APT28 déploie le malware PRISMEX contre l'Ukraine et l'OTAN

Ce qui s'est passé

Des chercheurs en cybersécurité ont mis au jour une campagne d'espionnage d'une rare sophistication, attribuée à APT28, le groupe de cyberespionnage rattaché au renseignement militaire russe (GRU), également connu sous les noms Forest Blizzard, Fancy Bear ou Pawn Storm. Active depuis au moins septembre 2025, l'opération s'appuie sur une suite d'outils offensifs jusqu'alors inconnue, baptisée PRISMEX. Cette menace, désormais référencée par les analystes sous l'appellation APT28 PRISMEX malware, cible en priorité les institutions gouvernementales et les structures militaires ukrainiennes, ainsi que plusieurs entités implantées dans les pays membres de l'OTAN, en particulier dans les secteurs de la défense, de la logistique et de l'énergie. Les équipes de réponse à incident décrivent une chaîne d'infection modulaire, pensée pour l'exfiltration discrète de documents sensibles et le maintien d'un accès durable aux réseaux compromis.

Le vecteur d'infection initial repose sur des courriels de spear-phishing contenant des documents Excel piégés. Le composant PrismexSheet, une macro VBA malveillante intégrée au fichier, extrait des charges utiles dissimulées par stéganographie et affiche un document leurre relatif à des inventaires de drones pour tromper la vigilance des cibles. Le module PrismexDrop prépare ensuite l'environnement d'exploitation en établissant la persistance via le détournement de DLL COM et des tâches planifiées. Enfin, PrismexStager, un implant basé sur le framework COVENANT, abuse du service de stockage cloud Filen.io pour établir un canal de commande et contrôle discret, difficile à détecter par les solutions de sécurité réseau traditionnelles.

Pourquoi c'est important

Cette campagne illustre l'évolution constante des capacités offensives d'APT28, qui exploite désormais des vulnérabilités récemment divulguées avec une rapidité remarquable. Les failles CVE-2026-21509 et CVE-2026-21513 ont été weaponisées avant même leur publication officielle, avec une infrastructure préparée dès le 12 janvier 2026, soit deux semaines avant la divulgation du premier CVE. Cette capacité d'exploitation quasi-instantanée représente un défi majeur pour les équipes de défense, comme le soulignait récemment un rapport de CrowdStrike sur l'accélération des temps d'intrusion. L'utilisation de services cloud légitimes comme Filen.io pour le C2 rend la détection particulièrement ardue, le trafic se fondant dans les communications normales de l'entreprise. Cette menace s'inscrit dans un contexte plus large de cyberattaques de plus en plus rapides et sophistiquées contre les infrastructures critiques européennes.

Ce qu'il faut retenir

• Les organisations liées à la défense et à la logistique OTAN doivent renforcer leur vigilance face au spear-phishing, notamment les pièces jointes Excel contenant des macros.
• Surveiller les connexions sortantes vers les services de stockage cloud inhabituels (Filen.io, Mega) qui peuvent servir de canaux C2, un enjeu critique pour la stratégie cybersécurité nationale.
• Appliquer sans délai les correctifs pour les CVE récentes et surveiller les indicateurs de compromission publiés par les CERT nationaux, comme le recommande également l'analyse du Patch Tuesday d'avril 2026.

Cette opération s'inscrit dans la continuité d'une longue série de campagnes attribuées à APT28 depuis plus d'une décennie, du piratage du Comité national démocrate américain en 2016 à la perturbation des systèmes informatiques des Jeux olympiques d'hiver de Pyeongchang en 2018 (opération Olympic Destroyer). Depuis l'invasion russe de l'Ukraine en 2022, le CERT-UA et plusieurs éditeurs de threat intelligence, dont Microsoft Threat Intelligence Center et Recorded Future, documentent une intensification continue des opérations de ce groupe contre les chaînes logistiques occidentales soutenant l'effort de guerre ukrainien. La campagne PRISMEX confirme cette tendance de fond : plutôt que de viser uniquement Kiev, APT28 cherche désormais à cartographier et compromettre l'ensemble des flux d'approvisionnement en armement, munitions et équipements qui transitent par les corridors ferroviaires et maritimes d'Europe centrale et orientale.

Le recours au framework offensif open source COVENANT pour l'implant PrismexStager illustre une évolution méthodologique notable : les groupes APT étatiques privilégient de plus en plus des outils publiquement disponibles plutôt que des frameworks propriétaires, rendant l'attribution technique plus complexe et compliquant le travail des équipes de réponse à incident. De la même manière, le choix du service cloud grand public Filen.io comme canal de commande et contrôle s'inscrit dans une pratique désormais bien établie chez les acteurs étatiques russes : détourner des services légitimes (stockage cloud, messageries chiffrées, plateformes collaboratives) pour faire transiter du trafic malveillant au sein de flux réseau considérés comme bénins par les pare-feux et les solutions de filtrage DNS.

L'usage de la stéganographie dans des fichiers Excel pour dissimuler les charges utiles constitue également un signal d'alerte pour les équipes de sécurité défensive : cette technique complique significativement la détection par les moteurs antivirus traditionnels et les sandboxes d'analyse comportementale, qui peinent à identifier des données malveillantes encapsulées dans des structures de fichiers légitimes. Combinée au thème du leurre choisi — un document relatif aux inventaires de drones, particulièrement pertinent dans le contexte du conflit ukrainien — cette approche démontre un travail de reconnaissance social engineering ciblé et documenté en amont de la campagne.

Recommandations de mitigation

• Renforcer la surveillance des macros VBA dans les documents Office, notamment via des politiques de blocage par défaut pour les fichiers issus de sources externes.
• Surveiller les connexions sortantes vers des services de stockage cloud non approuvés par la politique de sécurité de l'organisation (Filen.io, Mega, pCloud, etc.).
• Auditer les tâches planifiées et les clés de registre COM pour détecter les mécanismes de persistance non autorisés.
• Déployer une solution EDR capable d'analyser le comportement post-exécution plutôt que la seule signature statique des fichiers.
• Sensibiliser les équipes des secteurs logistique, ferroviaire et maritime, historiquement moins matures en cybersécurité que le secteur bancaire ou industriel, à la menace spécifique du spear-phishing ciblé.