Les campagnes de cyberespionnage contre l’Ukraine ne faiblissent pas. Un livre blanc de sécurité publié récemment met en lumière l’évolution des tactiques du groupe Gamaredon, acteur historique du cyberespionnage russe. Actif depuis plus d’une décennie, ce groupe est attribué par les autorités ukrainiennes au Service fédéral de sécurité russe (FSB). En 2024, il s’est concentré exclusivement sur des institutions ukrainiennes, adaptant sans cesse ses méthodes pour rester sous les radars.
Depuis le second semestre 2024, ses campagnes de spearphishing se sont intensifiées. Ces attaques ciblées durent généralement entre un et cinq jours. Elles s’appuient sur des e-mails piégés contenant des archives compressées (RAR, ZIP, 7z) ou des fichiers XHTML exploitant des techniques de contrebande HTML. Ces documents véhiculent des fichiers malveillants HTA ou LNK, conçus pour lancer des téléchargeurs VBScript. L’un d’eux, baptisé PteroSand, est emblématique de cette boîte à outils.
Une évolution notable a été observée en octobre 2024 : Gamaredon a, de manière inhabituelle, intégré des hyperliens malveillants dans ses e-mails, délaissant temporairement les pièces jointes. Autre nouveauté : l’exploitation de fichiers LNK pour lancer directement des commandes PowerShell depuis des domaines générés par Cloudflare, contournant ainsi les mécanismes de détection classiques.
Des outils peaufinés, plus furtifs et plus persistants
Contrairement à d’autres groupes cybercriminels, Gamaredon ne multiplie pas les nouveaux outils, mais optimise les existants. Les dernières évolutions visent une meilleure furtivité, des capacités accrues de persistance sur les machines infectées et un déplacement latéral plus efficace dans les réseaux. Les techniques d’obfuscation et les mécanismes d’exfiltration de données ont été perfectionnés pour résister aux analyses de sécurité.
Un cas intrigant a marqué l’été 2024 : la diffusion d’une charge utile VBScript sans fonction d’espionnage. Sa seule finalité était d’ouvrir automatiquement un canal Telegram baptisé « Gardiens d’Odessa », relayant des messages de propagande pro-russes ciblant cette région stratégique.
Une infrastructure C&C toujours plus difficile à tracer
Côté infrastructure, Gamaredon reste fidèle à des tactiques éprouvées comme le DNS à flux rapide, multipliant les rotations d’adresses IP pour compliquer son suivi. Le groupe tire également parti de services tiers grand public : Telegram, Telegraph, Codeberg, Dropbox et Cloudflare Tunnels servent à héberger ou rediriger dynamiquement ses serveurs de commande et contrôle (C&C). Ces plateformes, difficiles à bloquer sans perturber des usages légitimes, sont devenues des refuges classiques pour les cybercriminels.
Malgré des moyens qui peuvent sembler limités par rapport à d’autres groupes étatiques, Gamaredon compense par une agilité redoutable et une agressivité constante dans ses attaques. Sa priorité reste la collecte d’informations au profit des intérêts géopolitiques russes.
Pour approfondir le sujet et consulter les analyses techniques, le livre blanc complet est disponible sur le blog WeLiveSecurity.
