- Les chercheurs d’ESET Research ont découvert et analysé les dernières activités ainsi que l’arsenal du groupe APT Webworm, aligné sur la Chine.
- En 2025, le groupe a commencé à utiliser des portes dérobées exploitant Discord et l’API Microsoft Graph pour ses communications de commande et contrôle (C&C). Les chercheurs d’ESET ont déchiffré plus de 400 messages Discord.
- Parmi ses outils les plus récents figurent deux nouvelles portes dérobées : EchoCreep, fondée sur Discord, et GraphWorm, fondée sur Microsoft Graph.
- Récemment, Webworm a réorienté ses attaques vers des organisations gouvernementales en Europe et a également étendu ses opérations à l’Afrique du Sud.
Les chercheurs d’ESET ont analysé l’activité de Webworm en 2025, un groupe APT aligné sur la Chine, qui ciblait initialement des organisations en Asie avant de recentrer récemment ses opérations sur l’Europe. ESET a observé Webworm cibler des organisations gouvernementales en Belgique, en Italie, en Pologne, en Serbie et en Espagne. Parallèlement, Webworm a également mené une incursion en Afrique du Sud en compromettant une université. Depuis l’an dernier, le groupe utilise des portes dérobées s’appuyant sur Discord et l’API Microsoft Graph pour ses communications de commande et contrôle (C&C / C2). Les chercheurs d’ESET ont déchiffré plus de 400 messages Discord et découvert un serveur opéré par les attaquants, utilisé pour des opérations de reconnaissance contre plus de 50 cibles distinctes.
« Grâce à notre analyse, nous avons eu la chance de récupérer des commandes exécutées depuis un serveur, ce qui nous a donné un aperçu de potentielles techniques d’accès initial du groupe, notamment via un scanner de vulnérabilités open source, tout en nous permettant d’identifier certaines de ses cibles privilégiées », explique Eric Howard, chercheur chez ESET à l’origine de la découverte des dernières activités de Webworm.
ESET attribue la campagne de 2025 à Webworm sur la base d’informations découvertes après le déchiffrement des messages Discord utilisés par la porte dérobée EchoCreep pour les communications avec le C&C. Ces éléments ont conduit les chercheurs jusqu’au dépôt GitHub des attaquants, qui contenait des artefacts préparés à l’avance, comme l’application VPN SoftEther. Dans le fichier de configuration de SoftEther, nous avons trouvé une adresse IP correspondant à une adresse déjà connue comme étant liée à Webworm.
Parmi ses outils les plus récents figurent deux nouvelles portes dérobées : EchoCreep, qui s’appuie sur Discord, et GraphWorm, qui s’appuie sur Microsoft Graph. Si les acteurs de la menace ont continué à utiliser des solutions proxy existantes, ils ont également ajouté leurs propres solutions personnalisées : WormFrp, ChainWorm, SmuxProxy et WormSocket. Au vu du nombre d’outils proxy et de leur complexité, il est possible que Webworm soit en train de constituer un réseau discret et étendu, en amenant ses victimes à exécuter ses proxys à leur insu.
Par ailleurs, Webworm a commencé à détourner Discord et l’API Microsoft Graph comme infrastructures de commande et contrôle (C&C). La porte dérobée EchoCreep utilise Discord pour téléverser des fichiers, envoyer des rapports d’exécution et recevoir des commandes. GraphWorm, de son côté, s’appuie sur l’API Microsoft Graph pour ses communications C&C ; les chercheurs d’ESET ont découvert qu’elle utilise exclusivement des points de terminaison OneDrive, en particulier pour récupérer de nouvelles tâches et envoyer des informations dérobées sur les victimes.
« En outre, au cours de notre enquête sur les campagnes de 2025, nous avons découvert que Webworm avait commencé à utiliser sa solution proxy personnalisée WormFrp pour récupérer des configurations depuis un bucket AWS S3 compromis, un service public de stockage dans le cloud proposé par Amazon Web Services, S3 signifiant Simple Storage Service. Il apparaît clairement que, grâce à ce stockage S3, Webworm peut exfiltrer des données tout en laissant une victime supporter les coûts du service », ajoute Howard. Entre décembre 2025 et janvier 2026, les opérateurs ont téléversé 20 nouveaux fichiers sur ce service, dont deux avaient été exfiltrés depuis une entité gouvernementale en Espagne.
Le groupe continue également à préparer des fichiers sur GitHub et ESET estime qu’il poursuivra probablement cette pratique à l’avenir.
Pour plus de détails techniques sur les activités les plus récentes de Webworm et sur son arsenal, consultez l’article du blog ESET Research intitulé « Webworm: New burrowing techniques », sur WeLiveSecurity.com.
Contact Presse :
Jolya COHOUNDO : presse@eset-nod32.fr
À propos d'ESET
ESET, entreprise européenne de cybersécurité reconnue mondialement, se positionne comme un acteur majeur dans la protection numérique grâce à une approche technologique innovante et complète. Fondée en Europe et disposant de bureaux internationaux, ESET combine la puissance de l'intelligence artificielle et l'expertise humaine pour développer des solutions de sécurité avancées, capables de prévenir et contrer efficacement les cybermenaces émergentes, connues et inconnues. Ses technologies, entièrement conçues dans l'UE, couvrent la protection des terminaux, du cloud et des systèmes mobiles, et se distinguent par leur robustesse, leur efficacité et leur facilité d'utilisation, offrant ainsi une défense en temps réel 24/7 aux entreprises, infrastructures critiques et utilisateurs individuels. Grâce à ses centres de recherche et développement et son réseau mondial de partenaires, ESET propose des solutions de cybersécurité intégrant un chiffrement ultra-sécurisé, une authentification multifactorielle et des renseignements approfondis sur les menaces, s'adaptant constamment à l'évolution rapide du paysage numérique.
Pour plus d’informations, consultez www.eset.com/na
et suivez-nous sur LinkedIn, Facebook et Instagram.