Bauman : des documents divulgués révèlent le vivier universitaire des opérateurs cyber du GRU

Plus de 2 000 documents internes de la Bauman Moscow State Technical University décrivent un parcours structuré destiné à former du personnel pour le renseignement militaire russe et les opérations cyber. Au cœur de l’enquête, publiée le 3 septembre 2026, se trouve le Department No. 4, une structure absente de l’organigramme public de l’université, mais active au sein de son Military Training Center.

Également connu sous le nom de « Special Training », ce département aurait formé environ 250 étudiants en formation initiale et réservistes sur six années universitaires. Selon les estimations, 10 à 15 personnes par an auraient été sélectionnées avant la fin de leurs études pour occuper des fonctions liées au GRU, le renseignement militaire russe.

Les fichiers permettent de reconstituer non seulement les enseignements dispensés, mais aussi les processus d’évaluation, de supervision et d’affectation. Certains diplômés seraient liés à des unités associées à APT28 et Sandworm/APT44, deux des groupes russes les plus surveillés par la communauté internationale de la sécurité.

Plus de 2 000 fichiers révèlent une structure non publique

La documentation comprend des registres universitaires et administratifs allant jusqu’en 2025. Elle a été examinée par un consortium réunissant The Insider, The Guardian, Le Monde, Der Spiegel, Delfi, VSquare et FRONTSTORY.PL, tandis que DomainTools a mené une analyse indépendante des fichiers.

Les données auraient été diffusées sur DarkForums par un utilisateur identifié sous le pseudonyme « Losyash ». Il n’a toutefois pas été établi si ce compte avait directement dérobé les documents ou s’il les avait obtenus auprès d’une autre source.

La valeur de cette fuite réside dans le niveau de détail des informations. Les fichiers font apparaître un mécanisme institutionnel qui commence à l’université, se poursuit par une formation technique et militaire spécialisée, puis débouche sur une affectation au sein de structures de l’état-major russe.

Le Department No. 4 aurait fonctionné sans apparaître dans la représentation publique de l’université. Cet élément, associé à l’appellation « Special Training », suggère une séparation organisationnelle par rapport aux cursus universitaires classiques, tout en conservant l’accès aux compétences scientifiques et d’ingénierie de la Bauman.

La structure aurait formé environ 250 personnes dans trois spécialités militaires : renseignement spécial, emploi et lutte contre les moyens d’influence technico-informationnels, et protection des technologies de l’information. Il ne s’agissait donc pas d’un cursus universitaire ordinaire de cybersécurité.

Un programme qui combine attaque, défense et renseignement

Les matières reconstituées à partir des documents couvrent l’ensemble du cycle d’une opération cyber militaire. Elles comprennent l’espionnage, les opérations offensives, la reconnaissance électronique, la protection des systèmes, la cryptographie, la stéganographie, l’analyse de code et la détection des intrusions.

Une partie du programme était consacrée à l’analyse des malwares et à la cyber threat intelligence. Ce détail est important, car il montre que les opérateurs étaient préparés non seulement à développer ou utiliser des outils offensifs, mais aussi à étudier les techniques, les infrastructures et les comportements des adversaires.

La formation s’étendait également aux composants physiques et à la chaîne d’approvisionnement. Parmi les thèmes abordés figuraient :

• l’inspection du matériel et la recherche de dispositifs implantés ;
• l’analyse du firmware et des systèmes embarqués ;
• la détection de fonctionnalités non documentées dans les appareils ;
• la vérification et la protection de plateformes militaires spécialisées ;
• la sécurité et la gestion de la supply chain ;
• la protection des systèmes destinés à traiter des informations sensibles.

Les activités de red team et de blue team n’étaient pas organisées comme des parcours distincts. L’attaque et la défense étaient traitées comme deux composantes d’une même discipline, afin de former du personnel capable de comprendre les deux perspectives opérationnelles.

Cette approche aide à comprendre la nature du programme. L’opérateur n’est pas préparé à une seule fonction technique, mais à évoluer entre intrusion, protection, analyse et soutien au renseignement. Il s’agit d’une formation pluridisciplinaire, conçue pour des missions variées au sein de l’appareil militaire.

La propagande s’invite dans les exercices universitaires

La conception de la cyber warfare adoptée par le Department No. 4 ne se limitait pas à la compromission de réseaux et d’appareils. Les documents mentionnent également des activités pratiques liées à l’influence informationnelle.

Lors d’un exercice, les étudiants devaient produire une vidéo destinée aux réseaux sociaux en recourant à des techniques décrites dans les supports pédagogiques comme de la manipulation, de la pression et de la propagande dissimulée. Le travail était reconnu comme une composante de la formation universitaire.

Les cours définissaient largement les « armes technico-informationnelles » : des outils et des méthodes capables de modifier, copier, bloquer, détruire ou manipuler des informations. Dans ce cadre, un malware, une capacité de reconnaissance et un contenu de propagande peuvent relever du même espace opérationnel.

La distinction occidentale entre sécurité des réseaux, guerre électronique et influence apparaît donc moins nette dans le programme. Les compétences sont intégrées afin de soutenir des campagnes dans lesquelles la collecte de renseignement, l’intrusion technique et la manipulation de la perception peuvent poursuivre des objectifs communs.

Pour les défenseurs, ce modèle suggère de ne pas considérer automatiquement chaque activité comme un incident isolé. Une campagne d’espionnage peut préparer une action destructive ou alimenter une opération informationnelle, sans que toutes les phases soient prises en charge par les mêmes individus.

Les liens avec APT28, Sandworm et la Military Unit 29155

L’un des noms les plus importants apparus dans les fichiers est celui de Viktor Netyksho, major général et ancien commandant de la Military Unit 26165. Cette unité du GRU est publiquement associée à APT28, également connu sous les noms de Fancy Bear, Sofacy et STRONTIUM.

Netyksho figure parmi les 12 officiers du GRU inculpés par les États-Unis en 2018 pour leur implication dans les ingérences visant l’élection présidentielle de 2016. La documentation le situe au sein de la structure d’enseignement et de supervision du Department No. 4 et rappelle son précédent poste au sein du 85th Main Special Service Center.

Les documents indiquent également l’affectation de diplômés à trois unités :

• Military Unit 26165, associée à APT28 ;
• Military Unit 74455, associée à Sandworm ou APT44 ;
• Military Unit 29155, liée à des opérations de sabotage et d’assassinat en Europe.

La Military Unit 74455, également appelée Main Center for Special Technologies, a été associée à l’attaque NotPetya de 2017 et à d’autres opérations destructrices contre l’Ukraine. Parmi les diplômés figure Aleksei Kondrashov, qui aurait achevé le cursus du Department No. 4 en 2024 et serait précisément lié à la Unit 74455.

Le lien établi par les documents ne prouve toutefois pas que Kondrashov ait participé à NotPetya ou à d’autres activités précises. La même limite s’applique à toutes les personnes mentionnées dans les registres : une affectation administrative, une relation de supervision ou l’appartenance à une unité ne suffisent pas, à elles seules, à démontrer la responsabilité individuelle dans une attaque.

Ce que cela change pour l’attribution des opérations russes

Cette découverte n’identifie ni une nouvelle vulnérabilité, ni un malware inconnu, ni une infrastructure de command and control. Elle reconstitue plutôt le système par lequel une partie des opérateurs sont repérés, formés puis orientés vers des structures du GRU.

Pour la threat intelligence, ces documents fournissent un contexte organisationnel. Ils permettent de relier les parcours universitaires, les superviseurs militaires, les spécialisations techniques et les affectations ultérieures, faisant apparaître un vivier stable plutôt qu’une succession de recrutements ponctuels.

La présence, au sein d’un même programme, de compétences associées à APT28 et à Sandworm renforce également une lecture intégrée des activités russes. Espionnage, sabotage numérique, reconnaissance militaire, surveillance technique et influence peuvent partager une même doctrine, une même formation et les mêmes filières de recrutement.

Aucun indicateur technique de compromission — adresses IP, domaines, hachages ou échantillons de malware — n’a été publié. Il n’existe donc pas, dans ces fichiers, de règles de détection ou de mesures d’atténuation directement exploitables.

Les organisations peuvent toutefois adapter leur méthode d’analyse. La surveillance devrait mettre en corrélation les unités militaires, les personnes, les fonctions, les compétences acquises en formation et les groupes de menace, tout en maintenant une séparation rigoureuse entre indice contextuel et preuve technique. L’attribution d’un incident exige des données de télémétrie, des infrastructures, des malwares, des modes opératoires et d’autres éléments vérifiables.

Les documents montrent comment le personnel peut rejoindre ces unités. Ils ne démontrent pas automatiquement ce que chaque diplômé a fait après son affectation.