Rapport ESET APT Avril-Septembre 2026 : espionnage, destruction et convergence Biélorussie-Russie

Sat, 31 Oct 2026 00:00:00 +0100

🌐 Contexte

ESET Research a publié le 31 octobre 2026 son rapport semestriel sur l’activité des groupes APT entre avril et septembre 2026. Ce rapport couvre les opérations de groupes alignés avec la Chine, l’Iran, la Corée du Nord, la Russie et la Biélorussie, basé sur la télémétrie propriétaire d’ESET.

🇨🇳 Groupes alignés Chine

FamousSparrow maintient sa surveillance en Amérique du Sud
SlippyNunchucks cible des individus sinophones au Sri Lanka via le détournement des mises à jour de QuickFox pour déployer le toolset DarkVigil (aka FDMTP)
Un acteur non identifié cible un hôtel à Palau dans le cadre présumé d’efforts anti-fraude des autorités chinoises, via AdaptixC2 et un backdoor nommé FoetidBracket
Flax Typhoon compromet une entreprise chimique taïwanaise via une application publique obsolète, en utilisant SoftEther VPN
Ciblage de l’industrie des semi-conducteurs taïwanaise, avec chevauchement avec le groupe UNK_FistBump (Proofpoint) via une chaîne Cobalt Strike

🇮🇷 Groupes alignés Iran/Moyen-Orient

FilthyFeline (sous-groupe d’OilRig) et MuddyWater reprennent leurs opérations après une période de silence liée aux restrictions internet iraniennes
Ciblage principal : entités israéliennes dans de multiples secteurs, quelques entreprises américaines
FilthyFeline reprend le ciblage d’un opérateur de données cellulaires en Ouzbékistan précédemment compromis par BladedFeline
MuddyWater exploite un prestataire IT israélien pour envoyer des spearphishings avec ScreenConnect
Arid Viper (affilié Hamas) réapparaît avec une nouvelle version de Arid Gopher ciblant le Ministère des Affaires étrangères de l’Autorité palestinienne
BladedFeline déploie un nouveau backdoor nommé SharpShareIT
TortoiseShell met à jour son IMAPLoader avec des techniques d’évasion supplémentaires

🇰🇵 Groupes alignés Corée du Nord

Lazarus relance l’Opération DreamJob contre le secteur des drones/UAS, ciblant des entreprises de défense en Europe centrale via un SumatraPDF trojanisé et des plugins Notepad++ malveillants (MortPusLoader), déployant ScoringMathTea RAT et LightlessTeaR
ScarCruft distribue une version trojanisée de Zangi Messenger contenant BirdCall (Android), et un installateur BlueStacks trojanisé menant à RokRAT
ScarCruft déploie le ver BlankOverride (via supports amovibles, charge utile BLUELIGHT) contre des infrastructures portuaires en Afrique
ScarCruft déploie CinderRelay, un backdoor Linux serveur utilisé comme nœud de réseau covert
DeceptiveDevelopment remonte la chaîne d’approvisionnement logicielle : vol de credentials Git/SSH, injection de code malveillant dans des dépôts publics/privés (npm, PyPI, Go, Packagist), utilisation de NullReceiver (résolution C2 via blockchain Ethereum), déploiement d’OmniStealer et DEV#POPPER RAT

🇷🇺 Groupes alignés Russie

Gamaredon enregistre une baisse significative d’activité depuis mi-mai 2026, mais continue sa collaboration avec Turla : déploiement de Rezzuar (VBScript de reconnaissance) via PteroPSDoor, et mise à jour de PteroBox (ajout des extensions .cdr et .kmz)
PhantomCaptcha (UAC-0244) cible des municipalités et établissements de santé ukrainiens avec des chaînes malveillantes LNK/HTA/JavaScript, déployant AGINGFLY (RAT C# WebSocket), SILENTLOOP, CHROMELEVATOR, ZAPiXDESK, et distribue le spyware Android PrincessSpy via de faux sites imitant ab3.army
Exploitation active de la vulnérabilité CVE-2025-8088 (path traversal WinRAR dans ClamAV) dans les serveurs MDaemon en Ukraine, déployant les backdoors HELLAGE et HELLTAG (Telegram-based)

🇧🇾 Groupes alignés Biélorussie

FrostyNeighbor (UNC1151/PUSHCHA/Storm-0257/TA445) conduit la première cyberattaque destructrice documentée d’un acteur biélorusse en Europe : déploiement d’un wiper VBScript via Group Policy contre une entreprise manufacturière ukrainienne du secteur des transports, après utilisation de Chisel, UltraVNC et Cobalt Strike
Convergence croissante des opérations biélorusses avec les priorités russes en Ukraine

🤖 Usage de l’IA par les APT

Utilisation de LLMs pour accélérer le développement de malwares, créer des sites leurres et analyser de grands volumes de données
UAC-0099 insère une demande de fabrication d’arme nucléaire dans un commentaire de script pour tenter de déclencher les garde-fous des outils de sécurité basés sur LLM
Leurres de phishing avec images générées par IA détectées

📋 Type d’article

Rapport semestriel de threat intelligence publié par ESET Research, destiné à fournir une vue d’ensemble structurée de l’activité APT mondiale pour les équipes de sécurité et les décideurs.

HELLTAG on CyberVeille