Trois groupes de menaces ciblent des entreprises russes avec des portes dérobées, des ransomwares et des wipers

Les entreprises russes font face à trois campagnes d’intrusion distinctes combinant le vol d’identifiants VPN, l’exploitation de Microsoft Exchange, des attaques contre Active Directory, des ransomwares et des malwares destructeurs.

Kaspersky associe ces activités à NightEagle, également suivi sous le nom d’APT-Q-95, au groupe hacktiviste pro-ukrainien Hacking Cat et à Toy Ghouls, motivé par des considérations financières et connu sous les noms de Bearlyfy, Laboo.boo et Feral Wolf.

Bien que leurs motivations et leurs outils diffèrent, les trois groupes cherchent à maintenir un accès durable aux infrastructures d’entreprise. Les campagnes touchent des systèmes Windows, Linux et VMware ESXi et combinent des malwares personnalisés avec des utilitaires offensifs open source.

Quatre vulnérabilités exploitées ou ciblées apparaissent dans les rapports : CVE-2019-0708, CVE-2020-0688, CVE-2021-26855 et CVE-2026-42897. Toutes figurent dans le catalogue des vulnérabilités connues comme exploitées de la Cybersecurity and Infrastructure Security Agency américaine.

NightEagle cherche à prendre le contrôle d’Active Directory

NightEagle est actif depuis au moins 2023 et pénètre généralement dans les réseaux d’entreprise à l’aide d’identifiants légitimes utilisés contre des services VPN. Les connexions observées provenaient d’adresses IP russes associées à des tunnels Cloudflare WARP ainsi que de fournisseurs européens d’infrastructures virtuelles.

Une fois à l’intérieur, le groupe se concentre sur la persistance, les déplacements latéraux, l’acquisition d’identifiants et, à terme, la prise de contrôle d’Active Directory.

GhostContainer constitue l’un de ses principaux composants. Il s’agit d’une porte dérobée modulaire conçue pour offrir un accès étendu à Microsoft Exchange Server. Elle prend en charge l’exécution arbitraire de code, la manipulation de fichiers, le chargement de modules supplémentaires, la redirection du trafic et le tunneling. Le malware se fait également passer pour un composant serveur ordinaire afin de réduire sa visibilité.

Certaines parties de GhostContainer sont dérivées de projets publics, notamment Neo-reGeorg, du code GhostWebShell issu de ysoserial et un exploit pour CVE-2020-0688. Cette vulnérabilité affecte Microsoft Exchange Server 2010 et présente un score CVSS de 8,8.

Le mode précis de déploiement sur Exchange n’est pas connu. Une hypothèse envisage le vol de clés cryptographiques dans la configuration ASP.NET, la modification de la valeur ASP.NET VIEWSTATE et l’insertion d’une charge utile exécutant la porte dérobée en mémoire.

NightEagle utilise ensuite des outils de tunneling tels que les tunnels Microsoft dev et rdp2tcp pour acheminer le trafic Remote Desktop Protocol vers les systèmes internes. Les tunnels établis au préalable donnent aux opérateurs accès à des infrastructures qui ne sont pas directement exposées à Internet.

Lors d’une intrusion, le groupe a exploité BlueKeep, CVE-2019-0708, pour créer un compte local et l’ajouter aux groupes Administrators et Remote Desktop Users. Il a également tenté une attaque DCSync, en usurpant l’identité d’un contrôleur de domaine afin de récupérer des éléments d’identification du domaine.

L’objectif global est clair : obtenir des condensats de mots de passe, établir un accès Kerberos durable, compromettre les contrôleurs de domaine et prendre durablement le contrôle de l’infrastructure d’identités de la victime.

Hacking Cat associe accès à distance et malware destructeur

Hacking Cat mène des opérations de défiguration et de violation de données depuis février 2024, mais ses activités se sont orientées vers le chiffrement et la destruction de systèmes. Le groupe collabore avec Cyber Anarchy Squad et l’Ukrainian Cyber Alliance, ce qui complique l’attribution, car plusieurs groupes peuvent déployer le même malware.

Selon Kaspersky, le groupe a exploité les vulnérabilités Exchange CVE-2021-26855 et CVE-2026-42897 pour installer Gorilla RAT, un cheval de Troie d’accès à distance développé en Go. Les détails précis reliant chaque faille à l’étape finale d’exécution de la charge utile n’ont pas été communiqués.

Gorilla RAT enregistre les machines infectées auprès d’un serveur distant et attend des instructions. Les opérateurs peuvent exécuter des commandes, énumérer les processus, collecter des informations sur l’hôte, transférer des fichiers et ouvrir ou fermer des tunnels TCP. Cette capacité de tunneling transforme un serveur Exchange compromis en point d’entrée vers des ressources réseau plus profondes.

Hacking Cat a également déployé des variantes du ransomware Monkey écrites en Rust, .NET, C++ et Go. Cette famille cible Windows, Linux et VMware ESXi, le plus ancien échantillon signalé remontant à la fin de l’été 2025.

L’édition Rust génère une clé de 32 octets et utilise ChaCha20-Poly1305. Certaines versions ne conservent jamais la clé, ce qui rend la récupération impossible, même lorsqu’une demande de rançon s’affiche. Ces échantillons se comportent comme des wipers plutôt que comme des ransomwares classiques.

La version .NET utilise AES-256-CBC et transmet sa clé à l’infrastructure de commande et de contrôle. Elle peut élever les privilèges, désactiver la récupération Windows, voler les identifiants Outlook, supprimer les fichiers liés aux sauvegardes et s’effacer.

L’édition C++ ajoute une persistance par tâche planifiée ou via RunOnce, la suppression des journaux, l’effacement de l’historique de PowerShell et de l’invite de commandes, ainsi que des interférences avec AMSI et Event Tracing for Windows. Elle crée également des exclusions dans Microsoft Defender et perturbe VSS ainsi que les services de sauvegarde, de base de données et de récupération.

La variante Go cible principalement Linux et ESXi. Elle utilise crontab pour assurer sa persistance et tente de désactiver SELinux et AppArmor. La conservation de la logique de suppression des clichés instantanés Windows, peu utile sur ces plateformes, est considérée par Kaspersky comme un possible indice de développement négligé ou assisté par l’IA.

Hacking Cat a également participé à des déploiements de ransomware ClearWater et à des opérations de wiper Nemo. Nemo écrase les fichiers avec des octets aléatoires, puis remplit l’espace disque restant avec des fichiers .lock aux noms générés aléatoirement.

Le groupe a contesté certains éléments de l’attribution après la publication des résultats. Il a reconnu être à l’origine de certains outils, mais a nié posséder les lockers de ransomware et affirmé que des malwares appartenant à d’autres acteurs avaient été attribués à tort à ses opérations. Le différend n’est toujours pas tranché.

Toy Ghouls dissimule ses commandes dans le trafic MQTT et Matrix

Toy Ghouls est actif depuis 2025 et poursuit principalement des objectifs financiers. Après avoir utilisé des builders Babuk et LockBit ayant fuité, puis son propre ransomware GenieLocker, le groupe a introduit une porte dérobée personnalisée baptisée Bird Agent.

Le malware a été détecté pour la première fois en juillet 2026. Deux variantes en version 0.1.0 sont connues :

• mqtt-bird-agent 0.1.0, qui utilise un broker MQTT HiveMQ ;
• matrix-bird-agent 0.1.0, qui utilise la plateforme de messagerie Element basée sur Matrix.

Toy Ghouls distribue la porte dérobée et sa configuration via Windows Remote Management, avec l’appui d’outils open source tels que Evil-WinRM et WinRM-fs. Bird Agent fournit une session de commande interactive et peut s’installer comme service Windows.

Au démarrage, il recherche config.toml dans son répertoire, mais les opérateurs peuvent spécifier un autre chemin avec -c ou --config. Le malware chiffre partiellement cette configuration à l’aide d’une clé dérivée de la MachineGuid du Registre de l’hôte, ce qui lie le fichier à une seule machine. Les exécutions ultérieures s’interrompent si le déchiffrement échoue.

La configuration MQTT contient un identifiant de cluster HiveMQ. L’édition Element stocke quant à elle un identifiant de salon et un jeton d’accès, et demande le jeton lors de l’installation si le champ est vide.

Après avoir envoyé les informations système à l’opérateur, la variante HiveMQ récupère les commandes au moyen de requêtes HTTP GET et les exécute dans des sessions PowerShell masquées avec :

-NonInteractive -NoProfile -Command

La version Element effectue des opérations comparables via l’interface de ligne de commande Windows. Les deux variantes renvoient la sortie des commandes par leurs canaux C2 respectifs.

Les brokers MQTT et les salons Matrix chiffrés peuvent être plus difficiles à distinguer d’un trafic applicatif légitime que les serveurs de commande et de contrôle classiques. Les défenseurs doivent donc examiner le contexte et le comportement des points de terminaison, plutôt que de bloquer uniquement les domaines inconnus.

Quatre vulnérabilités KEV définissent les priorités immédiates de correction

L’exploitation des quatre vulnérabilités citées est confirmée dans le catalogue KEV de la CISA :

Vulnérabilité	Produits affectés dans les enregistrements disponibles	Score	Ajoutée aux KEV le	Échéance fédérale
CVE-2019-0708	Windows 7, Windows Server 2008 et les produits Siemens Axiom, Mobilett et Multix répertoriés ; les versions ne sont pas précisées	9,8	3 novembre 2021	3 mai 2022
CVE-2020-0688	Microsoft Exchange Server 2010	8,8	3 novembre 2021	3 mai 2022
CVE-2021-26855	Exchange Server 2013 CU21–CU23 et Exchange Server 2016 CU10–CU16	9,8 NIST ; 9,1 Microsoft CNA	3 novembre 2021	3 mai 2022
CVE-2026-42897	Exchange Server 2016 et Exchange Server Subscription Edition antérieurs à 15.02.2562.043	8,1	15 mai 2026	29 mai 2026

CVE-2021-26855 est une vulnérabilité SSRF. Le NIST lui attribue une note de 9,8, en raison de ses impacts importants sur la confidentialité, l’intégrité et la disponibilité, tandis que la note attribuée par la CNA de Microsoft est de 9,1 et ne fait état d’aucun impact sur la disponibilité.

CVE-2026-42897 est une faille de cross-site scripting qui permet une usurpation d’identité via le réseau et nécessite une interaction de l’utilisateur. La CISA demande aux organisations d’appliquer les mesures d’atténuation du fournisseur, de suivre les recommandations BOD 22-01 applicables aux services cloud ou d’abandonner le produit lorsque les mesures d’atténuation ne sont pas disponibles. Les trois autres entrées nécessitent l’installation des mises à jour du fournisseur. CVE-2019-0708, CVE-2020-0688 et CVE-2021-26855 sont répertoriées comme ayant été utilisées dans des campagnes de ransomware.

L’exposition plus large aux vulnérabilités KEV de Microsoft et Siemens se poursuit. Au cours des 90 derniers jours, CVE-2025-25249 a été ajoutée au catalogue le 9 septembre 2026 ; CVE-2026-81963 et CVE-2026-85880, le 8 septembre 2026 ; CVE-2019-1068, le 26 août 2026 ; et CVE-2026-33824 ainsi que CVE-2026-55040, le 18 août 2026.

Ce que les défenseurs doivent rechercher dès maintenant

Les organisations doivent commencer par corriger ou atténuer toutes les instances concernées d’Exchange, de Windows et de Siemens. Les serveurs Exchange exposés à Internet ainsi que les systèmes accessibles via VPN, RDP ou WinRM doivent être traités en priorité.

Les équipes de sécurité doivent ensuite rechercher :

• des authentifications VPN réussies provenant d’adresses Cloudflare WARP ou d’hébergeurs européens inattendues ;
• des accès suspects à la configuration ASP.NET, des manipulations de VIEWSTATE et des charges utiles Exchange exécutées en mémoire ;
• des comptes locaux non autorisés ou des ajouts aux groupes Administrators et Remote Desktop Users ;
• des comportements DCSync, des durées anormales de tickets Kerberos et des accès inhabituels aux contrôleurs de domaine ;
• une activité liée à Microsoft dev tunnels, rdp2tcp, Evil-WinRM et WinRM-fs ;
• de nouveaux services, tâches planifiées, entrées RunOnce ou mécanismes de persistance via crontab ;
• la présence de config.toml à côté d’exécutables inconnus et des connexions impliquant HiveMQ ou Matrix/Element ;
• des perturbations de VSS, des sauvegardes désactivées, des exclusions dans Defender, des altérations d’AMSI ou d’ETW et l’effacement de l’historique des shells ;
• des fichiers .lock aléatoires consommant l’espace libre.

Les plans de réponse aux incidents doivent partir du principe qu’un impact destructeur est possible. Une infection par Monkey peut supprimer définitivement sa clé, tandis que Nemo écrase délibérément les données, faisant de la restauration depuis des sauvegardes hors ligne protégées la seule voie de récupération réellement envisageable.