Trois clusters liés à la Russie utilisent OAuth, WhatsApp et des malwares contre des cibles occidentales

Phishing sans fausses pages de connexion évidentes

Le Google Threat Intelligence Group a décrit trois clusters de cyberespionnage soupçonnés d’être liés à la Russie : UNC6293, UNC7005 et UNC5976. Ces campagnes ciblent des chercheurs, des universitaires, des fonctionnaires, des analystes de think tanks et des employés du secteur de la défense en Europe et aux États-Unis.

Le rapport a été publié le 21 août 2026. Les opérations analysées ont un point commun : elles exploitent des procédures légitimes d’authentification et de partage, plutôt que de simples pages de connexion manifestement falsifiées.

Les attaquants utilisent des mots de passe d’application, des autorisations OAuth, des codes d’appareil, des comptes WhatsApp et des écrans d’authentification cloud. Pour la victime, l’opération peut sembler normale : le domaine paraît crédible, l’authentification s’effectue sur un service connu et la demande s’inscrit dans une conversation soigneusement préparée.

Le problème concerne également la visibilité des organisations. Le premier contact peut avoir lieu sur un compte personnel, non associé au domaine de l’entreprise et donc absent des contrôles de messagerie habituels. Le recours possible à une messagerie chiffrée complique davantage l’interception de la tentative avant la compromission.

UNC6293 mise sur les mots de passe d’application et les jetons OAuth

UNC6293 est le cluster documenté depuis le plus longtemps et celui dont l’attribution est la plus précise. Google estime avec une confiance modérée qu’il s’agit d’un sous-groupe d’ICE RELIC, également connu sous le nom d’APT29, actif dans les opérations d’accès initial.

Le groupe tend à cibler moins de cinq victimes à la fois. Les leurres s’appuient souvent sur des événements diplomatiques ou des conférences à venir. Depuis sa première documentation, en juin 2025, UNC6293 s’est fait passer pour des responsables du Département d’État américain.

Les victimes étaient invitées à configurer un mot de passe d’application spécifique. Sa valeur, choisie par les attaquants, était communiquée directement à la personne contactée. Une fois configuré, ce mot de passe permettait d’accéder au compte sans déclencher l’authentification à deux facteurs.

La méthode est particulièrement trompeuse, car elle ne nécessite pas forcément le vol du mot de passe principal. L’attaquant exploite une fonctionnalité légitime du compte pour créer un point d’accès alternatif, plus difficile à détecter.

En octobre 2025, le groupe a réutilisé des écrans déjà employés dans les leurres de juin, notamment la référence à ms.state.gov, en ne modifiant que le texte environnant. En juin 2026, UNC6293 a ajouté des campagnes fondées sur OAuth.

Dans ces scénarios, après s’être connectée à un service légitime, la victime était invitée à partager une URL ou un « code de vérification ». L’objectif était d’obtenir des jetons valides. L’authentification semblait correcte, mais l’étape suivante permettait aux attaquants d’obtenir les autorisations nécessaires pour agir sur le compte.

UNC7005 combine codes d’appareil, WhatsApp et infostealers

UNC7005, identifié par Microsoft sous le nom STORM-2945, a été détecté pour la première fois en février 2026. Ce cluster est lui aussi considéré comme lié à ICE RELIC, même si Google le décrit comme moins sophistiqué et moins rigoureux sur le plan opérationnel qu’UNC6293.

Son activité est toutefois plus vaste. Elle comprend du phishing utilisant des mots de passe d’application, des codes d’appareil pour les comptes Microsoft et WhatsApp, des campagnes OAuth, des malwares ainsi que de fausses invitations à des conférences ou à des appels avec des organisations importantes pour la victime.

Un cas représentatif concerne le forum GLOBSEC, prévu en mai 2026. UNC7005 a créé une page imitant une invitation à l’événement et recueillant des informations détaillées d’inscription, notamment le choix du vin pour un dîner fictif.

À la fin de la procédure, le site affichait un code d’appareil Microsoft à saisir. Le formulaire contenait encore la mention « Embassy security policy », héritée d’un ancien modèle de leurre. Après le signalement de la page, le groupe a modifié le modèle en quelques jours, invoquant de prétendues « difficultés techniques ».

Les opérations visant WhatsApp suivaient une logique similaire. Les victimes étaient invitées à participer à un appel, à ouvrir une conversation chiffrée ou à télécharger un document. La page leur demandait ensuite de relier leur compte à un appareil contrôlé par les attaquants.

Dans certains cas, un JavaScript malveillant demandait également l’accès au microphone et à la caméra. Si l’utilisateur accordait ces permissions, le navigateur enregistrait des images et du son avant de les transmettre aux attaquants.

Entre fin mai 2026 et juin 2026, UNC7005 a mené des opérations d’ingénierie sociale visant des diplomates, des universitaires américains et des chercheurs travaillant sur la Russie. Une campagne plus large proposait une fausse application appelée Summit Companion App, présentée comme un outil permettant de consulter un document de soutien à l’Ukraine.

Le fichier distribuait VIDAR aux utilisateurs Windows et ATOMIC, également connu sous le nom d’AtomicStealer, aux utilisateurs macOS. Il s’agit dans les deux cas d’infostealers commerciaux proposés sous forme de service. VIDAR peut dérober dans les navigateurs des identifiants enregistrés, des cookies et des données de paiement ; ATOMIC est conçu pour collecter des informations similaires sur les systèmes Apple.

Aucun de ces deux outils n’a été développé spécifiquement pour cette opération. L’adresse e-mail utilisée dans la campagne était par ailleurs presque identique à celle employée par UNC6293 l’année précédente.

Infrastructure hôtelière et éventuel code généré par un LLM

Google relie également directement à UNC7005 la campagne visant les portails captifs d’hôtels et de centres de congrès, déjà signalée par Reliaquest et Microsoft et attribuée à Midnight Blizzard.

L’infrastructure remonte à avril 2026, lorsque sont apparus des domaines imitant des ressources d’authentification Microsoft. Ces domaines ont progressivement été ajoutés aux listes de blocage de Google Safe Browsing. À la mi-juillet 2026, ils recevaient des redirections provenant des portails captifs d’établissements hôteliers et de lieux de conférence.

L’analyse des adresses IP relie cette infrastructure à l’opération GLOBSEC fondée sur les codes d’appareil ainsi qu’à ENGINELIGHT, un malware écrit en Go utilisé dans une opération distincte et limitée d’UNC7005 menée en mai 2026.

Le cluster a également utilisé CHERRYPIE, aussi connu sous le nom de ChocoShell, un infostealer PowerShell. Les fichiers analysés contiennent des commentaires et des références apparemment compatibles avec du code généré par une intelligence artificielle. Google juge donc possible l’utilisation d’un LLM pour développer ce malware.

CHERRYPIE collecte des données en partie similaires à celles dérobées par les infostealers commerciaux. Il pourrait donc s’agir d’une variante personnalisée d’un outil de malware-as-a-service. Cette hypothèse ne confirme toutefois pas l’origine du code.

UNC5976 cible la défense et les organisations liées à l’Ukraine et à l’Arménie

UNC5976 se distingue davantage des deux autres clusters. Il cible des organisations militaires, aérospatiales, de la base industrielle de défense ainsi que des ONG, en s’intéressant particulièrement à l’Ukraine et à l’Arménie.

Ses opérations OAuth sont davantage automatisées. Le groupe enregistre des domaines liés au partage de fichiers, crée des projets Google Cloud associés à ces domaines et utilise des scripts hébergés dans le cloud. La victime voit un écran d’authentification apparemment fourni par Google dans une fausse page de partage de fichiers ; la connexion permet aux attaquants de collecter des jetons d’authentification.

Après l’interruption de l’infrastructure par Google, UNC5976 avait créé au moins douze nouveaux domaines en trois mois et commençait à migrer vers des fournisseurs d’hébergement extérieurs à l’écosystème Google. Cela témoigne d’une capacité à reconstituer rapidement ses opérations.

En avril 2026, le cluster a distribué HEADRUSH, un plug-in Excel malveillant, via un domaine imitant un institut de recherche ukrainien. La cible potentielle pourrait être une entreprise ukrainienne active dans les secteurs de l’aérospatiale et de l’imagerie.

HEADRUSH mène finalement vers un téléchargeur HTA, mais la chaîne d’infection complète n’a pas pu être reconstituée.

Comment réduire le risque de compromission

Les utilisateurs ne doivent pas créer de mots de passe d’application à la demande de tiers. Il est également recommandé de révoquer ceux qui existent sur le compte sans être reconnus, et de vérifier régulièrement les appareils associés à WhatsApp.

Toute demande OAuth reçue dans un message non sollicité doit être considérée comme suspecte, même si la page paraît professionnelle ou utilise un service connu. Il en va de même pour les invitations à des conférences, les appels et les partages de documents qui exigent un code d’appareil ou la connexion de nouveaux appareils.

Le microphone et la caméra ne doivent pas être autorisés sur des pages non vérifiées. Les applications distribuées par des événements, des institutions ou des organisations connues doivent être téléchargées uniquement depuis des canaux officiels.

Pour les personnes particulièrement exposées, le Google Advanced Protection Program bloque complètement la création de mots de passe d’application. Les organisations devraient surveiller, lorsque leurs politiques l’autorisent, les comptes personnels utilisés pour des activités sensibles, les consentements OAuth, les appareils WhatsApp associés et les domaines imitant Microsoft, Google, des institutions diplomatiques, des conférences ou des centres de recherche.

On ignore si ces activités sont liées à des vulnérabilités logicielles spécifiques ou à des entrées du catalogue KEV de la CISA. Le risque provient surtout de l’utilisation abusive de mécanismes légitimes, qui peut entraîner des compromissions échappant aux contrôles traditionnels des entreprises.