Des hackers russes liés à l’État ont utilisé Claude pour reconstruire des malwares après leur détection

Anthropic affirme avoir perturbé une campagne de cyberespionnage au cours de laquelle des hackers russes soutenus par l’État ont utilisé Claude à presque toutes les étapes d’une opération, de la reconnaissance et de l’hameçonnage au déploiement de malwares et à la surveillance du commandement et du contrôle.

Le groupe de menaces, suivi sous le nom de GTG-20006, a ciblé plus de 20 organisations dans les secteurs gouvernemental, militaire, diplomatique, du renseignement, de la recherche et de l’industrie. Anthropic estime que cette activité correspond aux éléments rapportés au sujet de Midnight Blizzard, le groupe russe également connu sous les noms APT29 et Cozy Bear. Cette attribution indique un recoupement entre les activités évaluées, sans affirmer de manière définitive que ces appellations sont interchangeables.

La caractéristique déterminante de cette campagne n’était pas simplement le recours à l’IA pour coder des malwares. GTG-20006 avait mis en place des flux de travail automatisés capables de détecter lorsqu’un logiciel de sécurité identifiait un artefact malveillant, de modifier cet artefact, de le reconstruire, puis de déployer la nouvelle version au moyen d’une infrastructure jetable.

Cette boucle de rétroaction pouvait réduire fortement l’efficacité défensive des signatures statiques.

Claude intervenait à toutes les étapes de l’intrusion

GTG signifie Generative Threat Group, la désignation utilisée par Anthropic pour les groupes qui exploitent l’IA générative dans leurs opérations. Dans ce cas, Claude aurait été intégré à un vaste système d’agents, plutôt qu’utilisé ponctuellement comme assistant de programmation.

Ces agents contribuaient au développement de malwares, à la reconnaissance des cibles, au déploiement de l’infrastructure, à l’hameçonnage, à la persistance, à la surveillance des compromissions et au suivi du C2. Ils enregistraient également des domaines, préparaient l’infrastructure d’hameçonnage, envoyaient des messages et surveillaient les canaux de commande et de contrôle afin de détecter les signes d’une compromission.

D’autres agents surveillaient les malwares déjà actifs dans des environnements on-premises. Ils évaluaient si les implants restaient discrets et persistants, ainsi que si les mécanismes de sécurité avaient commencé à les détecter.

Lorsqu’une détection survenait, le flux de travail pouvait lancer un nouveau cycle de développement. Le malware était modifié et reconstruit pour contourner la détection existante, puis téléversé vers un serveur d’hébergement jetable afin d’être à nouveau distribué.

Il s’agit de l’élément technique le plus lourd de conséquences de cette campagne. Une détection traditionnelle fondée sur les signatures peut contraindre l’attaquant à s’arrêter, à déterminer pourquoi la charge utile a été interceptée, à modifier manuellement le code, à le tester et à mettre en place une nouvelle infrastructure de diffusion. L’automatisation condense ces étapes et permet à l’attaquant de les répéter plus fréquemment.

Cela ne rend pas la détection inutile. En revanche, les détections reposant principalement sur des propriétés stables des fichiers deviennent moins durables.

Anthropic n’a pas publié de score CVSS ni d’évaluation formelle de la gravité. Ces évaluations seraient de toute façon peu adaptées, car la divulgation concerne une opération menée par un adversaire et non une vulnérabilité logicielle unique. Cette activité doit néanmoins être considérée comme ayant un impact élevé, puisqu’elle associait malwares adaptatifs, surveillance, prise de contrôle de comptes, vol d’identifiants et exfiltration à grande échelle de données d’identité.

L’arsenal couvrait Windows, les appareils mobiles et l’infrastructure d’hameçonnage

L’arsenal plus large de GTG-20006 comprenait deux implants Windows, un kit d’exploitation mobile, un voleur de mots de passe de navigateur et une plateforme d’hameçonnage capable d’usurper l’identité de cibles prioritaires telles que des organisations gouvernementales.

Le groupe disposait également d’une console d’administration pour gérer les comptes compromis. De fausses invites de mise à jour logicielle servaient à diffuser des voleurs d’identifiants Windows, tandis que des utilitaires complémentaires permettaient d’accéder à distance aux systèmes et de perturber les mises à jour de sécurité des victimes.

Une fois qu’un artefact reconstruit semblait capable de contourner la détection, les attaquants le plaçaient sur une infrastructure d’hébergement temporaire. Les victimes y étaient redirigées par des campagnes d’hameçonnage classiques, de l’ingénierie sociale de type ClickFix et la manipulation d’enregistrements DNS.

Les attaques ClickFix amènent généralement les utilisateurs à effectuer eux-mêmes une action présentée comme corrective. Dans cette opération, le leurre faisait partie d’une chaîne de diffusion qui sélectionnait le malware en fonction du système d’exploitation de la victime.

Les charges utiles Windows révélées étaient les suivantes :

• PowerChrome
• WUEngine
• Shadow C2
• MiniPlasma
• CloudSyncSvc

Les appareils Android recevaient GiftDrop, présenté comme une version renommée du cheval de Troie d’accès à distance et de surveillance Android GiftsExpress. La charge utile iOS a été identifiée comme étant DarkSword.

Les versions exactes des malwares, les hachages, les domaines, les adresses IP et les autres indicateurs de compromission n’ont pas été divulgués. Aucun correctif ni aucune publication de remédiation par un éditeur n’a par ailleurs été identifié comme étant spécifiquement lié à cette campagne.

CaptiveCrunch a transformé le Wi-Fi des hôtels en système de ciblage

Cette activité présentait des recoupements avec CaptiveCrunch, une campagne documentée par ReliaQuest, Microsoft, Google et Lumen Black Lotus Labs en juillet et août 2026.

Anthropic affirme que GTG-20006 a compromis au moins trois prestataires du secteur hôtelier chargés des réseaux Wi-Fi destinés aux clients. Après avoir obtenu des identifiants d’administrateur, les attaquants ont modifié les enregistrements DNS afin de rediriger le trafic vers des services sous leur contrôle.

Les clients qui se connectaient via les réseaux concernés exposaient aux serveurs des attaquants des informations sur leur trafic, des identifiants d’appareils et des adresses IP. La redirection malveillante permettait ensuite de diffuser des charges utiles adaptées au système d’exploitation au moyen de leurres de type ClickFix.

Les intrusions visant les hôtels ont également fourni des renseignements pour les opérations de ciblage ultérieures. Les informations extraites des systèmes de gestion hôtelière et des appareils des clients ont aidé le groupe à identifier des personnes liées à l’Ukraine, notamment des représentants du gouvernement et des fabricants de drones.

L’infrastructure hôtelière ne constituait donc pas seulement un point d’infection. Elle servait aussi de mécanisme de collecte et de sélection, permettant aux attaquants d’identifier des voyageurs intéressants, de dresser le profil de leurs appareils et de choisir les actions à mener ensuite.

GTG-20006 a également tenté de prendre le contrôle de comptes WhatsApp appartenant à des victimes. Des navigateurs sans interface graphique associaient les comptes ciblés comme appareils compagnons, exportaient en masse des conversations en russe et en ukrainien et désactivaient les accusés de lecture afin de réduire le risque que les victimes remarquent l’activité.

Des flux vidéo, des registres nationaux d’identité et des messageries cloud ont été compromis

La campagne s’est étendue à la surveillance physique. GTG-20006 a exploité des faiblesses d’autorisation dans les interfaces applicatives utilisées par des plateformes de diffusion vidéo à partir de caméras, ce qui lui a permis d’énumérer les utilisateurs et de collecter des jetons d’accès.

Ces jetons donnaient accès aux flux vidéo en direct des caméras des victimes. Les versions des plateformes concernées et les failles d’autorisation sous-jacentes n’ont pas été identifiées ; aucun correctif logiciel précis n’est donc actuellement disponible.

Lors d’une autre intrusion, le groupe a utilisé des identifiants associés à une appliance VPN appartenant à une autorité technologique gouvernementale d’Afrique du Nord. Les attaquants ont pris le contrôle du serveur central de comptes de l’organisation et en ont extrait la base complète d’identifiants.

Les données volées comprenaient plus de 300 000 dossiers d’identité nationale. Des informations issues du registre du commerce concernant plus de 500 000 entreprises opérant dans le pays ont également été exfiltrées.

Un autre volet de l’opération ciblait les messageries cloud. Les attaquants ont créé un dispositif d’hameçonnage par code d’appareil baptisé Embassy Kit, qui permettait de voler des jetons Microsoft 365 auprès de personnels diplomatiques et gouvernementaux.

L’hameçonnage par code d’appareil peut permettre à un attaquant d’obtenir un accès authentifié sans que la victime communique directement son mot de passe à une fausse page de connexion. La cible est plutôt incitée à autoriser une session contrôlée par l’attaquant dans le cadre d’un flux d’authentification légitime.

La campagne qui en a résulté a permis d’accéder aux courriels d’au moins huit organisations et d’en exfiltrer les données. Parmi les victimes figuraient le parquet national, un institut d’enseignement militaire et une organisation intergouvernementale régionale.

Les équipes de défense doivent privilégier les signaux qui résistent à la recompilation des malwares

Les organisations ne peuvent pas contrer cette opération au moyen d’un simple correctif. Aucun correctif de sécurité précis, ensemble public d’indicateurs ou programme de mitigation fourni par un éditeur n’a été identifié dans les informations publiées sur la perturbation de GTG-20006 par Anthropic.

Les équipes de défense doivent plutôt donner la priorité aux comportements et aux changements d’infrastructure qui restent observables lorsque les fichiers malveillants sont reconstruits :

• Corréler les comportements des terminaux plutôt que de s’appuyer uniquement sur les hachages. Rechercher les accès inhabituels aux magasins d’identifiants, la création de mécanismes de persistance, les perturbations des mises à jour de sécurité et les connexions C2 sortantes inattendues.
• Auditer l’administration DNS. Les prestataires hôteliers et autres opérateurs de réseaux gérés doivent rechercher les modifications non autorisées d’enregistrements, les serveurs de noms inconnus et les destinations éphémères utilisées dans les portails captifs.
• Protéger les identifiants à privilèges. Les comptes d’administration des systèmes Wi-Fi hôteliers, des appliances VPN, des serveurs d’identité et des environnements cloud doivent bénéficier d’une authentification résistante à l’hameçonnage et de procédures de récupération strictement contrôlées.
• Surveiller l’authentification par code d’appareil dans Microsoft 365. Examiner les autorisations inattendues accordées via un code d’appareil, les accès géographiques inhabituels, les nouvelles applications et l’utilisation de jetons incompatible avec les appareils habituels de l’utilisateur.
• Vérifier les appareils compagnons WhatsApp. Les sessions liées inconnues, les activités de compte inexpliquées et les signes d’accès automatisé aux messages doivent entraîner la révocation des comptes et la vérification des identifiants.
• Rechercher les infrastructures jetables. Les domaines récemment enregistrés, les points d’accès d’hébergement qui changent rapidement et les tentatives répétées de diffusion de binaires légèrement différents peuvent révéler le cycle de reconstruction et de redéploiement.
• Examiner les autorisations des plateformes de surveillance. Les services de caméras doivent vérifier que les jetons d’accès sont correctement limités et qu’ils ne peuvent pas être obtenus par énumération des utilisateurs ou au moyen de contrôles d’autorisation défaillants.

La période exacte de la campagne GTG-20006 n’a pas été communiquée. Son recoupement avec CaptiveCrunch situe une partie de l’activité associée en juillet et août 2026, mais on ignore quand chaque intrusion a commencé ou s’est achevée.

Le changement central tient à la vitesse opérationnelle. Un attaquant capable de réagir automatiquement aux détections de sécurité peut régénérer ses outils plus rapidement que les équipes ne peuvent créer et distribuer des signatures statiques. Les équipes de défense doivent donc s’appuyer sur des détections fondées sur l’abus d’identité, les comportements d’exécution, les schémas d’infrastructure et les accès anormaux, et pas uniquement sur le binaire déployé en premier.