to compromise as many organizations as possible in Ukraine, typically government organizations or those connected to the defense sector.

In WebWorm’s case, the current objective appears to be compromising various European organizations.

There is still one similarity: we’re currently seeing WebWorm use spear-phishing campaigns, just like Gamaredon, but nowhere near the same volume.

The ultimate objective remains difficult to determine unless we’re able to see what the attackers are exfiltrating.

For China-linked groups targeting European organizations, the activity may be connected to the Belt and Road Initiative or, more broadly, to Chinese interests in Europe.

In Russia’s case, we see more of an objective to gain a strategic advantage in the context of the war in Europe.

Another major difference that helps us understand their objectives is that Gamaredon has been observed exclusively in Ukraine, whereas WebWorm has been observed in both Asia and Europe.

Legitimate Platforms as Cyberattack Infrastructure

INCYBER News: Both groups make extensive use of legitimate online services. Should platforms such as Discord, OneDrive or cloud infrastructure now be considered part of the infrastructure used in state-sponsored cyberespionage?

Mathieu Tartare: Yes, I think we really need to take that into account. And not just in the context of state-sponsored espionage.

We need to think of these services as part of the infrastructure used in cyberattacks more generally.

Like any infrastructure, they can be used by attackers for malicious purposes.

Here, they’re being used to remain under the radar by relying on entirely legitimate services.

INCYBER News: How do these platforms respond when ESET reports malicious activity taking place through their services?

Mathieu Tartare: They respond quickly. We’re dealing with large organizations.

Sometimes it can take a little longer, particularly when we’re trying to find the right person to contact, but generally they react very quickly.

In Discord’s case, they’ll shut down the server being used. If WebWorm is using OneDrive, Microsoft can close the OneDrive account involved in the malicious activity.

That’s very important for us because we can’t simply block the IP addresses of these legitimate services.

For example, you can’t realistically block OneDrive across an enterprise network.

You can block certain specific URLs, but it’s essential that the platforms themselves take action.

Alerting Victims Beyond ESET’s Customer Base

INCYBER News: Your investigations sometimes uncover compromises affecting organizations that are not ESET customers. What happens when you identify these victims?

Mathieu Tartare: During the WebWorm research we’re discussing, analyzing the logs and commands executed by the attackers on Discord allowed us to discover additional victims. Analyzing the exfiltration servers also helped us identify others.

Generally, we contact them. These are often organizations rather than individuals.

We’re able to contact their security teams, explain what happened, describe what was exfiltrated when exfiltration occurred, and encourage them to contact a company specializing in incident response.

We provide all the necessary information.

If they’re not ESET customers, we can, for example, send them a tool that allows them to perform a preliminary scan to confirm the infection.

After that, we generally refer them to other organizations for incident response.

When direct communication doesn’t work, we sometimes ask national CERTs for assistance. They can help us get in touch with the targeted organization and make sure the infection is properly remediated.

INCYBER News: These operations do not only target ministries or major institutions. Smaller companies may also be affected, often without the same resources to respond. What do you observe in practice?

Mathieu Tartare: It depends on the country. Not all countries have the same level of cybersecurity maturity.

Sometimes we contact an organization that doesn’t necessarily know exactly what to do. But we refer them to companies specializing in incident response, and things generally work out well.

It’s important to remember that not all government organizations have the same resources. It’s often a question of funding rather than technical capability.

Smaller companies may also be targeted because they have interests connected, for example, to the Belt and Road Initiative.

They won’t necessarily have the appropriate cybersecurity posture.

But generally, when we contact victims and explain what’s happening, even if they’re not our customers, they’re very grateful to be alerted when we see documents being exfiltrated from their organization.

What European Organizations Should Learn

INCYBER News: Finally, if there were one thing European organizations should take away from these two cases, what would it be?

Mathieu Tartare: We’re operating in an environment where spear phishing is used very frequently. So it’s essential to remain extremely vigilant about campaigns that can be particularly convincing.

I also mentioned that many China-linked groups compromise servers that haven’t been patched.

It’s extremely important to keep servers patched.

We still very frequently see organizations compromised because, for example, their Microsoft Exchange mail server hasn’t been patched, even though numerous known vulnerabilities can be exploited.

It’s something that really shouldn’t be overlooked, yet it still is, far too often.

This interview has been translated and lightly edited from the original French-language INCYBER Voices podcast for clarity and readability. Mathieu Tartare’s answers have been preserved without adding information or altering their meaning.