ESET décrit une approche industrielle. Le groupe ne mise pas sur des malwares très sophistiqués, mais sur de nombreux outils simples, souvent modifiés et combinés selon les besoins. Cette méthode lui apporte persistance, souplesse et capacité de réorganisation rapide.
Après une courte pause en janvier, Gamaredon a ajouté six nouveaux outils PowerShell. PteroPaste est le plus notable. Il combine téléchargement, propagation par USB et persistance, avec récupération d’informations C&C chiffrées via Dropbox avant connexion à une infrastructure masquée par des tunnels.
Le groupe a aussi réactivé PteroSetup, un outil VBScript de compromission latérale. Il remplace des installateurs légitimes par des archives malveillantes qui lancent le programme attendu et la chaîne d’infection. La technique exploite les habitudes de confiance et les supports partagés.
Le spearphishing reste central. ESET a identifié 35 campagnes en 2025, surtout via archives ou fichiers XHTML utilisant le HTML smuggling pour livrer des téléchargeurs HTA, puis PteroSand et d’autres charges utiles. Le rythme s’est accéléré au second semestre.
À partir du 26 septembre, Gamaredon exploite CVE-2025-8088 dans WinRAR pour placer son téléchargeur HTA dans le dossier de démarrage. La persistance est ainsi renforcée sans nouvelle action de la victime.
L’évolution majeure concerne l’infrastructure. Gamaredon masque ses serveurs C&C derrière des services légitimes : tunnels et workers Cloudflare, Microsoft devtunnels.ms, Loophole, No-IP, Clever Cloud ou Supabase. Ces couches rendent les blocages plus difficiles sans perturber les usages légitimes.
Autre marqueur fort, les dead drops. Le malware contacte d’abord un service légitime pour récupérer une donnée cachée ou chiffrée, puis rejoint le serveur C&C. En 2025, Gamaredon abuse notamment de Telegram, Telegra.ph, rentry.co, Dropbox, GoFile, Mastodon ou Paste.ee.
L’exfiltration évolue aussi. PteroPSDoor et PteroVDoor envoient les fichiers volés vers des services compatibles avec l’API Amazon S3, comme Wasabi, Tebi puis Intercolo. PteroBox continue d’utiliser Dropbox. Là encore, le trafic malveillant se mêle aux usages cloud ordinaires.
ESET observe aussi une coopération accrue entre acteurs russes, notamment Gamaredon et Turla, deux groupes liés au FSB. Le transfert de cibles validées par UAC-0099 vers Sandworm montre une logique de coordination dans l’écosystème offensif russe.
La conclusion est opérationnelle. Gamaredon reste focalisé sur l’Ukraine et compense la simplicité de ses outils par la persistance, la fréquence des mises à jour et l’usage créatif de services légitimes. Le défi consiste à reconnaître une chaîne d’attaque complète, pas seulement un malware isolé.
Les priorités défensives sont la surveillance du spearphishing, des fichiers HTA, PowerShell, VBScript, des archives suspectes, des tunnels, des plateformes de paste, du stockage S3 et du DNS dynamique. La réponse doit combiner détection comportementale, journalisation, durcissement, contrôle des scripts, sensibilisation et renseignement sur les indicateurs de compromission.
Au second semestre, le groupe s'est davantage orienté vers des campagnes de spearphishing plus vastes et plus fréquentes : nous en avons identifié 35 au cours de l'année 2025. Comme les années précédentes, la plupart des campagnes utilisaient des pièces jointes dans des archives ou des fichiers XHTML exploitant le HTML smuggling pour délivrer des téléchargeurs HTA malveillants, lesquels récupéraient ensuite le téléchargeur VBScript PteroSand et des charges utiles supplémentaires.
Nous avons également observé des campagnes recourant probablement à des hyperliens malveillants en lieu et place de pièces jointes.
