Les leurres GreyVibe générées par l'IA et les logiciels malveillants modulaires redéfinissent le cyberespionnage moderne

Un nouvel acteur cyber-espionnage que les chercheurs de WithSecure ont marqué comme GreyVibe a montré ces derniers mois une combinaison inquiétante: des leurres hautement polis générés avec des outils d'intelligence artificielle et une boîte à outils de malware propre qui cible les objectifs militaires, gouvernementaux, civils et commerciaux avec un intérêt particulier pour les organisations liées à l'Ukraine. Selon l'analyse publique de WithSecure ( rapport de WithSecure), l'opérateur a utilisé des leurres de courrier et de fausses pages pour accéder à distance Trojans et logiciels espions mobiles, suggérant une campagne multiforme conçue pour obtenir l'intelligence et l'accès persistant.

Le plus pertinent du point de vue tactique Ce n'est pas seulement que les appâts sont crédibles, mais que beaucoup proviennent de contenus et d'actifs générés avec des modèles de langage et d'image : textes de phishing, interfaces de faux sites et graphiques qui imitent les portails officiels. Cette automatisation permet de produire une échelle et un réalisme difficiles à détecter sans contrôles techniques et sans formation adéquate. De plus, des chercheurs ont identifié des logiciels malveillants comme LegionRelay et PhantomRelay (PowerShell RATs) et FallSpy sur Android, ainsi que des outils d'obfuscation avec des noms comme LOOKVALJS et DAYLIGHT, qui ont probablement incorporé l'aide de l'IA dans leur développement.

L'attribution politique apparaît comme une bande grise. Il y a des signes linguistiques et tactiques qui pointent vers les locuteurs russes et vers les temps UTC + 3, et les campagnes sont alignées sur ce qui serait l'intérêt de l'État pour les objectifs ukrainiens. Cependant, WithSecure met en évidence un comportement atypique pour un acteur d'État mature : exposition d'échantillons de développement sur des plates-formes publiques, utilisation occasionnelle d'une usine minière de cryptomonéda dans des systèmes compromis et réutilisation de composants associés à des groupes criminels. Tout cela suggère une possibilité d'hybridation entre les acteurs criminels et les éléments liés à l'État, ou des opérations criminelles qui reçoivent ou suivent des orientations extérieures.

Les modalités de l'attaque observées vont du phishing de vitesse avec des fichiers ZIP / RAR hébergés dans des services cloud, de fausses pages de vérification qui induisent des commandes auto-exécutables (imitant CAPTCHAs ou des vérifications Cloudflare), des sites de rencontres frauduleux ou du contenu adulte qui installent des logiciels espions mobiles et des pages caritatives ou des infections à thème drone pour capturer le personnel militaire ou volontaire. Les bits axés sur les applications de communication (par exemple, simulations de zoom ou faux portails militaires) cherchent à la fois des identifiants et l'exécution de code à distance et l'exfiltration de messagerie de Telegram et WhatsApp.

Conséquences pour les organisations et les particuliers: La combinaison de leurres réalistes et de logiciels malveillants modulaires augmente le risque d'intrusion et de vol d'intelligence sensible, et la présence de capacités de capture audio et vidéo via WebRTC augmente les conséquences de la perte de confidentialité et de l'exposition aux opérations en temps réel. Le fait qu'une partie du développement apparaît dans les espaces publics facilite également l'identification des indicateurs techniques par les défenseurs, mais ne réduit pas le danger opérationnel pour les équipements qui ne disposent pas de contrôles spécifiques contre ces techniques.

Pour atténuer cette menace, il existe un ensemble de mesures techniques et opérationnelles qui devraient être mises en œuvre en priorité. D'un point de vue technique, il est essentiel d'appliquer le filtrage et l'inspection du courrier qui détecte les liens vers les nuages publics et les fichiers compressés entrants, force l'authentification multifactorielle robuste et effectue des applications critiques pour éviter l'exécution arbitraire de PowerShell ou binaire non approuvé. Les équipes de sécurité devraient intégrer les règles d'IoC et de détection accessibles au public - par exemple la liste des indicateurs accompagnant l'analyse WithSecure ( IoCs à GitHub) - et ajuster les détections EDR pour la recherche spécifique de chaînes et de comportements associés à LegionRelay, PhantomRelay et FallSpy logiciels espions mobiles.

Sur les plans humain et procédural, il est essentiel de former le personnel à reconnaître les leurres sophistiqués: fausses pages de vérification, demandes de clics impliquant l'exécution de commandes et de faux profils sur les réseaux sociaux à la recherche de conversations pour induire la confiance. Les domaines techniques devraient coordonner des règles claires sur l'utilisation des dispositifs personnels et séparer clairement l'accès sensible dans les environnements présentant un risque minimal d'exposition. Il convient également d'examiner les politiques d'ingestion de fichiers des services cloud et de vérifier toute utilisation légitime qui peut être utilisée comme vecteur de livraison.

Enfin, la nature hybride de l'acteur force à maintenir une position proactive de chasse à la menace : prioriser la surveillance des communications sortantes vers des domaines suspects, suivre les artefacts inhabituels dans des équipes qui traitent des informations sensibles, et travailler avec les communautés d'échange de renseignements pour mettre à jour les règles et les blocages. Pour des contextes plus larges de sensibilisation et de bonnes pratiques en matière de défense de ces opérations, des documents de référence sur la détection et la réponse aux campagnes d'espionnage et de spyware peuvent être consultés sur des portails officiels tels que le CNSC du Royaume-Uni ( Comment identifier les courriels suspects), en plus de l'analyse technique de WithSecure.