APT28 infiltre un chantier naval OTAN avec Hookedge

Une intrusion ciblée au cœur de l'industrie de défense de deux pays OTAN

Une nouvelle campagne d'espionnage cyber attribuée à APT28 — également connu sous les noms Swallowtail, Fancy Bear, Forest Blizzard, BlueDelta et FROZENLAKE, et opérant pour le compte du GRU, le renseignement militaire russe — a été documentée ce 20 octobre 2026 par les équipes de Symantec Threat Intelligence. La campagne a visé des organisations dans deux États membres de l'OTAN non nommés, comprenant un chantier naval de construction navale militaire, un fabricant de moteurs d'avions de combat, et une agence nationale des forces de l'ordre. Ces cibles, toutes en lien direct avec les capacités militaires et sécuritaires des pays alliés, s'inscrivent dans la logique d'espionnage stratégique qui caractérise APT28 depuis plus d'une décennie.

L'intrusion au sein du chantier naval a débuté le 24 juillet 2026 lorsqu'un employé a ouvert une pièce jointe malveillante envoyée par email au format Microsoft Word. Ce vecteur d'accès initial — le spear-phishing par pièce jointe bureautique — reste l'un des plus utilisés par APT28, en dépit de sa notoriété. L'efficacité persistante de ce vecteur témoigne de la difficulté à maintenir une vigilance constante dans des environnements professionnels où l'ouverture de documents Word est une pratique quotidienne. Une fois la pièce jointe ouverte, un macro ou une exploitation de vulnérabilité documentaire déclenche le processus d'infection.

Ce qui distingue véritablement cette campagne est l'utilisation d'un chargeur réflectif auparavant non documenté, découvert lors de l'analyse forensique de l'infection par Symantec. Ce nouveau composant a pour rôle de déchiffrer et d'exécuter directement en mémoire vive un payload chiffré, en utilisant une clé cryptographique fournie au moment de l'exécution — ce qui rend l'analyse statique du composant quasiment impossible sans disposer de la clé. Ce type d'outil, dit « fileless », ne laisse aucune trace sur le disque dur, contournant ainsi les solutions antivirus traditionnelles qui analysent les fichiers lors de leur écriture ou de leur accès.

Une fois l'accès initial obtenu, les attaquants ont déployé le backdoor Hookedge, un implant documenté pour la première fois par Recorded Future Insikt Group en août 2026 dans le cadre d'une campagne d'espionnage distincte ciblant des organisations gouvernementales et diplomatiques en Roumanie, en Espagne et en Turquie entre septembre 2025 et début avril 2026. La réutilisation de Hookedge dans cette nouvelle campagne confirme que cet outil est désormais un composant établi de l'arsenal d'APT28 pour des opérations d'espionnage de long terme contre des cibles de haute valeur.

Selon Symantec, les attaquants ont mené une activité dite « hands-on-keyboard » (clavier en main) particulièrement soutenue sur les systèmes du chantier naval. Ils sont revenus à plusieurs reprises sur les hôtes compromis pendant plus d'une semaine pour exfiltrer des données d'identification — identifiants et mots de passe — en utilisant des outils natifs de Windows et des techniques de living-off-the-land pour éviter la détection. Des outils comme Mimikatz ou ses variantes permettent de récupérer des credentials depuis la mémoire Windows (LSASS), donnant aux attaquants les clés pour se déplacer latéralement sur le réseau et accéder à des systèmes plus sensibles.

La reconnaissance réseau a également été documentée sur plusieurs hôtes du réseau de la cible, suggérant des tentatives de mouvement latéral visant des systèmes contenant des informations de conception ou des données de production sensibles. Les données potentiellement visées dans ce type d'intrusion incluent les plans de construction navale, les spécifications techniques des systèmes d'armement embarqués, les carnets de commandes militaires et les données de supply chain des sous-traitants. Pour un service de renseignement militaire, ces informations permettent d'évaluer les capacités de production, les délais de livraison et les points de vulnérabilité de l'adversaire.

Du côté du fabricant de moteurs d'avions militaires, les détails de l'intrusion restent partiels au moment de la publication, Symantec indiquant que l'investigation est en cours. Les deux intrusions semblent s'inscrire dans une campagne coordonnée visant à collecter des renseignements sur les capacités de production industrielle militaire des alliés, dans un contexte où la guerre en Ukraine a mis en lumière l'importance critique de la soutenabilité de la base industrielle de défense des pays membres de l'OTAN.

APT28 est l'un des groupes APT russes les plus actifs et les mieux documentés depuis 2014. Ses opérations passées incluent le piratage du Comité National Démocrate américain en 2016, des attaques contre le Bundestag allemand en 2015, des campagnes contre l'OSCE, plusieurs ministères européens des affaires étrangères, et de nombreuses organisations gouvernementales et militaires en Europe et en Amérique du Nord. En 2026, selon les rapports conjoints des agences de cyber-défense alliées (NSA, CISA, NCSC-UK, BSI, ANSSI), le groupe a significativement intensifié ses opérations contre les membres de l'OTAN qui soutiennent militairement l'Ukraine.

Une menace persistante sur l'industrie de défense européenne

Cette campagne APT28 s'inscrit dans un contexte de menace croissante pesant sur la base industrielle et technologique de défense (BITD) européenne. Depuis le début de la guerre en Ukraine en 2022, les services de contre-espionnage et les agences de cybersécurité de nombreux pays membres de l'OTAN ont documenté une intensification significative des opérations d'espionnage cyber russes ciblant les industriels de défense, les centres de recherche militaire et les chaînes d'approvisionnement en armements. Les industries navale et aéronautique de défense, directement impliquées dans la production de matériels livrés à l'Ukraine, sont particulièrement exposées.

En France, l'ANSSI a publié plusieurs notes de renseignement alarmistes en 2025 et 2026 sur les tentatives d'intrusion visant des industriels de défense français. La Direction Générale de la Sécurité Intérieure (DGSI) a également averti à plusieurs reprises les entreprises françaises du secteur de la défense des risques liés aux cyberattaques d'origine russe et chinoise. Ces mises en garde prennent une résonance particulière à la lumière de la campagne documentée par Symantec. Les sous-traitants de premier et de second rang, souvent moins bien dotés en ressources de sécurité que les grands donneurs d'ordre, constituent des cibles prioritaires car ils permettent d'atteindre indirectement des informations sensibles sur les programmes d'armement.

L'utilisation d'un chargeur réflectif inédit illustre la capacité persistante d'APT28 à innover sur le plan technique malgré une exposition médiatique et un suivi de la communauté de sécurité très importants. Le fait que le groupe soit l'un des plus documentés au monde ne l'a pas conduit à réduire ses activités, mais plutôt à affiner ses outils et techniques. Les équipes de sécurité défensive doivent adapter leurs stratégies de détection : face à des payloads uniquement en mémoire, les approches basées sur l'analyse comportementale des processus, la détection des injections de code, et la surveillance des accès inhabituels aux secrets du système (LSASS, registre) sont bien plus pertinentes que la détection basée sur des signatures de fichiers.

Pour les industriels de la défense en France et en Europe, cette campagne constitue un rappel que leur statut d'acteurs de la BITD les place en première ligne des cibles des services de renseignement étrangers, en particulier dans le contexte géopolitique actuel. Les recommandations de l'ANSSI publiées dans le cadre du renforcement de la cybersécurité des opérateurs d'importance vitale (OIV) et des entités importantes au titre de la directive NIS2 incluent précisément les mesures de détection des mouvements latéraux, la segmentation réseau stricte et la surveillance des accès privilégiés qui auraient pu limiter significativement l'impact de cette intrusion.

Ce qu'il faut retenir

• APT28 a compromis un chantier naval militaire et un fabricant de moteurs d'avions dans deux pays OTAN via une pièce jointe Word, déployant le backdoor Hookedge et un nouveau chargeur réflectif exécutant les payloads directement en mémoire.
• Les attaquants ont maintenu une présence manuelle sur les systèmes pendant plus d'une semaine pour voler des identifiants et effectuer de la reconnaissance réseau, dans une optique d'espionnage industriel militaire.
• Les industriels de la défense doivent déployer des solutions EDR avec analyse comportementale, renforcer la segmentation réseau et former leurs personnels au risque de spear-phishing ciblé sur les documents bureautiques.