UAC-0255 usurpe le CERT-UA et diffuse le RAT AGEWHEEZE

La veille cybersécurité permanente est devenue une nécessité opérationnelle pour les équipes de sécurité, permettant d'anticiper les nouvelles menaces, de prioriser les actions de remédiation et d'adapter les stratégies de défense en temps réel. L'actualité de la cybersécurité est marquée par une accélération sans précédent des menaces, des vulnérabilités et des incidents affectant organisations et particuliers à l'échelle mondiale. Les équipes de sécurité doivent maintenir une veille permanente pour anticiper les risques émergents, appliquer les correctifs critiques et adapter leurs stratégies de défense. Cette analyse décrypte les derniers événements marquants du paysage cyber et leurs implications concrètes pour la protection de vos systèmes d'information. À travers l'analyse de UAC-0255 usurpe le CERT-UA et diffuse le RAT AGEWH, nous vous proposons un décryptage complet des enjeux et des solutions à mettre en œuvre.

Ce qui s'est passé

Les 26 et 27 mars 2026, le groupe de menaces identifié comme UAC-0255 a lancé une campagne massive de phishing en se faisant passer pour le CERT-UA, l'agence ukrainienne de réponse aux incidents cyber. Les e-mails frauduleux, envoyés à environ 1 million de boîtes ukr.net, incitaient les destinataires à installer un prétendu « outil de protection spécialisé » contenu dans une archive ZIP protégée par mot de passe hébergée sur Files.fm.

L'archive CERT_UA_protection_tool.zip contenait en réalité AGEWHEEZE, un RAT (Remote Access Trojan) développé en Go. Ce malware offre un large éventail de capacités : exécution de commandes, gestion de fichiers, streaming de l'écran en temps réel, émulation de souris et clavier, interaction avec le presse-papiers, gestion des processus et services, et ouverture d'URL sur l'hôte compromis.

L'enquête du CERT-UA a révélé que le site cert-ua.tech, créé pour crédibiliser l'attaque, contenait des références au canal Telegram CyberSerp. Le 28 mars 2026, ce même canal a publiquement revendiqué l'opération. Malgré l'ampleur du ciblage — organismes d'État, centres médicaux, entreprises de sécurité, institutions financières et éducatives — le CERT-UA a évalué l'attaque comme globalement infructueuse, seuls quelques appareils personnels d'employés du secteur éducatif ayant été infectés.

Pourquoi c'est important

Cette campagne illustre une tendance préoccupante : l'usurpation d'identité d'autorités de cybersécurité pour distribuer des malwares. En se faisant passer pour un organisme de confiance chargé de la protection numérique, les attaquants exploitent précisément le réflexe de vigilance des utilisateurs. C'est une attaque par ingénierie sociale d'un cynisme particulier : les victimes pensent se protéger en installant le logiciel malveillant.

Le choix du langage Go pour développer AGEWHEEZE n'est pas anodin. Go produit des binaires statiques multi-plateformes, difficilement analysables par les antivirus traditionnels, et permet un développement rapide de malwares sophistiqués. La revendication publique via Telegram suggère un acteur motivé par la notoriété plutôt que par l'espionnage étatique classique, bien que le contexte géopolitique ukrainien reste un facteur déterminant.

Ce qu'il faut retenir

• Ne jamais installer de logiciel à partir d'un lien reçu par e-mail, même s'il semble provenir d'une autorité de confiance comme le CERT-FR ou l'ANSSI.
• Vérifier systématiquement les domaines expéditeurs : les CERT officiels n'utilisent pas de domaines tiers comme Files.fm pour distribuer des outils.
• Sensibiliser les équipes aux techniques d'usurpation d'identité d'organismes de cybersécurité dans vos programmes de formation anti-phishing.

Plan de remédiation et mesures correctives

La remédiation de cette problématique nécessite une approche structurée en plusieurs phases. En priorité immédiate, les équipes de sécurité doivent identifier les systèmes exposés, appliquer les correctifs disponibles et mettre en place des règles de détection temporaires. À moyen terme, il convient de renforcer l'architecture de sécurité par la segmentation réseau, le durcissement des configurations et le déploiement de solutions de monitoring avancées. À long terme, l'adoption d'une approche Zero Trust, la formation continue des équipes et l'intégration de la sécurité dans les processus DevOps permettent de réduire structurellement la surface d'attaque et d'améliorer la résilience globale de l'infrastructure.