Trois nouveaux logiciels malveillants russes de COLDRIVER et leur dangereuse évolution

Le groupe de cyberespionnage russe COLDRIVER , également connu dans les rapports de sécurité sous les noms de Star Blizzard, ColdRiver, Callisto ou UNC4057, a franchi une étape importante dans ses méthodes d'attaque après que l'un de ses principaux outils, LOSTKEYS, a été entièrement exposé par les chercheurs de Google . Loin de se laisser décourager, le groupe a réagi en quelques jours avec une nouvelle génération de logiciels malveillants conçue pour maintenir ses opérations d'espionnage à plein régime.

Ce changement de stratégie souligne l'adaptabilité et la rapidité de développement de COLDRIVER . Ses cibles privilégiées restent les journalistes, les organisations de défense des droits humains, les ONG, les gouvernements, les conseillers politiques et autres personnalités en Europe et aux États-Unis, mais l'objectif n'est plus seulement le vol d'identifiants, mais la prise de contrôle directe des systèmes compromis via une chaîne d'infection complexe basée sur de faux CAPTCHA et l'exécution de commandes PowerShell.

Trois nouveaux logiciels malveillants russes de COLDRIVER : NOROBOT, YESROBOT et MAYBEROBOT

Suite à la publication de l'analyse technique de LOSTKEYS par le Google Threat Intelligence Group (GTIG) , les opérateurs de COLDRIVER ont déployé en seulement cinq jours trois nouvelles familles de logiciels malveillants : NOROBOT, YESROBOT et MAYBEROBOT. Ces composants ne fonctionnent pas de manière isolée, mais forment une chaîne de distribution interconnectée qui remplace intégralement LOSTKEYS au sein de l'arsenal du groupe.

Les analystes de Google décrivent cette famille de « ROBOT » comme un ensemble d'implants apparentés qui coopèrent à différentes phases de l'infection . NOROBOT agit comme composant initial, installé sur le système via un fichier DLL exécuté avec rundll32.exe ; YESROBOT apparaît comme une porte dérobée Python minimale utilisée brièvement comme solution temporaire ; et MAYBEROBOT s'établit comme l'implant PowerShell principal, plus stable, furtif et flexible, conçu pour des opérations d'espionnage prolongées.

COLDRIVER a abandonné le phishing d'identifiants au profit de logiciels malveillants personnalisés lui permettant d'extraire des documents, des fichiers système et d'autres informations sensibles directement depuis les appareils des victimes. Ce changement accroît l'impact potentiel de chaque intrusion et complexifie la détection, car la simple surveillance des connexions suspectes ne suffit plus ; il est désormais impératif de surveiller de près toute activité PowerShell anormale, l'utilisation de rundll32 et le trafic HTTPS chiffré vers des serveurs de commande et de contrôle (C2) obscurs.

Ces nouveaux outils sont conçus pour être déployés de manière sélective contre des cibles d'intérêt particulier, souvent préalablement identifiées par des campagnes d'hameçonnage ou d'autres formes de reconnaissance. L'objectif est clair : maintenir un accès prolongé à leurs appareils, recueillir des renseignements stratégiques et contourner les systèmes de sécurité qui ont déjà appris à détecter les variantes précédentes comme LOSTKEYS.

Chaîne d'infection basée sur des leurres ClickFix et de faux CAPTCHA

L'un des changements les plus marquants dans les opérations de COLDRIVER est l'abandon progressif des courriels d'hameçonnage classiques contenant des liens ou des pièces jointes malveillants, au profit d'une technique d'ingénierie sociale appelée ClickFix. Cette technique repose sur des pages HTML conçues pour simuler des problèmes techniques ou des contrôles de sécurité très familiers à l'utilisateur, comme le classique message « Je ne suis pas un robot ».

Dans ces campagnes, la victime arrive sur une page affichant un faux CAPTCHA « Je ne suis pas un robot » ou une fenêtre contextuelle semblant être une vérification de routine. Au lieu de résoudre une simple énigme visuelle, l'utilisateur est invité à copier-coller une commande dans la boîte de dialogue « Exécuter » de Windows ou dans une console PowerShell, croyant corriger une erreur de vérification. Cette commande constitue en réalité le point d'entrée de l'attaque.

Google a baptisé le leurre HTML initial COLDCOPY . Ce fichier HTML ClickFix est chargé de déposer sur le système une DLL appelée NOROBOT, composant responsable de l'étape suivante de l'infection. Concrètement, la victime n'a qu'à suivre les instructions apparemment anodines du faux CAPTCHA pour que NOROBOT soit installé et opérationnel.

Dans les phases précédentes, LOSTKEYS utilisait déjà une approche similaire avec de faux captchas , incitant l'utilisateur à exécuter des scripts PowerShell qui déclenchaient une chaîne complexe en trois étapes. Dans cette version antérieure, la résolution de l'écran était même vérifiée à l'aide d'algorithmes de chiffrement et de hachage afin d'empêcher l'exécution sur des machines virtuelles d'analyse , et des chiffrements par substitution ainsi que VBScript étaient utilisés pour masquer la charge utile finale.

Avec la famille ROBOT, la philosophie reste la même, mais le mécanisme de diffusion est perfectionné et chaque étape de l'infection est mieux modularisée . COLDRIVER tire parti de la familiarité des utilisateurs avec les CAPTCHA et les messages de vérification pour renforcer la confiance, tout en réduisant le besoin d'envoyer des pièces jointes suspectes ou des liens trop évidents. Il en résulte des campagnes plus difficiles à détecter, tant pour les utilisateurs que pour certaines solutions de sécurité.

NOROBOT : passerelle et maillon essentiel de la chaîne

NOROBOT est le composant qui initie l'infection sur les systèmes compromis . Il est distribué sous forme de DLL exécutée par rundll32.exe, un binaire Windows légitime que les attaquants exploitent pour dissimuler leurs activités. Sa fonction principale est de télécharger et d'installer le malware suivant dans la chaîne, qui peut être YESROBOT ou, dans les versions plus récentes, MAYBEROBOT.

Au début de la campagne, NOROBOT intégrait une étape visible et facilement détectable : le téléchargement et l’installation d’une version complète de Python 3.8 sur l’ordinateur de la victime, nécessaire au fonctionnement de YESROBOT. Cette action générait des fichiers supplémentaires, des modifications système visibles et un trafic réseau susceptible d’éveiller les soupçons des analystes ou des outils de sécurité.

Au fil du temps , les opérateurs de COLDRIVER ont perfectionné NOROBOT pour le rendre plus silencieux et plus efficace . Les chercheurs de Google notent que la chaîne d'infection associée à cette DLL a subi des phases de simplification, visant à augmenter la probabilité de réussite de son exécution, avant de réintroduire de la complexité à des points précis, comme l'utilisation de clés cryptographiques fractionnées et d'autres mécanismes d'obfuscation qui entravent l'analyse statique et dynamique.

Le développement continu de NOROBOT démontre que COLDRIVER ne se contente pas de publier une version et de l'oublier, mais examine, teste et met à jour constamment son code afin de contourner les nouvelles signatures de détection, les règles SIEM et les analyses heuristiques. Ce perfectionnement continu correspond au modèle observé par GTIG : une augmentation du « rythme des opérations », où les itérations du logiciel malveillant se succèdent rapidement après chaque fuite ou rapport public.

Du point de vue de la défense, la surveillance des exécutions suspectes de rundll32.exe chargeant des DLL inhabituelles et des connexions sortantes vers des domaines ou adresses IP inconnus est essentielle pour détecter l'activité de NOROBOT. Son rôle de premier maillon de la chaîne en fait une cible prioritaire pour une détection précoce.

YESROBOT : solution minimale et temporaire avec porte dérobée

YESROBOT représente la première réponse rapide de COLDRIVER suite à la divulgation de la faille LOSTKEYS. Il s'agit d'une porte dérobée très rudimentaire écrite en Python. Les journaux de Google indiquent que cette porte dérobée n'a été déployée que dans quelques cas précis, sur une période d'environ deux semaines fin mai, juste après la publication des détails techniques de LOSTKEYS.

Sur le plan fonctionnel, YESROBOT utilise des connexions HTTPS à un serveur de commande et de contrôle (C2) intégré pour recevoir des instructions. Bien que son code soit relativement simple, il permet le téléchargement et l'exécution de fichiers supplémentaires sur le système infecté, ainsi que la localisation et l'exfiltration de documents jugés importants par les attaquants. C'est un outil suffisant pour établir un accès distant initial, mais il ne possède pas les fonctionnalités avancées de son successeur.

Le faible nombre d'infections observées avec YESROBOT corrobore la théorie des analystes : il s'agissait probablement d'une solution temporaire, le temps que l'équipe finalise le développement de l'implant qu'elle souhaitait utiliser à long terme, MAYBEROBOT. De fait, la structure initiale de NOROBOT, qui consistait à télécharger l'intégralité du package Python, suggère une certaine improvisation pour pallier l'absence de LOSTKEYS.

Avec l'apparition de MAYBEROBOT et la suppression de l'obligation d'installer Python, YESROBOT a été quasiment abandonné au profit de COLDRIVER. Son existence confirme néanmoins que le groupe est prêt à sacrifier l'élégance et la discrétion au profit de la rapidité, sous la pression de la divulgation publique de ses outils précédents.

Pour les équipes de sécurité, toute trace d'exécution anormale de Python sur des machines où il ne devrait pas être utilisé doit susciter l'inquiétude, surtout si elle est combinée à une activité provenant de rundll32 et à un trafic chiffré vers des serveurs C2 inconnus, car cela pourrait indiquer une tentative d'utilisation de YESROBOT ou d'autres outils personnalisés basés sur ce langage.

MAYBEROBOT : Implantation dans un PowerShell plus mature et flexible

MAYBEROBOT représente l'évolution naturelle de l'arsenal de COLDRIVER et constitue le composant qui, selon les chercheurs, a efficacement remplacé YESROBOT lors des récentes campagnes. Contrairement à son prédécesseur en Python, cet implant est écrit en PowerShell, ce qui permet une meilleure intégration à l'environnement Windows et réduit le besoin de composants externes visibles.

Ce programme d'implantation est conçu pour être extensible et adaptable aux besoins de chaque opération . Il permet notamment de télécharger et d'exécuter des charges utiles depuis une URL contrôlée par les attaquants, d'exécuter des commandes arbitraires via cmd.exe et d'exécuter directement du code PowerShell supplémentaire. Les opérateurs peuvent ainsi étendre les fonctionnalités du logiciel malveillant en temps quasi réel sans avoir à le repenser entièrement.

Puisqu'il repose sur PowerShell, MAYBEROBOT exploite une faille de sécurité très répandue dans l'écosystème Windows, où l'utilisation de scripts et d'automatisation est fréquente aussi bien chez les administrateurs légitimes que chez les attaquants. Cette dualité rend le filtrage strict difficile, car bloquer complètement PowerShell n'est pas toujours envisageable dans les environnements d'entreprise complexes.

Les analyses publiées suggèrent que MAYBEROBOT est réservé aux cibles stratégiques , probablement identifiées au préalable par des campagnes d'hameçonnage ou des opérations de renseignement. L'objectif n'est pas une attaque massive, mais plutôt une intrusion chirurgicale permettant un accès persistant à des systèmes spécifiques afin de dérober des données, des documents sensibles et d'autres renseignements précieux sur une période prolongée.

Face à ce type de menace, il est essentiel de mettre en place des politiques d'utilisation strictes de PowerShell (par exemple, en le limitant aux versions avec journalisation des scripts, en désactivant l'exécution non signée, en activant la journalisation avancée et en corrélant son activité avec l'EDR/SIEM) et en examinant de manière proactive les commandes, les scripts et les connexions réseau suspects liés à son exécution.

Du vol d'identifiants au contrôle direct des appareils

Avant l'apparition de LOSTKEYS et de la famille ROBOT , COLDRIVER était principalement connu pour ses campagnes de phishing très ciblées contre les diplomates occidentaux, les dissidents, le personnel du renseignement et les employés d'ONG, dans le but d'obtenir leurs identifiants de connexion aux services cloud et aux comptes de messagerie.

La publication des rapports de Google a marqué un tournant : LOSTKEYS a démontré que le groupe s’attaquait désormais directement aux appareils . Ce logiciel malveillant se déployait via des chaînes d’infection personnalisées, chacune possédant ses propres identifiants et clés de chiffrement, et était capable de voler des fichiers système, des documents et d’autres données locales, en plus de capturer en continu les identifiants de connexion.

Avec NOROBOT, YESROBOT et MAYBEROBOT, cette tendance se renforce et se sophistique . Au lieu de se contenter de capturer des mots de passe, COLDRIVER cherche à installer des implants persistants lui permettant d'opérer au sein des réseaux de ses cibles, de se déplacer latéralement, d'exfiltrer d'importants volumes d'informations et d'adapter ses tactiques en fonction des défenses rencontrées.

Les experts du secteur rappellent que le vol d'identifiants demeure un risque constant , car même les mots de passe les plus robustes peuvent être compromis par ce type de logiciel malveillant, notamment si les utilisateurs n'ont pas recours à l'authentification multifacteurs ou si les organisations ne surveillent pas en permanence les identifiants compromis. Cependant, l'attention se porte de plus en plus sur la nécessité de protéger également les terminaux contre ces chaînes de mots de passe sophistiquées. Se renseigner davantage sur les cas de vol de mots de passe permet de mieux appréhender les risques.

Google a réagi en ajoutant les domaines et fichiers associés à LOSTKEYS et aux nouvelles campagnes à son système de navigation sécurisée, et en envoyant des alertes directes aux utilisateurs de Gmail et Workspace potentiellement concernés. Toutefois, aucune solution automatisée ne saurait remplacer les bonnes pratiques de sécurité et la surveillance active des activités suspectes sur les ordinateurs.

Comment les CAPTCHA « Je ne suis pas un robot » sont exploités pour diffuser des logiciels malveillants

L’utilisation malveillante des CAPTCHA est l’un des aspects les plus dangereux de ces campagnes . Les utilisateurs sont habitués à voir des vérifications du type « Je ne suis pas un robot » sur de nombreux services légitimes et ont donc tendance à leur faire confiance presque machinalement, surtout lorsqu’elles semblent faire partie intégrante de leur navigation.

Les auteurs de COLDRIVER créent des pages web d'apparence inoffensive, avec des formulaires ou un contenu imitant des sites web de confiance , puis y ajoutent un faux CAPTCHA ou une fenêtre contextuelle signalant un problème technique. Au lieu de simplement cocher une case, le message peut inviter l'utilisateur à copier une commande dans la boîte de dialogue « Exécuter » de Windows, à installer une fausse mise à jour ou à télécharger un fichier pour achever la vérification.

En effectuant ces actions, l'utilisateur exécute à son insu des scripts qui modifient le registre système , planifient des tâches pour assurer leur persistance et introduisent de nouveaux logiciels malveillants, tels que YESROBOT ou MAYBEROBOT, sur l'ordinateur. La plupart des antivirus classiques peuvent avoir du mal à détecter ces menaces en temps réel, notamment s'ils utilisent le chiffrement, l'obfuscation et des outils légitimes du système d'exploitation.

Les experts soulignent que cette technique n'est pas entièrement nouvelle, mais qu'elle a été perfectionnée au fil du temps . Du CAPTCHA classique, qui consistait à résoudre des problèmes mathématiques ou à sélectionner des images, elle a évolué vers des systèmes de vérification et des parcours bien plus crédibles. Les pirates informatiques reproduisent fidèlement l'apparence des systèmes authentiques, ce qui rend la distinction entre une vérification légitime et une fraude de plus en plus difficile.

Tout cela s'inscrit dans une tendance plus large où les campagnes traditionnelles, comme le phishing par e-mail , continuent de s'améliorer grâce aux outils d'automatisation et, de plus en plus, grâce à l'intelligence artificielle . Ceci permet la création de messages plus convaincants, de fausses pages mieux conçues et de séquences d'attaque plus élaborées, augmentant ainsi la probabilité que l'utilisateur tombe dans le piège.

Impact global et cas connexes en dehors du cadre purement technique

Les activités de COLDRIVER ne se limitent pas au domaine purement numérique . Parallèlement aux révélations concernant NOROBOT, YESROBOT et MAYBEROBOT, les autorités néerlandaises ont mis au jour un cas illustrant comment ces opérations peuvent s'appuyer sur des collaborateurs sur le terrain.

Le parquet néerlandais (OPPRO) a annoncé qu'une enquête était en cours contre trois jeunes de 17 ans soupçonnés d'avoir fourni des services à un gouvernement étranger . L'un d'eux, en contact présumé avec un groupe de pirates informatiques lié au gouvernement russe, aurait demandé aux deux autres de cartographier les réseaux Wi-Fi dans différents quartiers de La Haye. Ces informations auraient été fournies en échange d'une rémunération.

Selon l'OM, ​​cette cartographie du réseau pourrait servir à des opérations d'espionnage numérique et à des cyberattaques , établissant ainsi un lien entre l'activité physique (collecte de données sur les infrastructures sans fil) et des campagnes de logiciels malveillants sophistiquées attribuées à des acteurs étatiques. Deux des suspects ont été arrêtés en septembre 2025, tandis que le troisième, dont le rôle est considéré comme plus limité, demeure assigné à résidence.

Les autorités néerlandaises ont ajouté qu'à ce stade, rien n'indique que le suspect ait subi des pressions lors de ses contacts directs avec le groupe de pirates informatiques , ce qui laisse penser que sa collaboration était volontaire, probablement motivée par un gain financier. Cette affaire s'inscrit dans la tendance à externaliser certaines missions de reconnaissance auprès de tiers, réduisant ainsi l'exposition directe des principaux responsables.

Ce scénario confirme que le cyberespionnage d'État combine des techniques avancées, l'ingénierie sociale et un soutien logistique physique , créant une menace très difficile à contrer par les seuls moyens techniques. La coopération internationale et l'application de la loi jouent un rôle aussi crucial que l'amélioration continue de la cybersécurité défensive.

Mesures de protection recommandées pour les utilisateurs et les organisations

Bien que les campagnes COLDRIVER ciblent principalement les clients à forte valeur ajoutée , de nombreux vecteurs utilisés (pages avec de faux CAPTCHA, fichiers HTML malveillants, abus de PowerShell) peuvent également affecter les particuliers et les petites entreprises. Par conséquent, la mise en œuvre d'une combinaison de bonnes pratiques et de contrôles techniques est essentielle.

Du point de vue de l'hygiène numérique, le bon sens reste la première ligne de défense . Si un site web, un message contextuel ou un prétendu CAPTCHA vous demande de copier-coller une commande, d'installer un plugin étrange, de télécharger un fichier ou de vous connecter à un site inconnu, la meilleure chose à faire est de se méfier et de fermer la page. En temps normal, les CAPTCHA légitimes n'exigent pas ce genre d'actions intrusives.

En entreprise, les spécialistes recommandent de surveiller de près l'exécution de rundll32.exe et de PowerShell , de bloquer les activités suspectes et de configurer des alertes pour les exécutions atypiques. Il est également conseillé de filtrer ou de bloquer, si possible, les pièces jointes HTML des courriels et les pages contenant de faux CAPTCHA, ainsi que de mettre à jour régulièrement les indicateurs de compromission (IOC) liés à NOROBOT, YESROBOT et MAYBEROBOT, et d'activer SmartScreen sous Windows.

Une autre couche importante est la protection du réseau : renforcer l’inspection du trafic HTTPS vers les serveurs C2 inconnus , appliquer des listes de blocage dynamiques, utiliser un DNS filtré et s’appuyer sur des outils de sandbox pour analyser le comportement des fichiers et scripts suspects avant d’autoriser leur exécution dans les environnements de production.

De plus, à la maison comme au bureau, il est essentiel de disposer d'un bon antivirus ou d'une suite de sécurité ( les meilleurs antivirus en temps réel ), régulièrement mis à jour et complété par les mises à jour automatiques du système d'exploitation et des applications. Sous Windows, des solutions comme Microsoft Defender, Avast, Bitdefender et d'autres alternatives réputées constituent une base solide, bien que non infaillible. Les mises à jour régulières permettent d'atténuer les vulnérabilités que les attaquants pourraient exploiter pour obtenir des privilèges ou contourner les mesures de sécurité.

Si vous soupçonnez avoir saisi votre mot de passe sur un site Web suspect ou exécuté une commande malveillante, agissez rapidement : modifiez immédiatement les identifiants concernés , vérifiez les signes de connexions inhabituelles, activez l’authentification multifacteurs lorsque cela est possible et envisagez d’effectuer une analyse complète du système avec des outils anti-malware spécialisés et de vérifier l’intégrité des fichiers.

L’histoire récente de LOSTKEYS et des trois nouveaux logiciels malveillants russes de COLDRIVER démontre que les groupes de cyberespionnage soutenus par des États évoluent constamment : lorsqu’un outil est rendu public et est « démasqué », ils réagissent en quelques jours avec de nouvelles variantes plus modulaires et mieux adaptées aux défenses actuelles, s’appuyant de plus en plus sur la tromperie grâce à de faux CAPTCHA et à l’utilisation astucieuse de composants système légitimes pour passer inaperçus.

Article connexe:

Des algorithmes de chiffrement et de hachage plus sûrs : un guide complet

Isaac

Écrivain passionné par le monde des octets et de la technologie en général. J'aime partager mes connaissances à travers l'écriture, et c'est ce que je vais faire dans ce blog, vous montrer toutes les choses les plus intéressantes sur les gadgets, les logiciels, le matériel, les tendances technologiques et plus encore. Mon objectif est de vous aider à naviguer dans le monde numérique de manière simple et divertissante.