Le rapport ESET sur les activités APT du deuxième et du troisième trimestre 2026 présente les activités marquantes de certains groupes de menaces persistantes avancées (appelées APT), documentées par les chercheurs d’ESET entre avril et septembre 2026. Les opérations présentées reflètent le paysage plus large des menaces observées au cours de cette période et mettent en lumière certaines de ses principales tendances et évolutions. Elles ne constituent qu’une partie des renseignements sur les cybermenaces mis à la disposition des clients des rapports ESET Threat Intelligence APT Reports.
Au cours de la période étudiée, les groupes alignés sur la Chine ont mené des opérations de collecte de renseignements visant principalement des cibles gouvernementales. FamousSparrow a poursuivi ses activités de surveillance en Amérique du Sud, comme lors de la période précédente. En Asie du Sud-Est et en Océanie, des acteurs de la menace alignés sur la Chine ont mené des campagnes qui semblent soutenir les efforts des forces de l’ordre chinoises contre la criminalité organisée dans la région. L’un d’eux a ciblé des hôtels aux Palaos, un pays qui semble de plus en plus servir de base à des réseaux criminels spécialisés dans les escroqueries. SlippyNunchucks a déployé son arsenal DarkVigil au Sri Lanka contre des personnes sinophones liées à des réseaux d’escroquerie, probablement dans le cadre d’efforts régionaux plus larges de lutte contre la criminalité financière.
Les centres d’escroquerie étant devenus un problème pour les pays voisins de la Chine, avec des répercussions négatives directes sur la Chine elle-même, il est probable que des groupes APT alignés sur ce pays aient soutenu l’action des forces de l’ordre dans ce domaine. Un autre ensemble d’activités, plus vaste, a ciblé des organisations taïwanaises du secteur des semi-conducteurs. Ce ciblage s’inscrit dans les priorités de longue date de l’espionnage industriel chinois et reflète l’importance stratégique des chaînes d’approvisionnement en semi-conducteurs, tant pour la concurrence économique que pour la sécurité nationale.
Les activités des groupes alignés sur des acteurs du Moyen-Orient ont augmenté par rapport à la période précédente, principalement en raison du retour de plusieurs groupes établis alignés sur l’Iran. Leurs activités avaient diminué au cours de la période précédente, très probablement parce que les restrictions d’accès à Internet imposées par le régime iranien avaient entravé leur propre capacité à opérer efficacement. FilthyFeline, un sous-groupe d’OilRig, et MuddyWater ont repris leurs opérations après une période plus calme. Leurs activités ont principalement visé des entités israéliennes de plusieurs secteurs ; un nombre plus limité d’entreprises américaines a également été touché. FilthyFeline semble aussi avoir repris des opérations visant un fournisseur de services de données mobiles en Ouzbékistan, précédemment compromis par BladedFeline, un autre sous-groupe d’OilRig. En parallèle, nous avons analysé des logiciels malveillants nouveaux ou mis à jour, ce qui laisse penser à une reprise des activités de développement au sein de certaines composantes de l’écosystème aligné sur l’Iran.
Nous avons également découvert des activités d’Arid Viper, un acteur de la menace affilié au Hamas, visant ce qui semble être le ministère des Affaires étrangères et des Expatriés de l’Autorité palestinienne, ou une entité gouvernementale qui lui est rattachée. Compte tenu du processus de paix en cours mené par les États-Unis et de la rivalité de longue date entre le Hamas et l’Autorité palestinienne, ces activités visaient potentiellement à recueillir des renseignements sur la position diplomatique de l’Autorité palestinienne et ses réflexions internes concernant les négociations destinées à réduire les hostilités dans la région.
Les acteurs de la menace alignés sur la Corée du Nord ne se sont pas sensiblement écartés des types de cibles observés lors des périodes précédentes. Il s’agit principalement d’entreprises technologiques et du secteur des cryptomonnaies, de développeurs de logiciels et d’autres cibles choisies de manière opportuniste. Aux côtés de la Corée du Sud, l’Ukraine occupe une place croissante parmi leurs cibles. Cette évolution est probablement liée au rapprochement entre la Russie et la Corée du Nord, ainsi qu’à l’implication grandissante de cette dernière dans la guerre menée par la Russie contre l’Ukraine, à travers un soutien militaire indirect, notamment la fourniture de munitions, mais aussi le déploiement de soldats nord-coréens. Parallèlement à ces tendances générales, Lazarus a recommencé à cibler le secteur des drones, en recourant généralement à des techniques d’ingénierie sociale sur le thème du recrutement pour obtenir un accès initial. Cette activité est probablement motivée par le rôle croissant des systèmes de drones dans la guerre en Ukraine, où de nouvelles tactiques et capacités sont mises à l’épreuve. L’accès à ces connaissances et aux procédés de fabrication pourrait apporter à la Corée du Nord un savoir-faire précieux pour développer ses propres capacités de production de drones. Nous avons également détecté des activités de ScarCruft visant un pays africain, probablement dans le but de superviser un dispositif d’emploi de travailleurs nord-coréens dans ce pays ou d’y surveiller les activités russes. De son côté, DeceptiveDevelopment est passé de leurres reposant sur de faux entretiens d’embauche à des compromissions plus larges de la chaîne d’approvisionnement logicielle. Le groupe dérobe les identifiants de développeurs, puis utilise ces accès pour injecter du code malveillant dans des dépôts de code source publics et privés.
Les activités des groupes alignés sur la Russie ont continué de soutenir les objectifs de guerre du pays, en ciblant des gouvernements, le secteur de la défense et des entités militaires en Europe, avec un nombre nettement plus élevé de cibles en Ukraine. Un examen plus approfondi fait ressortir des similitudes entre les campagnes alignées sur la Russie et celles alignées sur la Biélorussie, ce qui renforce notre hypothèse d’un rapprochement opérationnel entre les acteurs de la menace alignés sur ces deux pays. Les opérations de Gamaredon, habituellement nombreuses, ont sensiblement diminué. Nous soupçonnons que cette baisse pourrait être liée aux attaques ukrainiennes en Crimée, d’où le groupe est soupçonné d’opérer, à une restructuration plus large de ses opérations ou à d’autres facteurs que nous continuons d’évaluer. Malgré cette diminution, Gamaredon a mis à jour son outil de vol de fichiers PteroBox et a commencé à utiliser de nouveaux outils, comme PteroPSDoor et Rezzuar, un outil de Turla écrit en VBScript. PhantomCaptcha a tenté de déployer sur des appareils Android un logiciel espion que nous avons nommé PrincessSpy, en usurpant l’identité d’entités ukrainiennes. Nous avons également identifié une vaste campagne en Ukraine exploitant des serveurs de messagerie MDaemon, au cours de laquelle les attaquants ont déployé deux familles de logiciels malveillants de type porte dérobée : HELLAGE et HELLTAG.
Le renforcement de la coopération militaire entre la Corée du Nord et la Russie a laissé envisager que les cyberactivités alignées sur la Corée du Nord pourraient commencer à se rapprocher davantage des objectifs russes en Ukraine. Si certains de leurs centres d’intérêt se recoupent, notamment dans le secteur des drones, nos données de télémétrie montrent plus clairement que des groupes alignés sur la Biélorussie agissent comme des relais cyber de la Russie ou contribuent à amplifier ses capacités opérationnelles. Nous avons observé une intensification et un caractère plus offensif de leurs activités, leurs opérations reflétant de plus en plus, dans certains domaines, les priorités russes en matière de renseignement en Ukraine. Fait particulièrement marquant, nous avons identifié la première cyberattaque destructrice menée par un acteur de la menace aligné sur la Biélorussie que nous ayons documentée sur le théâtre européen. Il s’agit d’une évolution majeure au sein de cet ensemble d’acteurs et d’activités. Selon nos données de télémétrie, FrostyNeighbor a attaqué une entreprise manufacturière ukrainienne jouant un rôle important dans le secteur des transports du pays. Cette attaque marque une escalade notable : jusqu’à présent, les acteurs de la menace connus pour leurs cyberopérations destructrices en Ukraine étaient alignés sur la Russie.
Enfin, nous avons identifié plusieurs cas d’utilisation de l’IA et de grands modèles de langage (LLM) par des groupes APT à différentes étapes de leurs opérations. Les acteurs de la menace ont principalement utilisé l’IA pour accélérer des tâches qui auraient autrement nécessité un travail minutieux, notamment le développement de logiciels malveillants et la création de sites web servant de leurres. Dans certains cas, cette utilisation s’apparentait au vibe coding : une rédaction rapide de code à partir de prompts, dont les résultats étaient ensuite adaptés et intégrés par des opérateurs humains à leurs chaînes d’outils. Nous avons également découvert des leurres de phishing contenant des images manifestement générées par l’IA. Dans un cas notable, UAC-0099, un groupe aligné sur la Russie, a inséré dans un commentaire de script une demande factice d’instructions pour fabriquer une arme nucléaire. L’objectif apparent était de déclencher les garde-fous des outils d’analyse de sécurité fondés sur des LLM et d’empêcher ainsi l’examen du code malveillant qui suivait.
Malgré ces évolutions, nous n’avons pas constaté de transformation majeure du paysage des menaces APT sous l’effet de l’IA au cours des six derniers mois. Si nous ne pouvons pas déterminer si certaines opérations reposent sur un degré plus élevé d’automatisation grâce à l’IA, nos données de télémétrie continuent de montrer des interventions humaines directes et des opérations qui ne sont pas entièrement automatisées. Dans l’ensemble, nos observations suggèrent que les groupes APT utilisent actuellement l’IA de façon comparable aux développeurs de logiciels classiques : pour accélérer le développement logiciel, automatiser des tâches auparavant manuelles et faciliter l’analyse de grands volumes de données, plutôt que pour mener des opérations malveillantes entièrement autonomes.
Les produits ESET protègent les systèmes de nos clients contre les activités malveillantes décrites dans ce rapport. Les renseignements présentés ici reposent principalement sur les données de télémétrie propriétaires d’ESET et ont été vérifiés par ses chercheurs.
Les rapports ESET sur les activités APT ne contiennent qu’une fraction des renseignements sur les cybermenaces fournis dans les rapports ESET Threat Intelligence APT Reports.
Téléchargez l'intégralité du Rapport ESET sur les activités APT (T2–T3 2026)
