Screening Serpens : 6 nouveaux RAT contre l'Occident

Ce qui s'est passé

Les chercheurs de l'équipe Unit 42 de Palo Alto Networks ont publié début août 2026 une analyse exhaustive des activités récentes du groupe de cyberespionnage iranien Screening Serpens. Ce groupe, également documenté sous les alias UNC1549 par Mandiant, Smoke Sandstorm par Microsoft et Iranian Dream Job en référence à ses techniques d'ingénierie sociale, est actif depuis au moins 2022 et opère en alignement avec les objectifs de renseignement iraniens. La publication de Unit 42 fait suite à une période d'observation intensive couvrant les mois de février à avril 2026, pendant laquelle les chercheurs ont documenté une accélération et une sophistication marquée des opérations du groupe.

La chronologie de ces opérations est étroitement corrélée à l'évolution du contexte géopolitique régional. Le groupe a significativement intensifié son activité à partir du 28 février 2026, date à laquelle un conflit régional au Moyen-Orient a redéfini les priorités de renseignement des acteurs étatiques iraniens. Cette corrélation temporelle, combinée à l'alignement des cibles avec les intérêts stratégiques de Téhéran, permet à Unit 42 d'attribuer ces campagnes avec un haut niveau de confiance à un acteur soutenu par l'État iranien, très probablement lié au Corps des gardiens de la révolution islamique.

Six nouvelles variantes de RAT (Remote Access Trojan) ont été identifiées et regroupées en deux familles distinctes. La première famille, baptisée MiniUpdate, est entièrement nouvelle et n'avait jamais été documentée auparavant. La seconde, MiniJunk V2, représente une évolution significative d'une famille de backdoors précédemment connue. Les six variants présentent des architectures de code différentes, des mécanismes de persistance variés et des protocoles de communication distincts, suggérant que le groupe dispose d'une équipe de développement de malwares active capable de produire plusieurs outils en parallèle sur une courte période.

La technique d'évasion la plus notable documentée dans ce rapport est l'AppDomainManager hijacking, une méthode avancée exploitant le fonctionnement interne du runtime .NET de Microsoft. Dans les applications .NET, l'AppDomainManager est une classe qui gère l'initialisation des domaines d'application. En plaçant une DLL malveillante dans le chemin de recherche d'une application .NET légitime et en modifiant un fichier de configuration légitime (.config) pour pointer vers cette DLL, l'attaquant peut injecter du code malveillant qui s'exécute dans le contexte de l'application légale, avant que cette dernière n'ait démarré ses propres processus de protection.

L'avantage tactique de cette approche est considérable. La DLL malveillante s'exécute avec les mêmes privilèges que l'application légitime et, surtout, elle peut désactiver les mécanismes de télémétrie de sécurité avant qu'ils ne soient initialisés. Concrètement, le malware désactive ETW (Event Tracing for Windows) — le framework de journalisation de bas niveau que la plupart des EDR utilisent pour surveiller les comportements anormaux — avant même que l'EDR ne commence à instrumenter le processus. Le résultat est un point aveugle systématique dans la télémétrie de sécurité, rendant la détection comportementale inefficace.

La famille MiniUpdate se distingue également par le choix de son infrastructure de commande et contrôle (C2). Plutôt que d'utiliser des domaines enregistrés spécifiquement pour les opérations malveillantes — facilement bloqués par les listes de réputation — Screening Serpens a opté pour des domaines hébergés sur Microsoft Azure. Les communications du malware passent par des URLs Azure apparemment légitimes, se fondant dans le volume considérable de trafic cloud légal que génèrent les entreprises. Les solutions de filtrage basées sur la réputation de domaine ou le blocage catégoriel cloud peinent à distinguer ces flux malveillants du trafic Azure légitime.

Un troisième mécanisme d'évasion particulièrement sophistiqué a été identifié dans une variante de MiniJunk V2 ciblant des organisations américaines en mars 2026 : une vérification de date codée en dur. Cette variante refuse catégoriquement de s'exécuter avant le 27 mars 2026 à 13:30:00 UTC. Cette contrainte temporelle est conçue pour tromper les environnements de sandbox automatisés qui analysent les fichiers suspects à leur réception : le malware se comporte innocemment lors de l'analyse initiale, puis s'active uniquement après sa livraison sur la cible finale.

Les cibles identifiées appartiennent principalement aux secteurs de l'aérospatiale, de la défense, des télécommunications et de la technologie aux États-Unis, en Israël et aux Émirats arabes unis, avec deux entités supplémentaires dans d'autres pays du Moyen-Orient. Le vecteur d'infection initial repose sur une ingénierie sociale hautement personnalisée : les victimes reçoivent des invitations à de faux entretiens d'embauche ou des propositions de réunion professionnelle, avec des contenus adaptés au profil LinkedIn de la cible. Cette approche, cohérente avec le surnom "Iranian Dream Job" du groupe, exploite la confiance professionnelle et le désir de progression de carrière des professionnels techniques très qualifiés.

Pourquoi c'est important

La publication du rapport Unit 42 sur Screening Serpens intervient dans un contexte de cyberespionnage iranien particulièrement actif. Le conflit régional démarré en février 2026 a accéléré les opérations de plusieurs groupes APT alignés avec Téhéran, dont MuddyWater — qui a simultanément utilisé des intrusions déguisées en rançongiciels pour dissimuler ses opérations de vol de données. La multiplication des familles de malwares et la sophistication croissante des techniques d'évasion témoignent d'un investissement soutenu dans les capacités offensives cyber iraniennes, indépendamment des pressions diplomatiques et des sanctions.

La technique AppDomainManager hijacking mérite une attention particulière des équipes de sécurité. Cette méthode illustre une tendance plus large : les acteurs étatiques avancés ciblent de plus en plus les angles morts des solutions EDR, non pas en cherchant à les désinstaller ou à les contourner frontalement, mais en s'exécutant dans des contextes où ils sont structurellement aveugles. Le fait que cette attaque exploite des fichiers de configuration légitimes plutôt que des binaires malveillants ou des injections mémoire la rend particulièrement difficile à détecter par les règles de détection statiques. Les équipes SOC devraient revoir leurs règles de surveillance des modifications de fichiers .config dans les répertoires d'applications .NET et leur instrumentation ETW.

L'utilisation d'Azure comme infrastructure C2 pose un problème de politique de sécurité réseau que de nombreuses organisations n'ont pas encore résolu. Bloquer Microsoft Azure globalement n'est pas une option viable pour la quasi-totalité des entreprises qui dépendent de services M365, Azure AD et autres. Pourtant, permettre toutes les connexions vers Azure ouvre un canal d'exfiltration et de C2 difficile à surveiller. La réponse technique passe par l'inspection TLS déchiffrée combinée à des règles de comportement (anomalie de volume, pattern de timing des beacons) plutôt que par des listes de blocage basées sur la réputation de domaine.

Pour les entreprises françaises et européennes opérant dans les secteurs de la défense, de l'aérospatiale et des technologies de pointe, cette campagne est un signal d'alerte directement applicable. Screening Serpens cible principalement les alliés des États-Unis et d'Israël dans ces secteurs, et une grande partie des entreprises européennes dans ces domaines entretient des relations commerciales et techniques avec des partenaires américains et israéliens — ce qui peut les placer dans la chaîne d'approvisionnement des cibles primaires. L'ANSSI maintient sa recommandation de vigilance accrue face aux campagnes de spear-phishing à thème recrutement dans ces secteurs.

Ce qu'il faut retenir

• Screening Serpens (APT iranien, alias UNC1549) a déployé 6 nouveaux RAT en deux familles (MiniUpdate et MiniJunk V2) contre des cibles US, israéliennes et émiraties dans les secteurs tech, défense et aérospatiale depuis février 2026.
• La technique AppDomainManager hijacking désactive ETW et les mécanismes EDR avant leur démarrage, créant un point aveugle systématique — les équipes SOC doivent surveiller les modifications de fichiers .config d'applications .NET.
• L'infrastructure C2 hébergée sur Azure rend le filtrage réseau classique inefficace : seule l'inspection comportementale du trafic (anomalies de timing, volume de beacons) permet de distinguer les communications malveillantes du trafic cloud légitime.