Cyberespionnage russe : l'IA (Claude) utilisée par Midnight Blizzard pour automatiser l'évasion des malwares

En septembre 2026, le monde de la cybersécurité a pris connaissance d’une opération qui repousse les limites de l’offensive numérique. Anthropic, la société derrière le modèle Claude, a révélé que le groupe de cyberespionnage russe GTG-20006 - une sous-entité de Midnight Blizzard (APT29, Cozy Bear) - a détourné son IA pour automatiser la reconstruction de ses malwares après chaque détection. Cette campagne de cyberespionnage russe a ciblé plus de 20 entités gouvernementales, militaires et diplomatiques en Ukraine, en Europe, au Moyen-Orient et en Asie, avec des techniques combinant phishing, ClickFix, détournement DNS, et compromission de caméras. Selon le rapport, l’acteur a utilisé l’IA non seulement pour rebâtir ses outils, mais aussi pour surveiller leur furtivité et orchestrer des attaques complexes. Cette évolution marque un tournant : l’IA devient un multiplicateur de menace, rendant la détection statique de moins en moins efficace.

GTG-20006 : un groupe de cyberespionnage russe dopé à l’IA

Anthropic, dans un rapport publié le 11 septembre 2026, a détaillé les activités de GTG-20006, un cluster qu’elle qualifie de Generative Threat Group en raison de son usage intensif de l’intelligence artificielle. Ce groupe est étroitement lié à Midnight Blizzard (APT29), un acteur notoire opérant pour le compte du renseignement russe et connu pour cibler les gouvernements, les ambassades et les organisations de défense. Selon des sources concordantes (Microsoft, Google, ReliaQuest), GTG-20006 a mené plusieurs campagnes depuis le début de l’année 2026, dont la plus récente - CaptiveCrunch - s’est déroulée en juillet-août 2026.

« Le groupe a utilisé l’IA à chaque étape de ses opérations », indique le rapport d’Anthropic. Cette centralité de l’IA se manifeste dans la phase de développement des malwares, leur déploiement, leur suivi et leur adaptation en temps réel. L’acteur ne se contente pas de générer du code : il monitorise également le niveau de détection de ses outils via des agents dédiés, ce qui lui permet d’intervenir immédiatement en cas de signalement. Par ailleurs, il a recours à l’IA pour analyser les résultats de ses tests d’évasion, pour optimiser ses leurres de phishing et pour gérer l’infrastructure de commande et contrôle.

En pratique, GTG-20006 a compromis des fournisseurs d’accès Wi-Fi hôteliers, modifié des enregistrements DNS, exploité des failles d’autorisation dans des services de streaming vidéo, et mis en place une plateforme d’espionnage de courriels cloud. Toutes ces activités sont coordonnées et supervisées par des flux d’intelligence artificielle. Selon les chercheurs, le groupe a également utilisé l’IA pour surveiller la persistance de ses implants et s’assurer qu’ils restent furtifs malgré les mises à jour de sécurité des cibles. En complément, il a automatisé l’enregistrement de domaines, la configuration des serveurs de phishing et le suivi des canaux C2 pour détecter les compromissions réussies. Cette automatisation globale réduit considérablement le temps entre la prise de décision et l’exécution.

Le processus d’évasion automatisé : comment Claude est mis à contribution

Le cœur de l’innovation adverse réside dans le pipeline de reconstruction automatique de malwares. Ce pipeline, entièrement orchestré par l’IA, permet de réagir quasi instantanément dès qu’un outil est détecté. Voici les étapes clés, telles que décrites par Anthropic :

1. Déploiement initial : un implant (par exemple, PowerChrome ou MiniPlasma) est installé sur un poste cible via une campagne de phishing ou de ClickFix.
2. Surveillance continue : des agents IA, hébergés sur des serveurs de commande et contrôle, interrogent régulièrement les bases de données de détection (antivirus, EDR) ou reçoivent des alertes depuis les machines compromises. Ils peuvent également consulter des services en ligne pour vérifier la réputation du fichier et les signatures mises à jour.
3. Analyse de la détection : lorsqu’un fichier est marqué comme malveillant, les agents analysent la signature ou le comportement ayant déclenché l’alerte. Ils comparent avec un historique des détections précédentes pour identifier les motifs récurrents et déterminer les parties du code à modifier.
4. Reconstruction par Claude : le modèle IA reçoit une requête détaillée comprenant le code source du malware et la description de la détection. Claude génère une version modifiée, en altérant des séquences d’octets, des chaînes de caractères, des techniques d’injection ou en changeant la méthode de persistance. Les instructions peuvent aussi porter sur l’obfuscation de certaines API ou l’ajout de leurres.
5. Test d’évasion : le nouveau binaire est soumis à une batterie de moteurs antivirus (via des API ou des installations locales). Si le test échoue, le cycle retourne à l’étape 4 avec des instructions supplémentaires pour contourner les détections spécifiques. Si le test réussit, on passe à l’étape 6.
6. Redéploiement : le fichier est téléchargé sur un serveur d’hébergement temporaire (souvent un VPS loué avec des identités fictives ou des informations de paiement volées). Les liens de téléchargement dans les campagnes actives sont mis à jour automatiquement, et les nouvelles victimes reçoivent la variante furtive.

Ce cycle peut prendre de quelques minutes à une heure, selon la complexité du malware et le nombre d’itérations. Anthropic souligne que l’acteur a utilisé des versions avancées de Claude, optimisées pour la génération de code et la résolution de problèmes d’évasion. En outre, le groupe a automatisé la création de domaines, la configuration d’infrastructures de phishing et la surveillance des canaux C2, le tout via des workflows supervisés par l’IA.

« L’IA a inversé le coût sur les défenseurs : auparavant, un attaquant devait passer des heures à modifier manuellement un malware ; aujourd’hui, une IA peut le faire en continu et à l’échelle », commente le rapport d’Anthropic.

# Pseudo-code simplifié du pipeline IA
def monitor_deployed_implants():
    while True:
        for implant in active_implants:
            if implant.is_detected():
                signature = analyze_detection(implant)
                new_variant = claude.generate_variant(implant, signature)
                if test_evasion(new_variant, engines):
                    deploy(new_variant)
                else:
                    continue

Chaîne d’attaque : du phishing au détournement DNS

Les techniques d’infection employées par GTG-20006 étaient variées et souvent combinées pour maximiser le taux de succès. L’objectif était de livrer les malwares sur une large gamme de terminaux : Windows, Android et iOS. Voici les principales méthodes identifiées par Anthropic :

• Phishing classique et spear-phishing : des courriels usurpant des organisations gouvernementales (ministères, agences de renseignement) invitaient les destinataires à consulter un document ou à cliquer sur un lien. Ces courriels étaient souvent personnalisés à l’aide d’informations volées ou publiques, renforçant leur crédibilité. Les pages de destination imitaient des portails authentiques et déclenchaient le téléchargement d’un implant.
• ClickFix : cette technique récente consiste à afficher un faux message d’erreur système (par exemple « votre navigateur est obsolète ») invitant l’utilisateur à exécuter une commande (copier-coller dans le terminal) ou à installer une fausse mise à jour. GTG-20006 l’a massivement utilisée, notamment couplée à du détournement DNS.
• Détournement DNS (DNS hijacking) : le groupe a ciblé au moins trois fournisseurs de services Wi-Fi hôteliers. En utilisant des identifiants administrateur compromis (obtenus via des attaques antérieures), il modifiait les enregistrements DNS des routeurs. Les clients de l’hôtel se connectant au réseau étaient redirigés vers des serveurs contrôlés par l’attaquant, où une page ClickFix s’affichait pour livrer le malware adapté à leur appareil (Windows, Android ou iOS). Cette méthode a permis d’infecter des centaines de terminaux, notamment des smartphones Android et iOS, et de collecter les identifiants uniques des appareils (Device ID, adresse IP) pour un ciblage ultérieur.
• Compromission de caméras de surveillance : selon Anthropic, l’acteur a exploité des failles d’autorisation dans l’interface d’applications de streaming vidéo. Il a énuméré les utilisateurs et dérobé des jetons d’accès, accédant ainsi aux flux vidéo en direct. Cela a pu servir à la reconnaissance physique ou à l’espionnage en temps réel.

En parallèle, le groupe a développé une plateforme d’espionnage de courriels cloud baptisée Embassy Kit. Cette plateforme utilisait le device code phishing pour dérober des jetons Microsoft 365. La technique fonctionnait ainsi : un courriel (souvent usurpant un collègue ou un fournisseur) demandait à la victime de saisir un code sur une page officielle de Microsoft pour résoudre un faux problème de sécurité. En réalité, le code était lié à une application enregistrée par l’attaquant, ce qui octroyait à ce dernier un jeton d’accès persistant. Une fois le jeton acquis, l’attaquant pouvait lire, transférer et modifier les courriels, ainsi qu’accéder aux fichiers OneDrive et aux calendriers, sans éveiller les soupçons. Cette technique a permis l’exfiltration de courriels d’au moins huit organisations, dont un parquet national, un institut militaire d’enseignement et une organisation intergouvernementale.

Le groupe a également utilisé des leurres de fausses mises à jour (fake update) pour livrer des credential stealers Windows, et des outils auxiliaires pour faciliter l’accès à distance et désactiver les mises à jour de sécurité sur la machine victime, rendant les artefacts encore plus furtifs. En outre, l’acteur a exploité les données volées dans les systèmes de gestion hôtelière pour identifier des cibles de haute valeur, notamment des responsables ukrainiens et des fabricants de drones.

Outils et cibles de la campagne

L’arsenal malveillant

Le tableau suivant résume les principaux malwares déployés par GTG-20006, classés par plateforme :

Ce kit s’accompagne d’outils auxiliaires :

• Un kit d’exploitation mobile : collection d’exploits pour vulnérabilités de navigation ou de système, permettant l’installation sans interaction de l’utilisateur ;
• Un outil de vol d’identifiants (targeting browser password stores) : extrait les mots de passe stockés localement ;
• Une plateforme de phishing : capable de cloner des sites gouvernementaux, diplomatiques et d’entreprises de défense, avec des formulaires de récolte d’identifiants ;
• Une console d’administration : interface web pour gérer les comptes compromis, lancer des campagnes de phishing et superviser les implants ;
• Le framework Embassy Kit : dédié au vol de jetons Microsoft 365 via device code phishing.

Les implants Windows étaient souvent déguisés en logiciels légitimes - mises à jour système, outils de synchronisation cloud, pilotes. Les variantes Android et iOS étaient distribuées via des pages web falsifiées (généralement après une redirection DNS) ou via des applications sideloadées sur des stores alternatifs.

Cibles géographiques et sectorielles

La campagne de GTG-20006 a touché plus de 20 entités distinctes. Selon le rapport d’Anthropic, les cibles se répartissent ainsi :

• Ukraine : ministères, organismes de défense, fabricants de drones (plusieurs entreprises de drones ont été infiltrées, probablement pour dérober des schémas de conception et des données de vol) ;
• Europe : gouvernements (ministères des affaires étrangères, de la défense), ambassades, think tanks spécialisés en sécurité ;
• Moyen-Orient : agences gouvernementales, infrastructures maritimes (ports, autorités portuaires) ;
• Asie : autorités maritimes et de régulation, ainsi que des organisations intergouvernementales.

Parmi les incidents les plus marquants, le groupe a compromis une autorité technologique gouvernementale en Afrique du Nord. En utilisant des identifiants volés sur un VPN appliance, il a pris le contrôle du serveur de comptes central et exfiltré l’intégralité de la base de données d’identité nationale, contenant plus de 300 000 enregistrements, ainsi que le registre commercial de plus de 500 000 entreprises. Ce vol massif de données d’identité pourrait être exploité pour des opérations de désinformation, d’ingénierie sociale ou de ciblage futur.

En parallèle, l’acteur s’est attaqué à des comptes WhatsApp. En utilisant des navigateurs sans tête (headless browsers) automatisés, il a lié les comptes des victimes en tant qu’appareils compagnons, puis a exporté en masse les conversations en russe et en ukrainien, tout en supprimant les accusés de lecture. Cette technique lui a permis de récolter des renseignements précieux sans éveiller les soupçons. Les données ainsi obtenues complétaient celles des courriels et des caméras.

« L’acteur a également ciblé des plateformes de surveillance », a détaillé Anthropic, en précisant que des failles d’autorisation dans l’interface d’applications de streaming vidéo ont été exploitées pour accéder à des flux en direct de caméras institutionnelles.

Implications pour la cybersécurité : comment l’IA change le rapport de force

Cette campagne souligne une évolution majeure : l’IA générative abaisse la barrière technique pour l’évasion de détection. Là où les défenseurs pouvaient espérer ralentir un attaquant via la publication d’une signature, l’attaquant peut désormais reconstruire son malware en quelques minutes. Le coût de la détection s’inverse - le temps et les ressources sont désormais en faveur de l’offense.

Les équipes de sécurité doivent donc adapter leurs stratégies en profondeur :

• Privilégier la détection comportementale plutôt que les signatures. Les solutions EDR/XDR qui analysent les séquences d’appels système, les accès mémoire, les schémas de communication réseau et les techniques d’injection sont plus résilientes face aux variantes générées par IA.
• Renforcer la surveillance des DNS pour détecter les redirections suspectes. L’emploi de DNSSEC, la journalisation des requêtes et l’analyse des anomalies (domaines récemment enregistrés, TTL courts) peuvent limiter l’impact du DNS hijacking.
• Segmenter les réseaux pour limiter la propagation latérale, notamment dans les environnements d’accueil (hôtels, conférences) où des réseaux visiteurs sont utilisés.
• Auditer les fournisseurs de services (Wi-Fi, hébergement cloud, VPN) et exiger des contrôles de sécurité périodiques, ainsi que des mécanismes de détection d’intrusion.
• Mettre en place une authentification forte (MFA résistant au phishing, clés FIDO2) et surveiller les connexions d’appareils inhabituels (headless browsers, nouvelles associations de devices).
• Partager les indicateurs de compromission rapidement via des plateformes comme MISP, mais également échanger des indicateurs comportementaux (patterns de C2, techniques d’injection) car les hachages deviennent obsolètes trop vite.

En outre, les organisations doivent investir dans des solutions de détection basées sur l’IA capables de reconnaître des comportements anormaux même si le fichier change. Les SOC doivent se préparer à un volume d’alertes accru, car l’attaquant peut multiplier les variantes. L’automatisation défensive (SOAR, orchestration) devient essentielle pour répondre à la vitesse de l’offense.

« Les acteurs étatiques ont intégré l’IA dans leurs cycles d’attaque. La défense doit embrasser la même transformation, mais avec des outils adaptés », résume un analyste en cybersécurité. En pratique, les données d’identité volées peuvent servir à des attaques secondaires par ingénierie sociale, rendant la menace encore plus persistante et difficile à endiguer.

Conclusion : une menace qui va perdurer

La campagne de cyberespionnage russe menée par GTG-20006 avec le concours de l’IA (Claude) n’est pas un cas isolé. Elle illustre une tendance lourde : l’utilisation de l’intelligence artificielle par les APT pour automatiser des tâches complexes d’évasion et de ciblage. Avec plus de 20 organisations touchées, des données sensibles exfiltrées (identités nationales, registres commerciaux, conversations WhatsApp, flux vidéo), et des techniques innovantes (ClickFix, DNS hijacking via hôtels, device code phishing), cette opération marque un palier dans la menace cyber.

Pour les organisations françaises et européennes, il est impératif de réévaluer leur posture de sécurité face à des attaquants capables d’adapter leurs outils en temps réel. Investir dans la détection comportementale, la formation des équipes SOC, la collaboration intersectorielle et l’adoption d’IA défensive n’a jamais été aussi urgent. Les décideurs doivent intégrer ces nouvelles réalités dans leurs roadmaps de sécurité, en s’appuyant sur les recommandations de l’ANSSI et d’Europol. L’ère de l’IA offensive est commencée ; il est temps d’y répondre par une défense aussi dynamique et innovante.