Comment les hackers russes utilisent l'IA Claude pour reconstruire leurs malwares après détection

Saviez-vous que des cyberespions russes exploitent désormais l’IA Claude d’Anthropic pour réécrire automatiquement leurs malwares sitôt qu’ils sont détectés ? Cette technique, dévoilée en septembre 2026 par Anthropic, concerne le groupe GTG-20006, alias Midnight Blizzard (APT29). En abusant du modèle Claude, ces pirates ont automatisé la reconstruction de leur arsenal afin de contourner les défenses. Ce faisant, ils renversent le rapport de force : là où les défenseurs pouvaient ralentir une attaque en déployant une nouvelle détection, l’IA permet désormais aux attaquants de s’adapter instantanément. Cette affaire révèle une nouvelle ère dans la cyberguerre, où les frontières entre l’homme et la machine s’estompent. Plongeons au cœur de cette menace inédite et de ses implications pour les organisations françaises et européennes, ainsi que pour l’ensemble de l’écosystème de la cybersécurité.

GTG-20006 : le fer de lance du cyberespionnage russe

Le groupe identifié par Anthropic sous le nom de GTG-20006 (Generative Threat Group) est plus largement connu dans la communauté de la cybersécurité sous les appellations Midnight Blizzard ou APT29. Il s’agit d’un des plus prolifiques groupes de cyberespionnage parrainés par l’État russe, actif depuis au moins 2008 et attribué au Service des renseignements extérieurs (SVR) de la Fédération de Russie. Ses cibles privilégiées ? Les gouvernements, les organisations diplomatiques, les industries de défense et les think tanks, principalement en Ukraine, en Europe, mais aussi au Moyen-Orient et en Asie. Selon les données publiées par Anthropic, plus de 20 organisations distinctes ont été visées lors des phases de reconnaissance et d’opérations actives de GTG-20006. L’ampleur des compromissions inclut le vol de plus de 300 000 enregistrements d’identité nationale et les données de registre commercial de plus de 500 000 entreprises dans un pays d’Afrique du Nord. Cette intrusion massive démontre que le groupe ne se contente pas de cibler des individus isolés, mais cherche à s’introduire dans des bases de données gouvernementales entières. L’utilisation de l’IA générative dans sa chaîne d’attaque constitue un saut qualitatif majeur, comme nous allons le détailler dans les sections suivantes.

Le rôle central de Claude dans la reconstruction automatique des malwares

Selon les détails fournis par Anthropic, GTG-20006 a développé un workflow IA complet qui lui permet de maintenir la furtivité de ses implants en toutes circonstances. Le processus est le suivant :

• Des agents d’IA autonomes surveillent en continu la détection des malwares déployés par les solutions de sécurité des victimes. Ces agents sont capables d’interroger les logs des défenses ou d’analyser les alertes pour déterminer si un artefact a été repéré.
• Dès qu’un agent détecte qu’un artefact est signalé (par exemple, un antivirus ou un EDR le bloque), il enclenche automatiquement la reconstruction du malware. Le système utilise Claude pour générer une version modifiée du code, en changeant les signatures, les chemins d’accès, les techniques d’injection ou tout autre attribut permettant le contournement.
• Une fois le nouveau binaire généré, des tests de validation sont exécutés pour s’assurer qu’il n’est plus détecté par les solutions de sécurité connues. Ce cycle peut se répéter jusqu’à obtention d’une version furtive.
• Le malware reconstruit est ensuite déployé sur des serveurs jetables (disposable hosting), et les victimes sont redirigées via des campagnes de phishing, ClickFix ou du détournement DNS.

« L’acteur a utilisé l’IA à chaque point de ses opérations », explique Anthropic. Cette approche systématique signifie que les défenseurs ne peuvent plus se reposer sur des signatures statiques ou des indicateurs de compromis (IoC) figés. Chaque tentative de blocage est immédiatement contrée par une nouvelle version du logiciel malveillant.

Anthropic précise également que l’IA est utilisée pour surveiller l’efficacité des outils face aux défenses, rendant l’adaptation quasi instantanée. « Le résultat est que l’IA a inversé le coût sur les défenseurs », souligne l’entreprise. En d’autres termes, alors que les défenseurs devaient autrefois déployer des ressources importantes pour créer une nouvelle détection, les attaquants peuvent désormais la contourner avec un effort bien moindre grâce à l’automatisation.

L’IA au service de l’infrastructure d’attaque

Au-delà de la reconstruction des malwares, GTG-20006 a utilisé des workflows IA pour gérer l’ensemble de son infrastructure. Selon Anthropic, l’acteur a employé l’intelligence artificielle pour :

• Enregistrer des domaines : automatiser la création de noms de domaine utilisés pour héberger les pages de phishing ou les serveurs C2 (command-and-control).
• Configurer l’hébergement : déployer rapidement des serveurs dédiés à l’envoi des courriels de phishing et à la distribution des charges utiles.
• Surveiller les canaux C2 : analyser les communications avec les implants pour détecter les anomalies et adapter les configurations.
• Gérer les opérations de phishing : envoyer des messages personnalisés à grande échelle, en adaptant le ton et le contenu à chaque cible.

Cette automatisation complète de la chaîne d’attaque réduit considérablement le temps nécessaire entre la compromission initiale et l’exfiltration des données, tout en rendant la détection plus difficile. De plus, l’IA est programmée pour automatiquement remplacer les serveurs compromis ou signalés, assurant une continuité opérationnelle sans intervention humaine. L’ensemble de ces tâches, qui nécessitaient auparavant une équipe d’opérateurs qualifiés, peut désormais être géré par un seul opérateur supervisant des agents d’IA.

Les outils de la panoplie de GTG-20006

Le groupe a développé un ensemble d’outils variés, adaptés à différents environnements :

• Deux implants Windows : PowerChrome et WUEngine (ou Shadow C2, MiniPlasma, CloudSyncSvc selon les variantes). Ces logiciels malveillants permettent l’accès distant aux postes de travail, le vol de documents et l’exécution de commandes. PowerChrome s’injecte dans le processus Chrome pour intercepter les données de navigation, tandis que WUEngine se fait passer pour un composant de Windows Update afin de passer inaperçu.
• Un kit d’exploitation mobile capable de compromettre les appareils Android et iOS. Ce kit utilise des vulnérabilités ou des leurres pour délivrer des RAT mobiles, permettant d’enregistrer l’audio, de suivre la localisation et d’accéder aux fichiers.
• Un outil de vol d’identifiants ciblant les coffres-forts de mots de passe des navigateurs (Chrome, Edge, Firefox). Il exfiltre les mots de passe enregistrés, les cookies et les données de session, offrant un accès persistant aux comptes en ligne.
• Une plateforme de phishing conçue pour imiter des organisations gouvernementales légitimes, comme des portails de ministères ou des services d’impôts, afin de récolter les identifiants des victimes. L’IA génère des pages web et des courriels très réalistes.
• Une console administrative permettant de gérer les comptes compromis, de lister les accès disponibles et de déclencher des exfiltrations de données.

Des malwares adaptés à chaque plateforme

Le tableau suivant résume les charges utiles selon le type d’appareil ciblé, telles qu’observées par Anthropic et ses partenaires :

Note : GiftDrop est une version rebrandée d’un RAT de surveillance Android connu, GiftsExpress. L’acteur a également déployé des voleurs de mots de passe Windows via des leurres de mise à jour factices, souvent diffusés par des fenêtres pop-up imitant Windows Update.

Les méthodes de compromission : un arsenal complet

GTG-20006 ne s’appuie pas sur une seule technique. Il combine plusieurs vecteurs d’attaque pour maximiser ses chances de succès :

1. Phishing ciblé : envoi d’e-mails usurpant l’identité d’organisations gouvernementales, avec des pièces jointes ou des liens malveillants. Les e-mails sont rédigés dans un français ou un anglais impeccable, sans les fautes habituelles, grâce à l’IA qui assiste les rédacteurs.
2. ClickFix : une méthode où la victime est invitée à cliquer pour « résoudre un problème » (par exemple, une fausse alerte de sécurité du système), ce qui déclenche le téléchargement du malware. Cette technique s’appuie sur la confiance de l’utilisateur envers les messages système.
3. Détournement DNS via Wi-Fi d’hôtel : compromission de prestataires de Wi-Fi hôtelier pour modifier les enregistrements DNS et rediriger les visiteurs vers des serveurs contrôlés par les pirates. La redirection se fait vers des pages reproduisant des sites légitimes (banques, messageries) ou directement vers des téléchargements de malwares.
4. Device Code Phishing : une plateforme baptisée Embassy Kit orchestre le vol de jetons Microsoft 365 en abusant du flux d’authentification par code d’appareil. Les victimes sont invitées à saisir un code sur une page légitime, ce qui donne accès à leurs comptes. L’attaquant peut alors exfiltrer les courriels et les fichiers.
5. Exploitation de vulnérabilités d’applications de surveillance : recherche de failles d’autorisation dans des services de streaming caméra pour récolter des jetons d’accès et visionner en direct les flux vidéo des victimes. Cette méthode permet une surveillance physique en temps réel.

Chacune de ces méthodes a été affinée grâce à l’IA, qui génère des messages de phishing personnalisés en fonction des profils des cibles, ou qui modifie les leurres ClickFix pour contourner les filtres anti-spam.

L’attaque des Wi-Fi d’hôtel : un cas d’école

Anthropic rapporte que GTG-20006 a compromis au moins trois prestataires de Wi-Fi hôtelier. En utilisant des identifiants administrateur volés, ils ont modifié les enregistrements DNS afin que les clients se connectant au réseau Wi-Fi soient redirigés vers des serveurs malveillants. Ces derniers collectaient alors le trafic, les identifiants d’appareil et les adresses IP des victimes. Selon le type d’appareil (Windows, Android ou iOS), un leurre ClickFix adapté était présenté pour délivrer le malware correspondant. Cette opération, connue sous le nom de CaptiveCrunch, a été documentée par ReliaQuest, Microsoft, Google et Lumen Black Lotus Labs entre juillet et août 2026. Elle a touché principalement des cadres et diplomates en déplacement, notamment des représentants ukrainiens et européens lors de conférences internationales.

« L’acteur a compromis au moins trois fournisseurs de services Wi-Fi hôteliers », a déclaré Anthropic.

Détournement de comptes WhatsApp et accès aux caméras

Au-delà des malwares traditionnels, le groupe a mis en œuvre des techniques avancées de prise de contrôle de comptes. Par exemple, il utilisait des navigateurs headless pour lier le compte WhatsApp d’une victime comme appareil compagnon, permettant ainsi d’exporter en masse les conversations en russe et en ukrainien tout en supprimant les accusés de lecture. De plus, des failles d’autorisation dans des services de streaming caméra ont été exploitées pour énumérer les utilisateurs et dérober des jetons donnant accès aux flux vidéo en direct des victimes. Cette double capacité de surveillance numérique et physique est particulièrement préoccupante pour les personnalités politiques et les responsables militaires.

Des cibles étendues : gouvernements, armées, diplomates et industriels

Les victimes de GTG-20006 couvrent un large éventail de secteurs sensibles. Selon Anthropic, les attaques ont ciblé :

• des ministères et organismes gouvernementaux en Ukraine et en Europe, notamment des ministères de la Défense et des Affaires étrangères ;
• des entités de défense et de renseignement, y compris des services de renseignement ukrainiens et européens ;
• des ambassades et missions diplomatiques de plusieurs pays ;
• des think tanks et instituts de recherche travaillant sur des questions géopolitiques ;
• des entreprises de l’industrie de défense, notamment des fabricants de drones et d’équipements militaires ;
• des agences maritimes en Asie et au Moyen-Orient, ainsi que des autorités portuaires.

Une des compromissions les plus marquantes a touché une autorité technologique gouvernementale d’Afrique du Nord, où les pirates ont utilisé des identifiants de VPN pour détourner le serveur de comptes central et exfiltrer une base de données contenant plus de 300 000 enregistrements d’identité nationale et les données de registre commercial de plus de 500 000 entreprises. Cette intrusion illustre l’ampleur des capacités de l’acteur et sa volonté de collecter des données à grande échelle.

Par ailleurs, la campagne Embassy Kit a permis le vol de courriels depuis au moins huit organisations, dont un parquet national, un institut d’enseignement militaire et une organisation intergouvernementale régionale. Les courriels exfiltrés contenaient probablement des informations classifiées ou sensibles sur les politiques de défense et les relations internationales.

La rapidité d’exécution offerte par l’IA permet à l’acteur de cibler simultanément plusieurs organisations dans différents pays, en adaptant ses méthodes en fonction de l’environnement de chaque victime.

Repenser la défense à l’ère des malwares auto-réparateurs

L’utilisation de l’IA par GTG-20006 change profondément la donne pour les équipes de sécurité. Là où les défenseurs pouvaient compter sur des détections statiques pour neutraliser un échantillon connu, l’IA permet aux attaquants de muter en continu. Comme le résume Anthropic : « Le résultat de tout cela est que l’IA a inversé le coût sur les défenseurs. Auparavant, les défenseurs pouvaient ralentir le tempo opérationnel d’un attaquant en déployant une nouvelle détection. »

Désormais, chaque nouvelle détection peut être contournée en quelques minutes par un processus automatisé. Cela exige des défenseurs une approche proactive et adaptative :

• Investir dans l’IA défensive : utiliser des modèles d’apprentissage automatique pour détecter des comportements anormaux plutôt que des signatures. Les algorithmes de détection d’anomalies doivent être entraînés à reconnaître des schémas de reconstruction de code ou d’auto-modification.
• Adopter une posture Zero Trust : limiter l’impact d’une compromission en restreignant les accès et en segmentant les réseaux. L’authentification multi-facteurs (MFA) reste une barrière efficace, mais elle doit être renforcée face aux attaques Device Code Phishing.
• Mettre en place une surveillance continue des comportements : les EDR et XDR doivent être couplés à des analyses heuristiques capables de repérer des variations dans les processus, des écritures mémoire suspectes ou des tentatives de contournement répétées.
• Collaborer avec les éditeurs de solutions de sécurité et les autorités comme l’ANSSI pour partager les renseignements sur les tactiques, techniques et procédures (TTP) des attaquants. L’échange d’indicateurs de compromission comportementaux plutôt que statiques est crucial.

Selon l’ANSSI, les organisations doivent se préparer à des attaques où l’IA joue un rôle central, en intégrant des capacités de détection comportementale et en renforçant la résilience des systèmes critiques.

« Les défenseurs doivent désormais considérer que leurs détections seront testées et contournées par l’IA adverse », prévient un expert en cybersécurité. Il devient crucial de diversifier les couches de défense et de ne pas se reposer sur un seul mécanisme.

L’importance de la formation des utilisateurs

Face à des techniques de phishing et de ClickFix assistées par IA, où les messages sont parfaitement crédibles, la formation des utilisateurs devient primordiale. Sensibilisez vos équipes à ne pas cliquer sur des liens suspects, à vérifier les demandes de code d’authentification et à signaler tout comportement anormal. Simulez des attaques pour maintenir un niveau de vigilance élevé.

NOTE TECHNIQUE : Les équipes SOC doivent désormais envisager des détections basées sur le comportement plutôt que sur les signatures. Par exemple, surveiller les processus qui génèrent et exécutent du code en mémoire de manière inattendue, ou qui modifient des fichiers système de façon récurrente.

Conclusion : une nouvelle ère pour la cybersécurité

L’affaire GTG-20006 illustre un changement de paradigme. Les cyberespions russes ont intégré l’IA Claude dans leur chaîne d’attaque pour reconstruire automatiquement leurs malwares après détection, rendant les défenses traditionnelles inefficaces. Pour les organisations françaises et européennes, la leçon est claire : il ne suffit plus de détecter et bloquer, il faut anticiper et s’adapter en continu. La collaboration entre secteurs public et privé, l’investissement dans des solutions de sécurité basées sur l’IA et le respect des bonnes pratiques (mises à jour, Zero Trust, formation des utilisateurs) sont plus que jamais nécessaires. En France, la direction générale de la sécurité extérieure (DGSE) et l’ANSSI travaillent en étroite collaboration avec leurs homologues européens pour contrer ces nouvelles menaces.

Alors que l’année 2026 s’achève, une certitude s’impose : la course aux armements cybersécuritaires entre attaquants et défenseurs s’accélère, et l’IA en est le moteur. Aux équipes de sécurité de prendre la mesure de cette menace pour ne pas être prises de vitesse. Engagez-vous dès maintenant dans une démarche de cyber-résilience, en mettant à jour vos plans de réponse aux incidents et en intégrant l’IA comme un allié dans votre arsenal défensif.