Le cyberespionnage change de visage en 2026. En effet, le groupe nord-coréen APT37, aussi appelé ScarCruft, exploite désormais les réseaux sociaux grand public pour infiltrer ses cibles. Les acteurs de la menace approchent leurs cibles sur Facebook et les ajoutent comme amis. Ils transforment ainsi cet exercice de confiance en canal de livraison d’un cheval de Troie appelé RokRAT. The Hacker News Ce cyberespionnage APT37 via réseaux sociaux cible en priorité des personnes liées au secteur de la défense. Ainsi, toute organisation dont les employés utilisent les réseaux sociaux professionnels court un risque réel. Selon le Genians Security Center, cette campagne marque une évolution majeure des tactiques du groupe.
Une mise en confiance méthodique avant l’attaque
APT37 ne frappe pas au hasard. Le groupe suit un processus très précis pour piéger ses victimes. Les attaquants utilisent deux comptes Facebook avec des localisations en Corée du Nord. Ils identifient et sélectionnent leurs cibles grâce à ces profils. Après avoir établi une relation de confiance via des demandes d’amis, ils déplacent la conversation vers Messenger. Genians
Ensuite, le groupe passe à la phase de manipulation. Les attaquants utilisent une technique appelée pretexting. Ils se font passer pour des personnes partageant des documents PDF chiffrés sur des armes militaires via Facebook Messenger ou Telegram. Ils convainquent ensuite leurs cibles d’installer un lecteur PDF dédié pour ouvrir ces fichiers. Genians
Par ailleurs, ce glissement vers Telegram n’est pas anodin. Cependant, il crée chez la victime une fausse impression de sécurité. Le canal de messagerie chiffrée renforce la crédibilité du scénario mis en place par les attaquants. Ce cyberespionnage APT37 via réseaux sociaux exploite ainsi la confiance naturelle des utilisateurs envers ces plateformes.
Un logiciel malveillant caché dans un faux installateur
Une fois la victime convaincue, l’attaque technique démarre. Les opérateurs envoient un fichier ZIP après avoir déplacé la conversation vers Telegram. Cette archive contient une version piégée du logiciel Wondershare PDFelement, quatre documents PDF et un fichier texte avec des instructions d’installation. Cyber Press
Le mécanisme de l’infection est sophistiqué. Un shellcode chiffré s’exécute après le lancement de l’installateur modifié. Il établit une communication avec un serveur de commande et de contrôle. Il télécharge ensuite un second payload caché dans une image JPG. Ce fichier image sert finalement à déployer le malware RokRAT. The Hacker News
Ainsi, le malware se dissimule derrière des opérations apparemment normales. De plus, RokRAT utilise les APIs Zoho WorkDrive avec plusieurs identifiants codés en dur pour se fondre dans le trafic professionnel normal. Les données collectées sont chiffrées en AES-256-CBC avant leur envoi. GBHackers Pour mieux comprendre ces menaces, consultez notre article sur la protection contre les malwares et chevaux de Troie en entreprise.
Des capacités d’espionnage très étendues
Une fois installé, RokRAT donne aux attaquants un accès complet aux systèmes compromis. Le malware collecte les détails du système, les processus en cours, la configuration des disques, l’adresse IP publique et la géolocalisation. Il exfiltre aussi des captures d’écran ainsi que des documents aux formats DOC, XLS, PPT, PDF, HWP et TXT. Il capture également des enregistrements audio mobiles. GBHackers
Par ailleurs, le malware vérifie la présence de certains outils de sécurité. Il peut aussi déposer un faux fichier de mise à jour nommé « OfficeUpdate.exe » pour maintenir sa présence sur le système. Cependant, ce qui rend cette campagne de cyberespionnage APT37 via réseaux sociaux particulièrement dangereuse, c’est sa capacité à contourner les défenses classiques. En effet, les contrôles basés uniquement sur des signatures sont insuffisants face à cette menace. Les organisations doivent déployer des solutions EDR comportementales capables de détecter les chaînes de processus suspects, les binaires non signés et l’activité suspecte autour de dism.exe. GBHackers
Les bonnes pratiques pour protéger son organisation
Cette campagne rappelle des leçons fondamentales pour les équipes IT et les responsables de la sécurité. D’abord, les employés doivent apprendre à identifier les tentatives d’ingénierie sociale sur les réseaux sociaux. Ensuite, toute demande d’installation d’un logiciel reçue via Facebook ou Telegram doit déclencher une alerte immédiate.
Par ailleurs, les organisations doivent renforcer leurs politiques d’utilisation des réseaux sociaux sur les postes de travail professionnels. De plus, les équipes de sécurité doivent surveiller les connexions sortantes vers des services cloud légitimes comme Zoho WorkDrive. Ces services servent en effet de couverture au trafic malveillant dans cette campagne de cyberespionnage APT37 via réseaux sociaux.
Enfin, la sensibilisation reste le premier rempart. Un employé averti représente une barrière efficace contre ce type d’attaque. Notre dossier sur la sensibilisation des employés aux cybermenaces en entreprise vous guide dans la mise en place d’un programme de formation adapté.
Conclusion
La campagne de cyberespionnage APT37 via réseaux sociaux marque un tournant dans les tactiques des groupes étatiques. Facebook et Telegram ne sont plus de simples outils de communication. Ils deviennent des vecteurs d’attaque sophistiqués entre les mains de groupes parrainés par des États. Ainsi, les organisations doivent intégrer les réseaux sociaux dans leur modèle de menace. En définitive, la confiance numérique est désormais une arme que les attaquants retournent contre leurs cibles.
Source : Genians Security Center (GSC)
