UAC-0247 vise hôpitaux ukrainiens avec CHROMELEVATOR

Ce qui s'est passé

L'équipe nationale de réponse aux incidents informatiques d'Ukraine (CERT-UA) a publié le 16 avril 2026 un rapport détaillant la campagne UAC-0247, observée entre mars et avril 2026 contre des cliniques, des hôpitaux d'urgence et des collectivités territoriales du pays. Le vecteur initial reste le courriel : un message se présentant comme une proposition d'aide humanitaire invite le destinataire à cliquer sur un lien, qui renvoie soit vers un site légitime servant de leurre, soit vers une infrastructure contrôlée par les attaquants. La chaîne d'infection aboutit au déploiement de CHROMELEVATOR, un implant conçu pour détourner les sessions des navigateurs Chromium et exfiltrer cookies, jetons d'authentification et données de session. En ciblant des structures de santé déjà sous tension, UAC-0247 illustre la pression persistante exercée sur les infrastructures civiles ukrainiennes.

Une fois la machine compromise, les attaquants déploient deux outils dédiés. CHROMELEVATOR vise l'extraction des identifiants stockés dans les navigateurs Chromium, tandis que ZAPIXDESK siphonne les données de WhatsApp Desktop. La reconnaissance interne s'appuie sur des scripts maison et des outils publics comme RUSTSCAN, et le mouvement latéral utilise les tunnels LIGOLO-NG et CHISEL pour rester discret. Dans au moins un incident, le mineur de cryptomonnaie XMRIG a été embarqué dans une version modifiée de l'application légitime WireGuard.

Selon The Hacker News et Security Affairs, le CERT-UA relie aussi cette activité à un précédent volet en mars contre des opérateurs de drones FPV du secteur de la défense ukrainienne, distribuant via la messagerie Signal une mise à jour piégée d'un logiciel utilisé par ces équipes.

Pourquoi c'est important

Cibler simultanément des hôpitaux et l'appareil d'État ukrainien combine pression humanitaire et collecte de renseignement. Les outils dédiés CHROMELEVATOR et ZAPIXDESK montrent que les attaquants industrialisent désormais l'extraction de cookies, sessions et conversations chiffrées de bout en bout, en passant par le poste de travail plutôt qu'en cassant le chiffrement. Pour les hôpitaux européens, le mode opératoire est directement transposable : un courriel humanitaire crédible, un site légitime piégé et un navigateur qui devient le point d'entrée vers tout l'écosystème métier.

Ce qu'il faut retenir

• UAC-0247 abuse d'une thématique d'aide humanitaire pour piéger personnels hospitaliers et agents publics ukrainiens.
• CHROMELEVATOR (navigateurs) et ZAPIXDESK (WhatsApp) ciblent les données les plus sensibles du poste de travail.
• À court terme : durcir la politique de mots de passe stockés dans Chromium, restreindre WhatsApp Desktop et bloquer les tunnels sortants type LIGOLO-NG/CHISEL.

Le ciblage d'infrastructures sanitaires ukrainiennes n'est pas un phénomène isolé. Depuis le début de l'invasion russe en 2022, le CERT-UA a documenté plusieurs campagnes visant des établissements de santé, souvent en parallèle d'offensives cinétiques sur le territoire. Cette convergence entre guerre hybride et cyberespionnage illustre une doctrine où la collecte de renseignement humain — identité du personnel médical, correspondances, données patients — sert des objectifs qui dépassent le strict cadre financier. Le recours à l'aide humanitaire comme leurre d'hameçonnage renforce cette lecture : en exploitant la détresse logistique des structures de santé en zone de guerre, UAC-0247 maximise son taux de clic tout en compliquant l'attribution, les hôpitaux disposant rarement de capacités de détection et réponse comparables à celles des grandes administrations ou du secteur de la défense.

Sur le plan technique, l'utilisation combinée de CHROMELEVATOR pour l'extraction de cookies et jetons de session, et de ZAPIXDESK pour l'exfiltration de conversations WhatsApp chiffrées de bout en bout, confirme une tendance observée plus largement chez les groupes affiliés à des intérêts étatiques : contourner le chiffrement applicatif en ciblant directement l'endpoint plutôt que le canal de communication. Voler les identifiants stockés dans un navigateur Chromium donne accès non seulement aux services web professionnels de la cible, mais potentiellement à des portails de gestion hospitalière, des messageries institutionnelles ou des accès VPN réutilisés en authentification unique. C'est ce type de rebond, d'un poste bureautique vers des systèmes critiques, qui explique pourquoi le CERT-UA classe cette activité comme une menace pour la continuité des soins et pas seulement pour la confidentialité des données.

L'ajout d'un mineur XMRIG dans une version modifiée de WireGuard mérite également attention : ce choix suggère que les opérateurs monétisent opportunément les machines compromises pendant les phases de dormance entre deux vagues d'exfiltration, une pratique de plus en plus documentée chez les groupes pro-russes qui combinent espionnage et gains financiers accessoires. L'usage de tunnels chiffrés comme LIGOLO-NG et CHISEL pour le mouvement latéral, associé à des outils de reconnaissance publics comme RUSTSCAN, traduit une volonté de se fondre dans le trafic légitime des réseaux hospitaliers, où la supervision réseau reste souvent limitée par des contraintes budgétaires et l'ancienneté des équipements biomédicaux connectés.

Le lien établi par le CERT-UA avec la campagne de mars visant les opérateurs de drones FPV du secteur défense ukrainien est significatif : il suggère une infrastructure d'attaque mutualisée, où les mêmes chaînes de livraison (Signal, mises à jour logicielles piégées, sites factices générés par IA) sont recyclées selon la cible visée. Cette modularité opérationnelle réduit le coût de développement pour l'attaquant tout en compliquant la corrélation par les équipes de threat intelligence, chaque campagne pouvant sembler isolée si elle n'est pas croisée avec les indicateurs de compromission publiés par le CERT-UA et repris par la communauté internationale via des plateformes comme MISP ou les flux STIX/TAXII des CERT partenaires.