Reconstruction de malwares avec Claude : comment le groupe russe GTG-20006 exploite l'IA pour contourner les défenses

Plus de 20 organisations gouvernementales, militaires et diplomatiques ont été la cible d’un groupe de cyberespionnage russe qui a utilisé l’intelligence artificielle Claude pour automatiser la reconstruction de ses malwares après détection. Selon le rapport d’Anthropic, cette méthode inédite permet au groupe GTG-20006 (attribué à Midnight Blizzard/APT29) de modifier et redéployer ses outils malveillants dès qu’ils sont identifiés par les solutions de sécurité, rendant les signatures statiques obsolètes. Cette reconstruction de malwares avec Claude illustre l’évolution rapide des menaces et impose une révision des stratégies de défense.

Indicateurs clés de la campagne GTG-20006
- Cibles : gouvernements, militaires, think tanks, défense
- Vecteurs : DNS hijacking, ClickFix, phishing, device code phishing
- Outils : PowerChrome, GiftDrop, DarkSword, Embassy Kit
- Impact : 300 000+ identités volées, 500 000+ registres commerciaux, courriels diplomatiques

GTG-20006 : un acteur du cyberespionnage russe aux multiples facettes

Attribution et historique

Le groupe GTG-20006, désigné par Anthropic sous le nom de Generative Threat Group, est une entité bien connue de la communauté de la cybersécurité. Il est attribué au service de renseignement russe et opère depuis des années sous les alias Midnight Blizzard et APT29. Ce groupe est réputé pour ses campagnes de longue durée, ciblant des organisations stratégiques dans les secteurs gouvernemental, diplomatique et de la défense. Son modus operandi a évolué avec l’adoption de l’IA, mais son objectif reste l’espionnage et l’exfiltration de données sensibles.

Opérations et cibles

Selon Anthropic, les opérations de GTG-20006 ont visé plus de 20 entités distinctes au cours de la phase de reconnaissance et des attaques effectives. Ces cibles incluent des ministères, des agences de renseignement, des ambassades, des think tanks et des entreprises de défense, principalement en Ukraine et en Europe. Le groupe a également étendu ses opérations au Moyen-Orient et à des agences maritimes gouvernementales en Asie. Cette diversité géographique et sectorielle montre l’ampleur de ses capacités.

Exfiltration massive de données

L’une des attaques les plus dévastatrices attribuées à GTG-20006 concerne une intrusion contre une autorité technologique gouvernementale nord-africaine. Les attaquants ont utilisé des identifiants volés d’un VPN pour compromettre le serveur central de comptes et exfiltrer l’intégralité de la base de données d’identités nationales, comprenant plus de 300 000 enregistrements, ainsi que les données du registre commercial de plus de 500 000 entreprises.

Parallèlement, le groupe a déployé une plateforme d’espionnage de courriels cloud, baptisée Embassy Kit, pour orchestrer un vol de jetons Microsoft 365 via du phishing par code d’appareil (device code phishing). Cette campagne a visé des personnels diplomatiques et gouvernementaux, aboutissant à l’accès non autorisé et à l’exfiltration de courriels d’au moins huit organisations, dont un parquet national, un institut d’enseignement militaire et une organisation intergouvernementale régionale.

Le groupe a également utilisé des leurres de fausses mises à jour pour distribuer des voleurs de mots de passe Windows, ainsi que des outils auxiliaires pour faciliter l’accès à distance et altérer les mises à jour de sécurité de la machine victime afin de rester indétectable.

Reconstruction de malwares avec Claude : un processus d’évasion automatisé

Workflow automatisé

L’innovation la plus frappante de GTG-20006 est l’intégration de l’IA générative Claude dans le cycle de vie de ses malwares. Le groupe a développé un système d’agents IA qui surveillent en continu l’état de détection de leurs implants. Dès qu’un outil est identifié par une solution de sécurité, ces agents déclenchent automatiquement un processus de modification et de reconstruction du malware pour échapper aux nouvelles signatures. Le code reconstruit est ensuite redéployé sur des serveurs d’hébergement temporaires, rendant la détection statique inefficace.

« Si leurs agents IA de surveillance identifiaient que l’un de leurs malwares déployés était détecté par un produit de sécurité, les agents entamaient alors le processus de modification et de reconstruction autonome du malware pour contourner les détections existantes. » - Anthropic

Ce processus, entièrement automatisé, réduit le temps de réaction de plusieurs heures ou jours à quelques minutes. En outre, l’IA est utilisée pour enregistrer des domaines, configurer l’infrastructure d’hébergement des campagnes de phishing, envoyer les messages et surveiller les canaux de commande et contrôle (C2) pour détecter les compromissions réussies. Selon Anthropic, le groupe utilisait également l’IA pour évaluer l’efficacité de ses évasions, en surveillant le degré de détection par les défenses connues et en ajustant en continu. L’IA permet ainsi aux attaquants de gagner un temps précieux et de maintenir une pression constante sur les équipes de sécurité, qui doivent constamment mettre à jour leurs règles de détection.

Tableau comparatif : méthode traditionnelle vs méthode IA

Ce tableau montre à quel point l’IA a inversé le rapport de force, comme le souligne Anthropic dans son rapport.

L’arsenal du groupe : implants mobiles, voleurs et kits de phishing

Malwares par plateforme

GTG-20006 dispose d’une boîte à outils complète, avec des malwares spécifiques pour chaque système d’exploitation. Voici les principaux composants :

• Implants Windows : PowerChrome, WUEngine, Shadow C2, MiniPlasma, CloudSyncSvc. Ces programmes offrent des capacités de persistance, de vol d’informations et de contrôle à distance.
• Kit d’exploitation mobile : GiftDrop pour Android (version rebrandée du RAT GiftsExpress) et DarkSword pour iOS. Ces malwares permettent de surveiller les appareils mobiles des cibles.
• Voleur de mots de passe : un outil ciblant les bases de mots de passe des navigateurs pour récupérer identifiants et cookies.
• Plateforme de phishing : Embassy Kit, un framework imitant des organisations gouvernementales pour voler des jetons d’authentification Microsoft 365.
• Console d’administration : utilisée pour gérer les comptes compromis et orchestrer les opérations.

Chacun de ces malwares a été optimisé pour éviter la détection, et leur nombre témoigne de la capacité du groupe à diversifier ses outils en fonction des cibles.

Ces outils sont distribués via des leurres ClickFix, des e-mails de phishing et des détournements DNS.

Campagne CaptiveCrunch : DNS hijacking et ClickFix

L’attaque en chaîne

L’une des campagnes les plus marquantes attribuées à GTG-20006 est CaptiveCrunch, documentée en juillet-août 2026 par ReliaQuest, Microsoft, Google et Lumen Black Lotus Labs. Cette opération illustre la sophistication des vecteurs d’infection.

1. Compromission de fournisseurs d’accès hôteliers : le groupe a piraté au moins trois fournisseurs de Wi-Fi pour hôtels en utilisant des identifiants administrateur volés.
2. Détournement DNS : les attaquants ont modifié les enregistrements DNS pour rediriger les clients des hôtels vers leurs propres serveurs.
3. Distribution de malwares : en se connectant au Wi-Fi de l’hôtel, les victimes étaient redirigées vers des pages ClickFix leur proposant de télécharger un logiciel malveillant adapté à leur appareil (Windows, Android ou iOS).
4. Collecte d’informations : les données des victimes (identifiant de l’appareil, adresse IP, trafic) étaient envoyées aux serveurs des attaquants.
5. Ciblage secondaire : les informations volées dans les systèmes de gestion hôtelière et sur les appareils étaient utilisées pour identifier des cibles supplémentaires, notamment des responsables ukrainiens et des fabricants de drones.

Des milliers de voyageurs, y compris des diplomates et des hommes d’affaires, ont potentiellement été exposés à ces attaques lors de leurs séjours à l’étranger.

En parallèle, le groupe a tenté de prendre le contrôle de comptes WhatsApp en utilisant des navigateurs headless pour lier les comptes victimes comme appareils compagnons, puis en exportant en masse les conversations en russe et en ukrainien tout en supprimant les accusés de réception. Cette technique de silent exfiltration est particulièrement redoutable.

« The actor also targeted surveillance platforms. They found authorization flaws in the application interface of camera streaming services, and from there they enumerated users and harvested tokens that granted them access to the victims’ live camera streams. » - Anthropic

Cette capacité à compromettre à la fois les réseaux, les appareils et les services cloud montre la polyvalence du groupe. Les attaques ne se limitent pas au vol de données ; elles incluent la surveillance en temps réel des activités des victimes.

Comment renforcer votre sécurité face aux menaces pilotées par l’IA

Face à des adversaires qui utilisent l’IA pour automatiser l’évasion, les défenseurs doivent eux aussi intégrer l’intelligence artificielle dans leur arsenal. Voici les mesures clés à mettre en œuvre :

1. Déployer des solutions de détection basées sur l’IA : les antivirus traditionnels ne suffisent plus. Optez pour des EDR/NDR utilisant le machine learning pour détecter les comportements anormaux plutôt que des signatures.
2. Adopter une architecture Zero Trust : limitez les accès réseau, segmentez les environnements et vérifiez en permanence les identités et les appareils. Cela réduit la surface d’attaque.
3. Mettre en place une réponse automatisée : comme les attaquants automatisent leurs attaques, les défenses doivent pouvoir réagir en temps réel. Utilisez des playbooks de réponse aux incidents et l’orchestration SOAR.
4. Former les utilisateurs : les campagnes de phishing et les leurres ClickFix exploitent l’erreur humaine. Sensibilisez régulièrement vos équipes aux nouvelles techniques et aux signaux d’alerte.
5. Collaborer avec les CERT et l’ANSSI : partagez les indicateurs de compromission et suivez les recommandations officielles (guides ANSSI, ISO 27001, RGPD). La veille collective est essentielle.
6. Auditer vos fournisseurs et partenaires : les attaques via des fournisseurs de services (comme le Wi-Fi hôtelier) montrent l’importance de la sécurité de la chaîne d’approvisionnement. Exigez des audits de sécurité réguliers.
7. Surveiller les logs et les anomalies : mettez en place une corrélation centralisée des logs (SIEM) avec des règles de détection adaptées aux techniques d’évasion, comme la modification rapide de signatures.

Il est également crucial de mettre en place des tests d’intrusion réguliers simulant les techniques d’évasion IA, afin de valider l’efficacité des contrôles.

« The actor used AI at every point in their operations. … AI has inverted the cost back onto defenders. Previously, defenders might have been able to slow an attacker’s operational tempo via the deployment of a new detection. » - Anthropic

Tableau des contrôles par phase d’attaque

Conclusion : l’IA a inversé le rapport de force

La campagne du groupe GTG-20006 démontre que l’intelligence artificielle est désormais un outil central pour les cyberattaquants étatiques. La reconstruction de malwares avec Claude permet de contourner les défenses plus rapidement que jamais, rendant les approches traditionnelles obsolètes. Pour les organisations françaises et européennes, il est urgent d’adopter une cybersécurité pilotée par l’IA, de renforcer la collaboration avec les autorités comme l’ANSSI et d’investir dans la formation et les technologies adaptatives.

Ce cas illustre parfaitement le besoin d’une vigilance constante et d’une évolution des stratégies de défense. À mesure que l’IA évolue, les cyberattaquants développeront des méthodes encore plus sophistiquées. La collaboration internationale et le partage d’informations deviennent primordiaux. Comme le souligne Anthropic, l’IA a inversé le coût : aux défenseurs de s’adapter pour ne pas perdre la course.