ESET Research décrypte six mois d’intenses activités de groupes APT
- Les groupes alignés sur la Russie ont poursuivi leurs opérations en soutien aux objectifs de guerre du pays, tandis que les acteurs de la menace alignés sur la Biélorussie se rapprochent de plus en plus de leurs homologues russes sur le plan opérationnel.
- L’activité des groupes alignés sur le Moyen-Orient a augmenté, sous l’effet des opérations de groupes alignés sur l’Iran visant des entités israéliennes dans plusieurs secteurs ; un nombre plus restreint d’entreprises américaines a également été touché.
- Les groupes alignés sur la Corée du Nord ont conservé leurs cibles habituelles, tout en renforçant leurs activités contre l’Ukraine.
- Les groupes APT intègrent davantage l’IA et les LLM à leurs opérations, sans pour autant transformer profondément le paysage des menaces.
ESET Research publie son dernier rapport sur l’activité des groupes APT, qui présente les opérations de certains groupes documentées par ses chercheurs entre avril et septembre 2026. Sur cette période, les groupes alignés sur la Chine ont mené des opérations de collecte de renseignements visant principalement des organisations gouvernementales. L’activité des groupes alignés sur le Moyen-Orient a augmenté par rapport à la période précédente, principalement sous l’effet du retour de plusieurs groupes établis alignés sur l’Iran. Les groupes alignés sur la Russie ont continué de soutenir les objectifs de guerre du pays en ciblant des gouvernements, le secteur de la défense et des entités militaires en Europe, avec un nombre nettement plus élevé de cibles en Ukraine. Les activités APT alignées sur la Biélorussie convergent de plus en plus avec les priorités de guerre russes. Aux côtés de la Corée du Sud, l’Ukraine occupe une place de plus en plus importante parmi les cibles des groupes alignés sur la Corée du Nord.
« Au cours de ces six mois particulièrement denses, nos chercheurs ont observé plusieurs groupes APT recourir à l’IA et aux grands modèles de langage (LLM) à différents stades de leurs opérations. Les attaquants s’en servent surtout pour accélérer des tâches autrement fastidieuses, comme le développement de malwares ou la création de sites webservant de leurres », explique Jean-Ian Boutin, directeur de la recherche sur les menaces chez ESET. « Dans certains cas, l’approche s’apparente à du vibe coding : le code est généré rapidement à partir de prompts, puis adapté et intégré à leurs chaînes d’outils par des opérateurs humains. Dans un cas notable, le groupe UAC-0099, aligné sur la Russie, a glissé dans un commentaire de script une demande leurre portant sur la fabrication d’une arme nucléaire. L’objectif apparent était de déclencher les garde-fous des outils d’analyse de sécurité reposant sur des LLM et d’empêcher ainsi l’examen du code malveillant qui suivait », ajoute-t-il. Malgré ces évolutions, ESET n’a pas constaté de bouleversement majeur du paysage des APT imputable à l’IA sur la période.
Au Moyen-Orient, les groupes alignés sur l’Iran FilthyFeline (sous-groupe d’OilRig) et MuddyWater ont repris leurs activités après une période d’accalmie. Leurs opérations ont principalement visé des entités israéliennes de divers secteurs ; un nombre plus restreint d’entreprises américaines a également été touché. FilthyFeline semble par ailleurs avoir pris le relais dans les opérations visant un fournisseur de services de données mobiles en Ouzbékistan. ESET a également détecté des activités d’Arid Viper, groupe affilié au Hamas, contre ce qui semble être le ministère des Affaires étrangères et des Expatriés de l’Autorité palestinienne, ou une entité gouvernementale liée.
Les groupes alignés sur la Corée du Nord n’ont pas sensiblement modifié les types de cibles observés lors des périodes précédentes : principalement des entreprises technologiques et de cryptomonnaies, des développeurs de logiciels et d’autres cibles opportunistes. L’Ukraine est toutefois de plus en plus ciblée, vraisemblablement en lien avec le rapprochement entre la Russie et la Corée du Nord et l’implication croissante de cette dernière dans la guerre menée par la Russie contre l’Ukraine, tant par un soutien militaire indirect (munitions, notamment) que par le déploiement de soldats nord-coréens. Lazarus a par ailleurs relancé ses attaques contre le secteur des drones, en s’appuyant généralement sur des techniques d’ingénierie sociale sur le thème du recrutement pour obtenir un accès initial.
Les groupes alignés sur la Russie ont de nouveau concentré leurs opérations sur l’Ukraine et plusieurs pays européens. L’analyse de ces activités fait ressortir des similitudes entre les campagnes alignées sur la Russie et celles alignées sur la Biélorussie, ce qui renforce l’hypothèse d’ESET selon laquelle les acteurs liés aux deux pays se rapprochent sur le plan opérationnel. Les groupes alignés sur la Biélorussie agissent comme des relais cyber ou des multiplicateurs de force pour la Russie. ESET a observé une augmentation de leurs activités, désormais plus affirmées, leurs opérations reflétant de plus en plus, dans certains domaines, les priorités de renseignement russes en Ukraine. À l’inverse, les opérations de Gamaredon, habituellement nombreuses, ont nettement diminué. Cette baisse pourrait être liée aux attaques ukrainiennes en Crimée, où le groupe est soupçonné d’opérer, à une réorganisation plus large de ses opérations ou à d’autres facteurs qu’ESET continue d’évaluer.
Du côté des groupes alignés sur la Chine, un ensemble plus large d’activités a ciblé des organisations taïwanaises du secteur des semi-conducteurs. Ce ciblage est cohérent avec les priorités de longue date de la Chine en matière d’espionnage industriel et avec l’importance stratégique des chaînes d’approvisionnement en semi-conducteurs, tant pour la concurrence économique que pour la sécurité nationale. Des groupes alignés sur la Chine ont également mené des campagnes qui semblent soutenir les actions des forces de l’ordre chinoises contre le crime organisé et des individus liés à des dispositifs de fraude, probablement dans le cadre d’efforts régionaux des forces de l’ordre contre la criminalité financière.
Les renseignements présentés reposent principalement sur les données de télémétrie d’ESET et ont été vérifiés par ses chercheurs. Ceux-ci préparent des rapports techniques approfondis et des mises à jour fréquentes détaillant les activités de groupes APT spécifiques. Ces analyses de renseignement sur les cybermenaces aident les organisations chargées de protéger les citoyens, les infrastructures nationales critiques et les actifs de grande valeur contre les cyberattaques criminelles ou alignées avec les intérêts des États.
Pour approfondir ces analyses et découvrir les activités d’autres groupes APT, consultez le rapport complet d’ESET Research, « De l’espionnage à la destruction : les activités APT alignées sur la Biélorussie convergent avec les priorités de guerre de la Russie », sur WeLiveSecurity.
Plus d’informations sur ESET Threat Intelligence, qui fournit des renseignements de haute qualité, stratégiques, tactiques et directement exploitables sur les cybermenaces.
Contact Presse :
Jolya COHOUNDO : presse@eset-nod32.fr
À propos d'ESET®
ESET protège les organisations, les infrastructures critiques et les particuliers pour renforcer leur résilience numérique et leur confiance dans un monde de plus en plus façonné par l’intelligence artificielle. Forte de plus de 35 ans d’expertise en cybersécurité, de plus de 25 ans d’innovation dans l’IA et de 11 centres mondiaux de recherche et développement, ESET développe ses propres technologies pour faire face à l’évolution des cybermenaces et contribuer à la sécurité de l’écosystème de l’intelligence artificielle. S’appuyant sur une démarche scientifique rigoureuse et une approche proactive de la cybersécurité, ESET fournit une protection simple à utiliser, tout en maintenant l’expertise humaine au cœur de ses opérations. Entreprise européenne indépendante, ESET protège des millions d’utilisateurs et plus de 500 000 organisations dans 178 pays. La confiance de ses clients et une utilisation responsable de l’intelligence artificielle guident l’action d’ESET, qui protège les progrès rendus possibles par la technologie. Pour en savoir plus, rendez-vous sur le site d’ESET ou suivez ESET sur ses réseaux sociaux, ses podcasts et ses blogs.