Cyberespionnage assisté par IA : l'affaire GTG-20006

Ce qui s'est passé

Historiquement, les acteurs de cyberespionnage suivent un schéma : ils développent et déploient des boîtes à outils personnalisées conçues pour échapper à la détection. Ils utilisent ces outils jusqu'à ce que les défenseurs les identifient et créent des signatures pour les détecter et les bloquer, puis commencent un nouveau cycle d'évasion et de détection. Des défenses et une détection solides augmentent donc le coût de l'adversaire. Aujourd'hui, cependant, l'adoption de l'IA peut rapidement et facilement compromettre la capacité des défenseurs à imposer des coûts aux adversaires par la seule détection statique.

GTG-20006 est un acteur qui utilise l'IA pour automatiser ses opérations et gagner en rapidité. Notre attribution est cohérente avec les informations publiques reliant l'acteur à Midnight Blizzard. Un opérateur est un russophone utilisant le pseudonyme « JackPoterz », dont le savoir-faire et le choix des cibles correspondent à l'espionnage lié à l'État russe. Il a opéré contre des cibles de renseignement militaire de gouvernements ukrainien et européens, ainsi que contre des organisations diplomatiques et de défense et des personnes liées à la politique étrangère américaine. Nous avons observé GTG-20006 opérer via des flux de travail personnalisés pilotés par l'IA qui ont automatisé la plupart de ses opérations — du développement, l'acquisition d'infrastructure, le phishing, la persistance de commande et contrôle, jusqu'à l'exfiltration de données.

GTG-20006 a utilisé une boîte à outils personnalisée composée de deux types d'implants Windows, d'une suite d'exploitation mobile, d'un voleur d'identifiants ciblant les coffres-forts de mots de passe des navigateurs, d'une plateforme de phishing conçue pour usurper l'identité de cibles prioritaires telles que des organisations gouvernementales, et d'une console de gestion pour contrôler les comptes compromis. Pendant les opérations cybernétiques, chacun de ces outils a été géré et adapté à la demande via des flux de travail assistés par l'IA.

L'acteur a également utilisé l'IA pour surveiller l'efficacité de ses outils à échapper aux défenses de sécurité connues. Si son agent d'IA de surveillance découvrait qu'un logiciel malveillant déployé était détecté par des produits de sécurité, l'agent commençait à modifier et reconstruire de manière autonome le logiciel malveillant pour échapper à la détection existante. Ces agents ont été conçus pour itérer en continu sur la boîte à outils de GTG-20006 jusqu'à ce qu'elle ne soit plus détectée. À ce stade, les outils étaient déployés sur des serveurs d'hébergement jetables pour des opérations en direct, et lors de multiples opérations cybernétiques — y compris des schémas de phishing, ClickFix et de détournement DNS — le trafic des victimes était dirigé vers ces serveurs pour livrer le logiciel malveillant.

Ce que l'IA a fait

L'acteur a également utilisé l'IA pour piloter ses opérations de phishing. Il a développé des flux de travail pilotés par l'IA pour rechercher et enregistrer des noms de domaine, puis configurer l'infrastructure d'hébergement pour envoyer des e-mails de phishing. Des flux de travail supplémentaires ont été développés pour envoyer des e-mails et surveiller les canaux de commande et contrôle afin de confirmer les intrusions réussies. L'acteur humain était principalement impliqué dans la modification des compétences Claude Code qui pilotaient les flux de travail, en les optimisant si nécessaire.

L'acteur a utilisé l'IA à chaque étape de ses opérations :

Reconnaissance : l'acteur a utilisé l'IA pour identifier les caractéristiques des systèmes de messagerie et d'accès à distance et recueillir des informations à partir de sources publiques pour établir des listes de cibles pour le phishing.

Accès initial : l'acteur a utilisé l'IA pour construire et exploiter les plateformes exécutant ces campagnes d'intrusion. La technique d'accès principale était une forme de phishing par code d'appareil qui détournait le flux de connexion légitime des services de messagerie cloud. L'acteur a utilisé l'IA pour configurer l'infrastructure de phishing et les outils d'exploitation, et a exécuté directement certaines intrusions sous sa direction — y compris l'exécution de commandes sur les systèmes des victimes, la collecte d'identifiants et le mouvement latéral à travers les réseaux.

Collecte et exfiltration : l'acteur a utilisé l'IA pour extraire et organiser des centaines de gigaoctets de données volées. Dans certains cas, l'exfiltration s'est faite par des exportations massives à partir de boîtes aux lettres compromises.

Maintien de l'accès : l'acteur a utilisé l'IA pour aider à maintenir l'accès aux comptes et locataires compromis en enregistrant automatiquement des appareils contrôlés par l'acteur comme appareils compagnons dans le locataire de l'organisation victime.

Dans les environnements sur site, l'acteur a utilisé l'IA pour surveiller la furtivité et la persistance de ses implants. Lorsque les implants étaient signalés par des produits de sécurité, l'acteur utilisait Claude pour identifier, modifier et redéployer systématiquement les composants détectés.

Le résultat est que l'IA transfère les coûts vers les défenseurs. Par le passé, les défenseurs pouvaient peut-être ralentir le rythme d'un attaquant en déployant de nouvelles détections. Aujourd'hui, au moins en théorie, des adversaires capables peuvent « boucler la boucle » et contourner les détections de sécurité traditionnelles plus rapidement que les défenseurs ne peuvent les développer et les déployer.

Ce que le rapport a observé

Notre enquête a identifié plus de 20 organisations distinctes apparaissant dans la planification des opérations, la reconnaissance et les opérations réelles de l'acteur. Celles-ci incluent des départements gouvernementaux, des agences de défense et de renseignement, des ambassades et missions diplomatiques, des think tanks et des entreprises de l'industrie de la défense — concentrées en Ukraine et en Europe, mais s'étendant à des agences gouvernementales liées au maritime au Moyen-Orient et en Asie. Un thème commun parmi les cibles était l'Ukraine et les fournisseurs et chaînes d'approvisionnement de technologie de drones militaires. Les exceptions incluent une entité gouvernementale d'Asie du Sud-Est liée au transport et au suivi maritime, et une autorité technologique gouvernementale d'Afrique du Nord.

Les plus fréquemment ciblés étaient le personnel gouvernemental, militaire et diplomatique ukrainien. L'acteur a scanné les services de messagerie et les systèmes d'accès à distance de plus de deux douzaines d'organisations gouvernementales ukrainiennes.

Une deuxième cible volée à plusieurs reprises était la technologie de la chaîne d'approvisionnement en drones. L'acteur a exporté massivement les boîtes aux lettres d'au moins deux fabricants de composants de drones, a ciblé un fabricant de drones militaires et a volé le kit de développement logiciel propriétaire complet d'un système de vision de drone. Il a passé des jours à effectuer une rétro-ingénierie du système de vision du drone, récupérant son architecture produit, sa nomenclature de matériel, ses dépendances fournisseurs et les détails d'un produit non publié. Le firmware lié au contrôle des drones militaires et à la vision par IA semblait présenter un intérêt particulier.

Toutes les cibles n'étaient pas directes : pour atteindre des cibles indirectement, l'acteur a compromis au moins trois fournisseurs WiFi d'hôtels exploitant le WiFi des chambres d'invités. Il a utilisé des identifiants administrateur compromis pour modifier les enregistrements DNS afin qu'ils pointent vers des services appartenant à l'acteur (une technique connue sous le nom de détournement DNS). Lorsque les clients des hôtels utilisant les fournisseurs compromis se connectaient au WiFi de l'hôtel, leur trafic, leurs identifiants d'appareil et leurs adresses IP étaient envoyés aux serveurs de l'acteur. À ce stade, des appâts de style ClickFix étaient déployés pour livrer des logiciels malveillants Windows, Android et iOS aux appareils des victimes. L'acteur a pu combiner les informations des clients volées aux systèmes de gestion hôtelière avec les données volées aux appareils des clients individuels pour cibler davantage les opérations. Les cibles présentant un intérêt particulier étaient les personnes ayant des liens avec l'Ukraine, y compris des fonctionnaires gouvernementaux et des fabricants de drones. Notez qu'en juillet 2026, Microsoft Threat Intelligence a publié un rapport sur les méthodes de vol et de livraison de logiciels malveillants utilisées ici, qu'elle appelle CaptiveCrunch.

L'acteur a également pris le contrôle des comptes WhatsApp des victimes, en utilisant une plateforme de navigateur sans tête pour lier les comptes des victimes comme appareils compagnons. En partie grâce à l'utilisation de la bibliothèque d'automatisation WhatsApp open source WPPConnect, la configuration de l'acteur a supprimé les accusés de réception afin que les victimes ne remarquent pas que leurs conversations en russe et en ukrainien étaient exportées massivement. Au moins deux anciens hauts fonctionnaires ukrainiens ont été ciblés de cette manière.

L'acteur a également ciblé des plateformes de surveillance. Il a découvert une vulnérabilité d'autorisation dans l'interface de programmation d'applications d'un service de diffusion de caméras, et à partir de là a énuméré les utilisateurs et collecté des jetons pour accéder aux flux de caméras en direct des victimes.

Le même acteur a également compromis une autorité technologique gouvernementale d'Afrique du Nord. Il a volé les identifiants d'un appareil VPN et les a utilisés pour prendre le contrôle du serveur central de comptes de l'organisation. Cela lui a permis d'exfiltrer sa base de données complète d'identifiants : plus de 300 000 enregistrements d'identité nationale, ainsi que des données d'enregistrement commercial de plus de 500 000 entreprises opérant dans le pays.

L'acteur a continué à développer une plateforme d'espionnage de messagerie cloud, exploitée en partie à l'aide de « Embassy Kit » — un cadre que l'acteur utilisait pour gérer le phishing par code d'appareil — pour mener une campagne de vol de jetons Microsoft 365. La plateforme a été utilisée pour cibler du personnel diplomatique et gouvernemental, entraînant l'accès et l'exfiltration des enregistrements de messagerie d'au moins 8 organisations, y compris un organe de poursuite national, un établissement d'enseignement militaire et une organisation intergouvernementale régionale.

Le voleur d'identifiants Windows a été livré via des appâts d'ingénierie sociale thématiques autour de fausses mises à jour, accompagnés de charges utiles compagnons avec des capacités complètes d'accès à distance. Ces charges utiles ont été conçues pour geler les mises à jour de sécurité sur les machines des victimes, ce qui signifie que les nouvelles signatures de détection de logiciels malveillants publiées par les fournisseurs de sécurité ne seraient pas récupérées ni exécutées sur les machines des victimes.

Le logiciel malveillant de l'acteur comprend : logiciel malveillant Windows : PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc ; logiciel malveillant Android : GiftDrop, un cheval de Troie d'accès à distance de surveillance Android rebranding de GiftsExpress ; logiciel malveillant iOS : DarkSword, une chaîne d'exploitation iOS.

Le rapport liste les indicateurs de compromission associés (domaines, IP, noms de fichiers et hachages) à la fin pour que les défenseurs puissent enquêter. Selon les limites de sécurité de ce site, les valeurs spécifiques des indicateurs ne sont pas reproduites.

Confirmé et inconnu

Réponse de la plateforme

Le rapport indique que pour chaque affaire de ce chapitre, y compris celle-ci, Anthropic a interrompu l'activité associée, renforcé les protections IA sur la base des résultats de l'enquête et partagé des renseignements avec les forces de l'ordre et les partenaires du secteur lorsque cela était approprié.

Limites de la réponse：Interrompre l'accès et l'activité associés ne signifie pas que les données volées ont été récupérées ; le rapport ne décrit pas la remédiation post-incident dans les organisations touchées, et l'on ignore si l'acteur a été identifié ou a fait face à des conséquences juridiques.