Cyberespionnage : les groupes APT rapprochent leurs opérations, selon ESET

Pour aller plus loin : comment fonctionnent ces groupes de cyberespionnage et quelles méthodes emploient-ils ? Dans le premier épisode de notre podcast INCYBER Voices consacré aux groupes APT, Mathieu Tartare, chercheur senior chez ESET, décrypte leurs modes opératoires et leurs liens avec les intérêts des États.

Les opérations de cyberespionnage liées à des intérêts étatiques restent soutenues. Dans son dernier rapport consacré aux menaces persistantes avancées (APT), ESET Research revient sur les campagnes de plusieurs groupes surveillés entre avril et septembre 2026.

Les groupes associés à la Russie ont poursuivi leurs opérations contre des institutions gouvernementales, des organisations militaires et des acteurs de la défense en Europe, avec une concentration particulièrement importante des cibles en Ukraine. Les chercheurs relèvent également des similitudes croissantes avec les campagnes de groupes liés à la Biélorussie, renforçant leur hypothèse d’un rapprochement opérationnel entre ces acteurs.

Au Moyen-Orient, ESET constate une reprise des activités de FilthyFeline et MuddyWater, deux groupes associés à l’Iran. Leurs opérations ont principalement visé des organisations israéliennes de différents secteurs, ainsi qu’un nombre plus limité d’entreprises américaines.

Les groupes nord-coréens ont conservé leurs cibles traditionnelles, notamment les entreprises technologiques, les acteurs des cryptomonnaies et les développeurs de logiciels. L’Ukraine occupe toutefois une place croissante dans leurs opérations. Le groupe Lazarus a également repris ses campagnes contre le secteur des drones, en recourant notamment à des techniques d’ingénierie sociale reposant sur des prétextes de recrutement.

En Asie, les chercheurs ont identifié des opérations de groupes associés à la Chine contre des organisations taïwanaises du secteur des semi-conducteurs, dans un contexte marqué par l’importance stratégique de cette industrie.

L’intelligence artificielle constitue une autre évolution relevée par ESET. Plusieurs groupes APT utilisent désormais des modèles de langage pour accélérer certaines tâches, notamment le développement de logiciels malveillants et la création de sites servant de leurres.

Les chercheurs rapportent notamment le cas du groupe UAC-0099, associé à la Russie, qui a inséré dans un commentaire de script une requête portant sur la fabrication d’une arme nucléaire. Selon ESET, cette manipulation pourrait avoir visé à déclencher les mécanismes de sécurité des outils d’analyse utilisant des LLM, afin d’empêcher l’examen du code malveillant.

Malgré ces usages, ESET ne constate pas de transformation majeure des activités APT imputable à l’IA sur les six mois étudiés. Les opérations observées restent largement conduites par des opérateurs humains, l’intelligence artificielle servant principalement à accélérer certaines étapes.

Consulter le rapport ESET Research.