Abyssos RAT : vol de sessions et accès VNC furtif en 2026

Abyssos : anatomie d'un RAT modulaire conçu pour l'invisibilité totale

Le 10 août 2026, l'équipe Zscaler ThreatLabz a publié l'analyse technique d'Abyssos, un outil d'accès à distance (RAT) en C++ observé pour la première fois fin juin 2026. Le nom — emprunté au terme grec désignant l'abîme sans fond — annonce un malware pensé pour s'installer profondément dans un système sans laisser de traces visibles à l'utilisateur ou aux outils de sécurité conventionnels. Son architecture modulaire, son chiffrement des communications et ses multiples couches d'évasion en font un outil polyvalent qui préoccupe la communauté threat intelligence, d'autant que son développement actif laisse présager des versions encore plus sophistiquées dans les prochaines semaines.

Dès son initialisation, Abyssos applique une technique d'obfuscation avancée pour résoudre ses appels aux API Windows dynamiquement. Plutôt que de lister ses imports de manière statique dans la table d'import du PE — ce qui permettrait à un antivirus d'identifier facilement ses fonctionnalités — le malware calcule des empreintes CRC32 des fonctions exportées par les DLL système et les compare à une table de hachage interne pour retrouver dynamiquement les adresses mémoire des appels nécessaires. Cette résolution dynamique rend l'analyse statique du binaire difficile et permet de contourner les contrôles d'import de nombreuses solutions basées sur la réputation. La création d'un mutex système empêche par ailleurs l'exécution simultanée de plusieurs instances, évitant les comportements redondants susceptibles d'attirer l'attention d'un SIEM.

Le vecteur d'infection analysé par ThreatLabz repose sur le DLL sideloading via l'exécutable légitime DiskIntegrityScanner.exe. Cette technique exploite la façon dont Windows résout les bibliothèques au chargement d'un processus : en plaçant une DLL malveillante portant le nom d'une bibliothèque attendue dans le même répertoire qu'un exécutable signé, l'attaquant force l'application légitime à charger son code sans déclencher d'alerte d'exécution directe depuis un chemin suspect. Le processus parent apparent est un outil reconnu par les systèmes de contrôle de réputation, et la DLL malveillante hérite du contexte de confiance de l'exécutable hôte dans de nombreux environnements EDR configurés de façon standard.

Une fois actif, Abyssos établit une communication chiffrée avec son serveur de commande et de contrôle (C2). Le trafic est protégé par AES-GCM (Galois/Counter Mode), un mode de chiffrement authentifié qui garantit confidentialité et intégrité des données échangées. La clé de 32 octets est codée en dur dans le binaire des versions analysées — une faiblesse analytique pour les chercheurs, mais une robustesse opérationnelle pour l'attaquant : le trafic intercepté reste opaque sans la clé extraite. ThreatLabz a identifié plusieurs versions — notamment 2.1F et 2.4F — avec des méthodes d'obfuscation différentes entre les échantillons, attestant d'un développement itératif et d'une équipe active.

La fonctionnalité de VNC caché est l'une des capacités les plus préoccupantes documentées. Contrairement à une session de bureau à distance classique qui affiche une notification à l'utilisateur, le VNC furtif d'Abyssos permet à l'opérateur distant de visualiser et contrôler le bureau en temps réel sans aucun indicateur visuel perceptible. L'attaquant peut surveiller les actions de l'utilisateur en direct, intercepter des transactions bancaires ou des opérations sur des systèmes critiques, et exfiltrer des informations sans jamais déposer de fichier supplémentaire. Cette capacité est particulièrement redoutable dans des contextes d'espionnage industriel ou de fraude financière ciblée.

La composante de vol de credentials cible spécifiquement Chrome et Brave, les deux navigateurs les plus répandus en milieu professionnel. Abyssos utilise l'API Windows Data Protection (DPAPI) pour déchiffrer les identifiants stockés localement par ces navigateurs — technique efficace car DPAPI repose sur les credentials Windows de l'utilisateur connecté, auxquels le malware a accès une fois exécuté dans le contexte utilisateur. Plus inquiétant encore, la fonctionnalité de cookie impersonation permet d'exfiltrer des cookies de session valides et de les injecter dans un navigateur contrôlé par l'attaquant pour usurper l'identité de la victime sans mot de passe ni second facteur. Les tokens MFA et les sessions d'authentification forte sont ainsi court-circuités.

L'arsenal complet d'Abyssos inclut également : interception du presse-papiers, surveillance des processus et connexions réseau actives, keylogging, exécution de charges utiles supplémentaires, bypass UAC, auto-suppression en cas de détection imminente, et téléchargement de modules additionnels depuis le C2. Cette dernière capacité transforme Abyssos en plateforme extensible : les opérateurs adaptent l'arsenal au profil de chaque victime, chargeant uniquement les modules nécessaires à la mission en cours pour maintenir l'empreinte initiale aussi légère que possible.

Aucun groupe ou acteur spécifique n'a encore été formellement lié à Abyssos. Le niveau de sophistication — résolution dynamique d'API par CRC32, chiffrement authentifié AES-GCM, DLL sideloading, architecture modulaire avec plugins C2, auto-destruction — dépasse ce que l'on observe dans des outils déployés par des acteurs peu qualifiés. La présence d'une fonction d'auto-suppression indique que les opérateurs anticipent les opérations forensiques. ThreatLabz continue de suivre l'évolution du malware et prévoit des mises à jour au fur et à mesure des nouvelles versions identifiées.

Pourquoi Abyssos illustre la montée en puissance des RAT en 2026

La découverte d'Abyssos s'inscrit dans un contexte de professionnalisation accélérée des outils d'accès à distance utilisés par des acteurs malveillants. Pendant longtemps, les RAT étaient associés à des cybercriminels peu qualifiés utilisant des outils comme njRAT ou AsyncRAT, disponibles gratuitement sur les forums underground. La montée en puissance d'Abyssos illustre un glissement vers des outils sur mesure, développés avec des pratiques d'ingénierie logicielle structurées — versionning, itérations d'obfuscation, architecture modulaire — et conçus pour des opérations longue durée à faible bruit. Cette convergence rapproche les capacités de certains groupes cybercriminels de celles d'acteurs soutenus par des États.

Le vol de sessions via cookie impersonation est particulièrement alarmant dans un environnement d'entreprise ayant massivement investi dans le MFA. De nombreuses organisations ont déployé l'authentification multifacteur en réponse aux exigences NIS2 et aux recommandations de l'ANSSI, convaincues d'avoir éliminé le principal vecteur de compromission de comptes. Abyssos rappelle brutalement que le MFA protège l'authentification initiale, pas la session en cours. Si un attaquant exfiltre des cookies de session valides, l'authentification forte devient inopérante. C'est exactement la technique exploitée dans les attaques de type Adversary-in-the-Middle (AiTM) documentées dans de nombreux incidents récents de Business Email Compromise (BEC).

Sur le plan de la détection, la combinaison DLL sideloading, résolution dynamique d'API et C2 chiffré en AES-GCM est conçue pour résister aux approches basées sur les signatures. Les équipes SOC doivent pivoter vers des indicateurs comportementaux : un exécutable comme DiskIntegrityScanner.exe qui établit des connexions réseau sortantes vers des IP inconnues est anormal. Des processus créant des sessions VNC non documentées doivent déclencher des alertes. Les accès inhabituels aux répertoires de profil Chrome depuis des processus non-navigateur constituent un indicateur fort. Les techniques MITRE ATT&CK T1574.002 (DLL Side-Loading), T1539 (Steal Web Session Cookie) et T1021.005 (VNC) fournissent un cadre structuré pour le threat hunting.

La nature évolutive d'Abyssos rend les indicateurs de compromission statiques rapidement obsolètes. La priorité pour les équipes de threat intelligence est de partager des indicateurs comportementaux via des plateformes comme MISP ou des flux STIX/TAXII. En termes de prévention, la revue des politiques de chargement de DLL via AppLocker ou Windows Defender Application Control (WDAC), l'audit des binaires légitimes susceptibles de sideloading, la réduction de la durée de vie des tokens de session et la détection des connexions depuis des localisations inhabituelles via un CASB ou SIEM constituent les contre-mesures les plus efficaces.

Ce qu'il faut retenir

• Abyssos combine VNC furtif, vol de cookies de session et credentials Chrome/Brave via DPAPI — l'authentification MFA ne protège pas contre le détournement de session active.
• Le vecteur d'infection repose sur DLL sideloading via DiskIntegrityScanner.exe, les communications C2 sont chiffrées AES-GCM, et le malware peut s'auto-supprimer pour effacer ses traces.
• Auditer les politiques WDAC/AppLocker, surveiller les comportements réseau anormaux de processus légitimes et réduire la durée de vie des tokens de session sont les contre-mesures prioritaires.