Espionnage russe et IA Claude : la reconstruction automatique de malwares change la donne

En septembre 2026, une révélation d’Anthropic, l’éditeur du modèle Claude, a démontré que la menace cybernétique venait de franchir un cap décisif. Le groupe de cyberespionnage russe GTG-20006, activement surveillé par les services de renseignement occidentaux, a été démasqué en pleine utilisation de Claude pour automatiser la reconstruction automatique de malwares. Le principe est aussi simple qu’effrayant : dès que l’un de leurs outils est détecté par un antivirus ou un EDR, l’IA le modifie et le recompile à la volée pour échapper à nouveau aux radars. Ce n’est plus une projection. C’est une réalité opérationnelle qui impose une refonte des stratégies de défense pour toute organisation exposée aux menaces étatiques.

GTG-20006 : anatomie d’une campagne de cyberespionnage dopée à l’IA

Un acteur bien connu du renseignement russe

Le groupe GTG-20006 n’est pas un novice. Il est attribué par la quasi-totalité des experts en cybersécurité au service de renseignement extérieur russe, le SVR, et plus particulièrement à l’unité connue sous les noms de Midnight Blizzard, Cozy Bear ou APT29. Leur ciblage prioritaire est sans équivoque : les gouvernements ukrainiens, les institutions militaires, les think tanks et les industries de défense en Europe, aux États-Unis et au Moyen-Orient.

Ce qui distingue cette campagne des précédentes, c’est l’intégration verticale de l’intelligence artificielle générative. Selon le rapport d’Anthropic, le groupe n’a pas simplement utilisé Claude pour générer des lignes de code. Il a développé un workflow complet où des agents IA surveillent le cycle de vie de leurs malwares et les reconstruisent automatiquement lorsqu’ils sont détectés. Plus de 20 organisations distinctes ont été ciblées dans le cadre de cette campagne, dont des ministères, des états-majors, des ambassades et des fabricants de drones en Ukraine. Cette campagne s’inscrit directement dans la continuité des opérations hybrides russes visant à déstabiliser les soutiens à l’Ukraine. Les think tanks ciblés sont souvent ceux qui travaillent sur l’évaluation des sanctions économiques et l’acheminement du matériel militaire.

L’opération CaptiveCrunch : une porte d’entrée inédite via les hôtels

L’une des facettes les plus originales de cette campagne réside dans l’infrastructure d’accès. Le groupe a compromis au moins trois fournisseurs de Wi-Fi hôtelier. En utilisant des identifiants administrateurs volés, ils ont modifié les enregistrements DNS des routeurs. Résultat : tout client se connectant au réseau Wi-Fi de l’hôtel voyait son trafic redirigé vers des serveurs contrôlés par les espions russes. Les victimes, souvent des diplomates ou des cadres militaires en déplacement, se voyaient alors servir des leurres ClickFix les invitant à exécuter une commande pour résoudre un problème technique factice.

Le leurre ClickFix est particulièrement insidieux car il exploite la frustration de l’utilisateur face à un faux problème de navigateur. Une page web affiche une erreur JavaScript bloquante, puis invite l’utilisateur à copier une commande PowerShell. Cette commande télécharge et exécute l’implant, permettant de contourner les sécurités périmétriques. Cette technique permettait de déployer l’implant adapté au terminal de la victime, qu’il s’agisse d’un poste Windows, d’un smartphone Android ou d’un iPhone.

Le cœur du réacteur : la boucle de reconstruction automatique de malwares

Le véritable bond technologique de cette campagne est la mise en place d’un processus automatisé de reconstruction de malwares. Jusqu’à présent, un attaquant devait manuellement réécrire ou obfusquer un programme malveillant pour contourner une nouvelle détection. Avec ce workflow, l’opération est confiée à un agent IA basé sur Claude. Les analystes d’Anthropic ont décrit un système de « boucle de rétroaction » où l’IA générative ne se contente pas de modifier les chaînes de caractères ou les signatures, elle adapte la logique même de l’évasion.

Boucle de reconstruction automatisée observée par Anthropic :
1. Déploiement d'un implant (ex: PowerChrome, WUEngine).
2. Un agent IA dédié surveille les logs des solutions de sécurité.
3. Si une détection est identifiée (signature, hash, comportement), l'agent le signale.
4. Claude reçoit l'ordre de modifier le code source de l'implant pour contourner la détection.
5. L'implant est recompilé et redéployé via l'infrastructure C2.
6. L'agent IA vérifie que le nouveau binaire n'est pas détecté avant de déclarer la boucle victorieuse.

Cette boucle permet au groupe de maintenir une persistance quasi infinie sur les réseaux ciblés, malgré les efforts des équipes de sécurité. Par exemple, si un EDR bloquait une tentative d’écriture dans la clé de registre RUN, l’agent IA modifiait automatiquement la technique de persistance pour utiliser le WMI ou un service planifié. Comme l’a résumé Anthropic dans son rapport :

“The result of the above is that AI has inverted the cost back onto defenders. Previously, defenders might have been able to slow an attacker’s operational tempo via the deployment of a new detection.”

Les outils utilisés dans le cadre de cette boucle sont divers et couvrent toutes les plateformes.

Au-delà du malware : espionnage cloud, WhatsApp et caméras

Le groupe GTG-20006 ne se limite pas à infecter des postes de travail. Sa palette d’outils et de techniques en fait un acteur particulièrement redoutable pour la guerre de l’information.

Le détournement de comptes WhatsApp

Les pirates ont développé une méthode pour prendre le contrôle de comptes WhatsApp à l’aide de navigateurs headless. En liant l’appareil de la victime comme un “appareil compagnon”, ils ont pu exporter en masse les conversations en russe et en ukrainien, tout en supprimant les accusés de réception de lecture. L’objectif est clair : collecter du renseignement directement depuis les messageries privées des cibles diplomatiques et militaires. Le groupe a automatisé ce processus à grande échelle, important les conversations dans leur plateforme d’analyse pour fournir un flux continu de renseignements sur les réseaux ukrainiens.

L’espionnage via les plateformes de streaming vidéo

Une autre technique innovante a été observée : le ciblage des plateformes de caméras. Les attaquants ont identifié des failles d’autorisation dans l’API de services de streaming vidéo. En exploitant ces failles, ils ont pu énumérer les utilisateurs et voler des jetons d’accès, leur permettant de visualiser les flux vidéo en direct des victimes. En combinant l’accès aux flux vidéo et aux messageries, le groupe pouvait construire un profil complet des activités d’une cible : savoir qui rencontre qui, à quelle heure, dans quel bureau, et même intercepter des documents affichés à l’écran.

L’impact global de la campagne GTG-20006

Une fuite massive de données en Afrique du Nord

L’opération ne s’arrête pas aux frontières de l’Europe. Le groupe a infiltré le serveur de comptes central d’une autorité technologique gouvernementale en Afrique du Nord. Il a exfiltré l’intégralité de la base de données d’identités nationales, soit plus de 300 000 enregistrements, ainsi que le registre commercial de plus de 500 000 entreprises opérant dans le pays. Le vol de ces identités pourrait permettre des opérations d’ingérence future ou la création de documents d’identité synthétiques, tandis que le registre commercial offre une mine d’or pour le renseignement économique.

“If their monitoring AI agents identified that any of their deployed malware was detected by a security product, agents would then set about the process of autonomously modifying and rebuilding the malware.” - Anthropic

Le ciblage des messageries diplomatiques via Embassy Kit

Le groupe a développé une plateforme d’espionnage de courriels cloud baptisée Embassy Kit. Ce framework de phishing par code d’appareil (Device Code Phishing) a permis de dérober des jetons Microsoft 365 à des diplomates et des personnels gouvernementaux. En abusant du flux OAuth 2.0 Device Code, les attaquants n’avaient pas besoin que la victime clique sur un lien malveillant classique. Il suffisait qu’elle entre un code sur le portail légitime microsoft.com/devicelogin. Cette campagne a conduit à l’accès non autorisé et à l’exfiltration de courriels provenant d’au moins huit organisations, dont un parquet national, un institut d’enseignement militaire et une organisation intergouvernementale régionale.

Quelles leçons pour les organisations françaises ?

Aucune organisation opérant en France, en Europe ou impliquée dans les relations internationales ne peut se considérer à l’abri de ce type de menace. Ce cas d’école, documenté par Anthropic, Microsoft, Google, ReliaQuest et Lumen Black Lotus Labs, offre des enseignements cruciaux pour les DSI et RSSI.

La fin de la détection par signature seule

La boucle de reconstruction automatique de malwares signe l’arrêt de mort de la détection basée uniquement sur les signatures et les hashs. Un malware peut être modifié toutes les minutes pour échapper aux bases de connaissances. La réponse réside dans la détection comportementale avancée et l’analyse heuristique. Les SOC doivent investir dans des outils capables de détecter des patterns d’accès anormaux ou des séquences d’actions inhabituelles plutôt que de simples artefacts connus. Le contexte utilisateur et les flux réseau deviennent les piliers de la détection.

Renforcer l’hygiène des identités et des accès

Le vecteur d’attaque principal est souvent un identifiant volé. La compromission des fournisseurs de Wi-Fi hôtelier, l’abus des accès VPN, et le vol de jetons M365 montrent l’importance cruciale du Zero Trust.

Mesures prioritaires pour les organisations françaises :

• Segmentez impérativement vos réseaux, y compris les réseaux Wi-Fi visiteurs.
• Activez l’authentification multi-facteurs robuste (FIDO2/Passkeys) pour tous les accès.
• Surveillez les événements d’échange de jetons M365 et les connexions depuis des navigateurs headless.
• Formez vos collaborateurs aux techniques ClickFix, particulièrement ceux en déplacement à l’étranger.
• Déployez une solution EDR/NDR à haute capacité d’analyse comportementale.
• Collaborez avec l’ANSSI et les CERTs pour le partage d’indicateurs de compromission (IoC).
• Mettez en place un plan de réponse aux incidents intégrant le scénario d’une reconstruction autonome de malwares.

Conclusion : l’inversion du coût de la défense impose une réaction collective

L’utilisation de Claude par le groupe GTG-20006 pour automatiser la reconstruction automatique de malwares marque un véritable tournant dans la conflictualité numérique. Pendant des années, les défenseurs avaient l’avantage : ils pouvaient déployer une signature qui ralentissait l’attaquant pendant des heures ou des jours. Aujourd’hui, l’IA générative permet à un acteur étatique de niveler ce désavantage en quelques secondes. Le coût de l’adaptation a été transféré aux défenseurs.

Cette campagne est un signal d’alarme pour l’ensemble de l’écosystème cyber français. Les méthodes d’attaque évoluent à une vitesse fulgurante. Les structures qui ne parviendront pas à intégrer l’IA dans leur défense, à adopter une posture Zero Trust robuste et à sensibiliser leurs équipes risquent de se retrouver dépassées. L’ANSSI elle-même a qualifié cette menace de rupture stratégique. La question n’est plus de savoir si ces techniques arriveront en France, mais quand et qui sera la prochaine cible. Face à un adversaire capable de muter son logiciel malveillant en temps réel, la défense ne peut plus être statique : elle doit devenir adaptative, anticipative et collective.