Selon Symantec, un fichier Word piégé a ouvert un chantier naval militaire aux espions russes

Le 24 juillet 2026, dans un chantier naval militaire d'un pays de l'OTAN, un salarié ouvre une pièce jointe Word reçue dans Outlook. Quelques minutes plus tard, un script de reconnaissance est déjà téléchargé sur son poste. C'est le début d'une intrusion que l'équipe Threat Hunter de Symantec, filiale de Broadcom, a détaillée le 20 octobre.

Symantec attribue cette campagne à Swallowtail. C'est le nom qu'il donne au groupe plus connu sous ceux d'APT28 ou de Fancy Bear, que le gouvernement américain présente comme une unité du renseignement militaire russe (GRU). Il y a trois cibles, dans deux pays de l'OTAN qui ne sont pas nommés : le chantier naval, un fabricant de moteurs d'avions militaires et un service de police. Selon The Record, les chercheurs indiquent seulement que les victimes se trouvent en Europe.

Une porte dérobée déjà repérée cet été

L'outil principal s'appelle Hookedge. Cette porte dérobée avait été décrite pour la première fois en août par Insikt Group, l'équipe de recherche de Recorded Future, dans une autre campagne qui visait des cibles gouvernementales et diplomatiques. Elle arrive par un document Word à macros, dont le code est découpé en fragments pour échapper aux antivirus. Elle reçoit ses ordres par une fenêtre cachée du navigateur Edge, d'abord via le service en ligne webhook.site, puis via une adresse IP dédiée.

Le 27 juillet, trois jours après l'infection, les opérateurs accélèrent. Ils déposent une clé SSH sur le poste et ouvrent un tunnel permanent vers leur serveur, ce qui leur donne une route vers le réseau interne. Ils interrogent les machines internes et lancent un script PowerShell, avant de vérifier leurs droits. Ce script force l'ordinateur à s'authentifier auprès d'un faux service local pour capturer des empreintes de mots de passe Windows (NTLM). Selon Symantec, ces empreintes peuvent ensuite être cassées hors ligne ou réutilisées.

Le 31 juillet, les opérateurs lancent un outil inédit, déposé la veille : un chargeur baptisé ld.exe. Il déchiffre un fichier en mémoire et l'exécute. Sans la clé, fournie seulement au lancement, la charge reste inerte. Symantec n'a pas retrouvé cette charge, dont la fonction reste inconnue. Le lanceur était toujours présent fin août, et la dernière activité observée date du 24 septembre.

Qu'ont emporté les pirates ?

On ne le sait pas. Symantec ignore si des données ont été volées et si les attaquants ont gardé un accès continu pendant ces deux mois. Son analyste Dick O'Brien juge toutefois « raisonnable de supposer », vu la nature des cibles, que des informations de défense étaient visées, rapporte The Record. Pour Symantec, l'intrusion est peut-être toujours en cours.

Que faire si vous travaillez pour la défense ?

Aucune faille exotique ici : une pièce jointe ouverte a suffi. Symantec recommande de traiter l'intrusion comme possiblement en cours, et non comme terminée, et de chercher le vol d'identifiants et les tunnels, pas seulement la porte dérobée. Quelques pistes concrètes pour y parvenir :

• surveiller les connexions SSH sortantes depuis les postes bureautiques, qui n'ont en général aucune raison d'en ouvrir ;
• repérer le trafic vers webhook.site et les authentifications NTLM inattendues vers des adresses locales ;
• bloquer les macros dans les documents venus d'Internet ou reçus par e-mail ;
• rechercher les indicateurs publiés par Symantec, dont l'adresse 185.82.218[.]119 (serveur de commande et SSH) et l'empreinte SHA-256 de ld.exe : f1cc91e7427a22027f65d31bbee19c54b602d08d7d93e4745b9cea59fa8132ff.

Ce n'est pas la première fois que des pirates russes s'en prennent aux outils du quotidien d'organisations européennes : le webmail Roundcube en a déjà fait les frais. Une question reste sans réponse : quels pays sont touchés ? Ni Symantec ni les victimes ne les ont nommés.