Avalon/CrownX : malware modulaire contourne les EDR majeurs

Avalon : un framework tout-en-un pour compromettre, persister et rançonner

Des chercheurs en cybersécurité ont publié le 3 juillet 2026 l'analyse d'un framework malware inédit, baptisé Avalon, qui se distingue par son architecture modulaire intégrant l'ensemble de la chaîne d'attaque — du premier accès jusqu'au déploiement du ransomware CrownX — dans un seul et même cadre logiciel. Documenté conjointement par The Hacker News, GBHackers et CyberPress, Avalon représente une nouvelle génération d'outils offensifs que les chercheurs qualifient de couteau suisse de l'intrusion.

La chaîne d'infection commence par un email soigneusement construit, usurpant l'identité d'un document juridique : convocation, mise en demeure, notification de litige. La pièce jointe n'est pas attachée directement à l'email — une précaution délibérée pour éviter les filtres antimalware des passerelles email — mais le message renvoie la victime vers une archive protégée par mot de passe hébergée sur Proton Drive. Ce service de stockage chiffré est de plus en plus utilisé par les acteurs malveillants précisément parce que son chiffrement de bout en bout empêche l'inspection du contenu par les proxys de sécurité d'entreprise.

À l'intérieur de l'archive se trouve une image ISO. Ce format de fichier — initialement conçu pour les images de disque optique — est devenu un vecteur d'attaque de choix depuis que Microsoft a restreint l'exécution des macros Office en 2022. Une image ISO montée sous Windows apparaît comme un lecteur réseau, et les fichiers qu'elle contient ne portent pas la marque Mark of the Web (MOTW) qui signale aux contrôles de sécurité Windows qu'un fichier provient d'Internet. C'est précisément ce contournement du MOTW qui rend l'ISO attrayant pour les attaquants.

Une fois l'implant Avalon exécuté, l'orchestration commence. Selon l'analyse de The Hacker News, l'implant se présente lui-même comme Avalon dans sa configuration interne et agit comme une couche d'orchestration centrale. Les modules qu'il active successivement couvrent la récolte de credentials depuis les gestionnaires de mots de passe, navigateurs et coffres-forts SSO, l'établissement de la persistance via tâches planifiées et entrées de registre, les mouvements latéraux vers d'autres machines du réseau, la réduction de la télémétrie de sécurité par désactivation ou contournement des agents EDR, et en phase finale le déploiement du ransomware CrownX sur les systèmes ciblés.

Le sous-système d'évasion d'Avalon est particulièrement élaboré. Les chercheurs ont documenté des techniques spécifiques ciblant les produits les plus déployés en entreprise : Microsoft Defender, SentinelOne, CrowdStrike Falcon, Sophos Intercept X, Elastic Endpoint Security, FortiEDR, ESET Endpoint Security, McAfee (Trellix), et Bitdefender GravityZone. Cette liste exhaustive des EDR du marché suggère que les développeurs ont procédé à des tests systématiques contre chacun de ces produits — un investissement significatif qui signe une équipe organisée et déterminée à maximiser le taux de succès de ses attaques.

L'une des particularités notées par GBHackers est le ciblage spécifique des systèmes de sauvegarde et de récupération. CrownX, le composant ransomware, ne chiffre pas indistinctement tous les fichiers : il identifie et neutralise en priorité les outils de backup — agents Veeam, Windows Backup Service, instantanés VSS — avant de procéder au chiffrement des données opérationnelles. Cette approche maximise le levier extorsion en éliminant les options de récupération autonome de la victime avant que celle-ci réalise être sous attaque.

Les chercheurs ont identifié dans le code source d'Avalon des marqueurs de développement assisté par intelligence artificielle. La structure du code, certaines conventions de nommage et l'assemblage de composants de sources hétérogènes suggèrent l'utilisation d'assistants de codage IA pour accélérer le développement. Cette observation rejoint d'autres analyses récentes documentant des malwares générés ou assistés par IA en 2026 — une tendance structurelle qui transforme l'économie du développement de malwares en abaissant le seuil de compétence requis.

Au moment de la publication, les attributions d'Avalon et CrownX à un groupe spécifique n'ont pas été confirmées. Les chercheurs ne l'associent pas à des TTPs connus d'acteurs étatiques. Le profil du code et les indicateurs opérationnels suggèrent un groupe cybercriminel à motivation financière. Aucune campagne d'envergure massive n'a encore été documentée, mais la sophistication du framework — couverture de neuf EDR, intégration complète de la kill chain, ciblage des backups — indique un outil conçu pour une utilisation opérationnelle sérieuse, pas un prototype expérimental.

L'IA dans les mains des attaquants : une nouvelle réalité défensive

La découverte d'Avalon s'inscrit dans une dynamique plus large qui transforme le paysage de la menace ransomware en 2026. Pendant des années, le développement d'un framework malware complet — couvrant l'ensemble de la kill chain depuis le premier accès jusqu'au chiffrement — nécessitait des équipes de développeurs expérimentés, une connaissance approfondie des API Windows de bas niveau, des techniques d'évasion EDR maîtrisées, et des semaines à des mois de travail. L'assistance des modèles de langage pour le codage compresse considérablement ce délai et réduit le niveau d'expertise requis pour assembler des composants complexes.

Ce phénomène d'accélération par l'IA n'est pas hypothétique. Sur ce site, le ransomware JadePuffer exploitait déjà un pilotage autonome par LLM pour frapper en 31 secondes. Un ransomware navigateur généré par DeepSeek a été documenté en parallèle par des chercheurs. Avalon constitue un exemple supplémentaire d'outil malveillant portant des marqueurs d'assistance IA. La Five Eyes Alliance avait averti en juin 2026 que le calendrier pour une menace IA généralisée était de l'ordre des mois, non des années — Avalon illustre concrètement cette accélération.

Pour les équipes de défense, l'implication principale est que la stratégie de détection basée sur les signatures statiques est plus que jamais insuffisante. Un framework comme Avalon, qui cible spécifiquement les mécanismes de détection de neuf familles d'EDR, ne sera pas arrêté par des règles de détection génériques. Les organisations doivent investir dans la détection comportementale — identification des comportements anormaux indépendamment des signatures — la surveillance des accès à Proton Drive depuis des terminaux d'entreprise, et la supervision stricte du montage d'images ISO en dehors des workflows IT validés.

La cible systématique des sauvegardes par CrownX mérite une attention particulière dans la stratégie de résilience. La règle du 3-2-1 (3 copies, 2 supports, 1 hors-site) reste le fondement, mais elle doit être complétée par une validation régulière de l'intégrité des sauvegardes et, surtout, par une isolation de l'infrastructure de backup du reste du réseau. Un agent Veeam accessible depuis le segment utilisateur est une cible aussi attrayante pour Avalon que les serveurs de données eux-mêmes. Les organisations qui n'ont pas isolé leur infrastructure de sauvegarde sont particulièrement exposées à la double extorsion.

Ce qu'il faut retenir

• Bloquer ou alerter sur le montage d'images ISO non autorisées sur les postes de travail — une stratégie de groupe Windows permet de désactiver cette fonctionnalité pour les utilisateurs standards.
• Isoler l'infrastructure de sauvegarde dans un segment réseau séparé non accessible depuis les postes utilisateurs, et tester régulièrement les procédures de restauration.
• L'assistance IA au développement de malwares est documentée sur plusieurs frameworks en 2026 : les équipes de threat intelligence doivent adapter leur rythme de veille en conséquence.