Le groupe pro-russe Curly COMrades a utilisé des machines virtuelles pour compromettre des systèmes

La société de cybersécurité Bitdefender a publié, le 4 novembre 2025, un rapport sur le nouveau mode opératoire de Curly COMrades, un groupe APT pro-russe visant des cibles en Europe de l’Est, identifié pour la première fois en août 2025. Les chercheurs y documentent une campagne exploitant la fonctionnalité de virtualisation Microsoft Hyper-V sous Windows.

Curly COMrades prenait le contrôle d’Hyper-V, en désactivant son interface de gestion, afin de télécharger sur la machine cible un mini-environnement virtuel Linux Alpine. Les cybercriminels y installaient ensuite deux logiciels malveillants, CurlyShell et CurlCat, qui leur permettaient d’exécuter des commandes à distance tout en demeurant indétectables dans le trafic réseau.

Cette stratégie aurait permis à Curly COMrades de contourner « de nombreux outils de détection ». Les chercheurs de Bitdefender ne précisent pas quelles organisations ont été visées, mais indiquent avoir collaboré avec le CERT géorgien, à l’origine de l’identification d’un échantillon de CurlCat sur un réseau.