https://cyberveille.ch/tags/headrush/ Recent content in HEADRUSH on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-trois-clusters-russes-ciblent-des-individus-via-des-flux-d-authentification-legitimes/ Sat, 22 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-22-trois-clusters-russes-ciblent-des-individus-via-des-flux-d-authentification-legitimes/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 20 août 2026 par le Google Threat Intelligence Group (GTIG), cet article détaille trois clusters distincts d&rsquo;espionnage cyber à nexus russe ciblant des individus dans les secteurs académique, aérospatial, défense, gouvernemental et think tanks en Europe et aux États-Unis.</p> <h2 id="-acteurs-et-attribution">🎯 Acteurs et attribution</h2> <ul> <li><strong>UNC6293</strong> : évalué avec confiance modérée comme sous-cluster d&rsquo;<strong>ICE RELIC</strong> (anciennement APT29), spécialisé dans l&rsquo;accès initial via <strong>phishing de mots de passe d&rsquo;application</strong> et <strong>phishing OAuth</strong>. Cible moins de 5 utilisateurs à la fois, usurpe le Département d&rsquo;État américain.</li> <li><strong>UNC7005</strong> (alias STORM-2945) : autre cluster lié à ICE RELIC, identifié en février 2026. Moins sophistiqué, mauvaise sécurité opérationnelle. Utilise <strong>phishing de mots de passe d&rsquo;application</strong>, <strong>device code phishing</strong> (Microsoft et WhatsApp), <strong>malware MaaS</strong>, et <strong>OAuth phishing</strong>. Lié à la campagne de captive portals hôteliers rapportée par Reliaquest et Microsoft.</li> <li><strong>UNC5976</strong> : cluster distinct, potentiellement aligné avec un autre service de renseignement russe. Focus sur <strong>phishing OAuth</strong>, <strong>infrastructure cloud</strong>, et outillage malware plus lourd. Cible principalement Ukraine et Arménie.</li> </ul> <h2 id="-techniques-principales">🛠️ Techniques principales</h2> <ul> <li><strong>App password phishing</strong> : convaincre les cibles de créer des mots de passe d&rsquo;application nommés spécifiquement (ex: <code>ms.state.gov</code>) et de les partager</li> <li><strong>Device code phishing</strong> : envoi de codes de liaison Microsoft ou WhatsApp via de faux portails d&rsquo;événements diplomatiques</li> <li><strong>OAuth phishing</strong> : redirection vers des projets cloud malveillants non vérifiés pour voler des tokens d&rsquo;authentification</li> <li><strong>WhatsApp device linking</strong> : liaison de comptes WhatsApp à des appareils attaquants, suivie d&rsquo;enregistrement audio/vidéo via JavaScript malveillant</li> <li><strong>Captive portal hijacking</strong> : redirection depuis des portails Wi-Fi d&rsquo;hôtels vers des pages d&rsquo;authentification Microsoft falsifiées</li> <li><strong>Distribution de malware MaaS</strong> : <strong>VIDAR</strong> (Windows) et <strong>ATOMIC/AtomicStealer</strong> (macOS) via faux site de téléchargement d&rsquo;application</li> <li><strong>Fingerprinting anti-analyse</strong> : scripts JavaScript détectant WebDriver, Puppeteer, Selenium pour éviter l&rsquo;analyse automatisée</li> </ul> <h2 id="-malwares-identifiés">🦠 Malwares identifiés</h2> <ul> <li><strong>VIDAR</strong> : infostealer Windows, binaire Go obfusqué, C2 <code>107.189.18.7</code></li> <li><strong>ATOMIC (AtomicStealer)</strong> : infostealer macOS MaaS</li> <li><strong>ENGINELIGHT</strong> : malware Go, C2 via <code>statistic-ms.live</code></li> <li><strong>CHERRYPIE (ChocoShell)</strong> : infostealer PowerShell, artefacts suggérant une génération par LLM</li> <li><strong>HEADRUSH</strong> : plugin Excel malveillant menant à un downloader HTA</li> </ul> <h2 id="-infrastructure-notable">🌐 Infrastructure notable</h2> <p>UNC7005 a enregistré des domaines usurpant le Finnish Operations Center (FOC), GLOBSEC, WhatsApp et Microsoft entre juillet et août 2026. L&rsquo;email <code>chikolimdrid@gmail.com</code> a été utilisé pour enregistrer plusieurs domaines liés à la campagne captive portal.</p>