Cinq campagnes vicieuses pour un seul but : l'espionnage

WithSecure a relié cinq campagnes distinctes au groupe GreyVibe en traçant les infrastructures, les logiciels malveillants et les modes opératoires qu'elles partagent. Chaque campagne cible une vulnérabilité spécifique, de la boîte de réception au smartphone.

• PhantomMail : Cette campagne de spear-phishing (hameçonnage ciblé) usurpe l'identité d'agences gouvernementales et énergétiques ukrainiennes. Les victimes reçoivent des e-mails avec des liens vers des archives ZIP ou RAR hébergées sur Google Drive ou 4sync. L'ouverture du fichier déploie la chaîne d'infection PhantomRelay tandis qu'un leurre – comme un faux PDF officiel ou un message d'erreur – masque l'attaque .
• PhantomClick : Une évolution de la stratégie d'hameçonnage qui utilise la technique dite du « ClickFix ». Les victimes sont amenées à exécuter elles-mêmes des commandes PowerShell malveillantes via de fausses invites CAPTCHA ou des contrôles de sécurité Cloudflare, après avoir cliqué sur un lien dans un PDF trompeur. Ce dernier peut rediriger vers une véritable réunion Zoom pour ne pas éveiller les soupçons .
• PrincessClub : Cette opération cible les individus pour une surveillance mobile. Les opérateurs usurpent l'identité de contacts sur Telegram et dirigent les victimes vers de faux sites de contenu pour adultes qui diffusent le logiciel espion Android FallSpy .
• DroneLink : Une campagne spécifiquement conçue pour l'espionnage contre les entités de défense ukrainiennes, utilisant des leurres sur le thème des drones et de l'armée pour compromettre les réseaux .
• Nebo : Menée simultanément depuis août 2025, cette campagne distribue également le logiciel espion FallSpy, mais utilise un ensemble distinct de chargeurs malveillants personnalisés .

Un arsenal forgé par l'homme et la machine

L'efficacité de GreyVibe repose sur une suite de logiciels malveillants développée sur mesure, dont certaines parties, selon WithSecure (avec un degré de confiance modéré), ont été construites avec l'aide significative de grands modèles de langage (LLM) comme ChatGPT et Gemini. Ironie du sort, les défauts de conception introduits par ce développement assisté par IA se sont avérés être une erreur opérationnelle fatale pour le groupe, offrant aux chercheurs des mois de visibilité sur les activités des pirates .

• PhantomRelay : Un cheval de Troie d'accès à distance (RAT) pour Windows, principal vecteur d'accès initial, distribué via des chargeurs basés sur PyInstaller ou JavaScript .
• LegionRelay : Un outil de deuxième phase plus polyvalent. Ce RAT basé sur PowerShell communique avec les serveurs de commande et de contrôle (C2) via une API REST. Ses capacités incluent l'énumération et l'exfiltration de fichiers, la capture d'écran, le vol de données de navigateurs, Telegram et WhatsApp, ainsi que l'accès par bureau à distance (RDP). Les chercheurs ont identifié des défauts de codage cruciaux dans LegionRelay, qu'ils jugent être la conséquence directe d'un développement assisté par LLM .
• FallSpy : Un outil de surveillance Android utilisé dans les campagnes PrincessClub et Nebo depuis août 2025. Il collecte les contacts, l'historique des appels, les applications installées, les détails de la carte SIM, les informations sur l'appareil, le SSID Wi-Fi, la localisation, l'adresse IP publique et les fichiers multimédias .
• Des obfuscateurs en rotation : Le groupe a alterné plusieurs chargeurs et obfuscateurs personnalisés pour échapper à la détection, notamment LOOKVALPS (PowerShell), LOOKVALJS (JavaScript), DAYLIGHT (PowerShell, remplaçant LOOKVALPS à partir d'octobre 2025) et TEASOUP (JavaScript, remplaçant LOOKVALJS à partir de mars 2026) .

Agent d'État, cybercriminel ou hybride ? Le casse-tête de l'attribution

Bien que les activités de GreyVibe servent clairement les intérêts de l'État russe, l'identité du groupe ne relève pas d'une simple attribution étatique. L'analyse de WithSecure pointe vers une affiliation plus complexe et hybride.

Les chercheurs ont une haute confiance dans le fait que les opérations de GreyVibe s'alignent sur les objectifs de renseignement russes dans le conflit ukrainien, en se basant sur la victimologie (cibles militaires, gouvernementales et d'infrastructures critiques) et les actions observées sur les objectifs . Ils sont tout aussi confiants que les opérateurs sont russophones et travaillent dans le fuseau horaire de Moscou (UTC+3), sur la base des commentaires dans le code, des paramètres de langue des panneaux d'administration et de l'analyse de leurs heures de travail .

Cependant, la confiance est plus faible quant à la nature du groupe en tant que pure menace persistante avancée (APT) d'État-nation. Plusieurs indices suggèrent des liens étroits avec l'écosystème de la cybercriminalité. Des variantes de PhantomRelay sont apparues dans des clusters de cybercriminalité non liés, et le groupe a utilisé un outil de création de fichiers ISO unique, potentiellement lié au célèbre écosystème TrickBot. D'autres indicateurs incluent le téléchargement d'échantillons de développement sur VirusTotal par les opérateurs, l'utilisation d'argot Internet pour nommer les fichiers (comme « letsrollboyos » et « cuteuwu »), et le déploiement d'un mineur de cryptomonnaie XMRig sur certaines machines infectées par LegionRelay .

Avec un degré de confiance modéré, WithSecure estime que GreyVibe a des connexions avec la pègre criminelle au sens large, mais la nature exacte de la relation – pirates d'État recyclés, affiliés sous contrat ou équipe hybride – reste floue. L'évaluation note toutefois qu'il existe des précédents historiques de services de renseignement russes cooptant des groupes de cybercriminels pour des missions alignées sur les intérêts de l'État . En résumé, GreyVibe semble être un groupe d'un niveau de sophistication faible à modéré qui, grâce à un usage offensif massif de l'IA, « se bat dans une catégorie au-dessus de la sienne » avec un effet opérationnel redoutable .

Cinq campagnes vicieuses pour un seul but : l'espionnage

WithSecure a relié cinq campagnes distinctes au groupe GreyVibe en traçant les infrastructures, les logiciels malveillants et les modes opératoires qu'elles partagent. Chaque campagne cible une vulnérabilité spécifique, de la boîte de réception au smartphone.

• PhantomMail : Cette campagne de spear-phishing (hameçonnage ciblé) usurpe l'identité d'agences gouvernementales et énergétiques ukrainiennes. Les victimes reçoivent des e-mails avec des liens vers des archives ZIP ou RAR hébergées sur Google Drive ou 4sync. L'ouverture du fichier déploie la chaîne d'infection PhantomRelay tandis qu'un leurre – comme un faux PDF officiel ou un message d'erreur – masque l'attaque .
• PhantomClick : Une évolution de la stratégie d'hameçonnage qui utilise la technique dite du « ClickFix ». Les victimes sont amenées à exécuter elles-mêmes des commandes PowerShell malveillantes via de fausses invites CAPTCHA ou des contrôles de sécurité Cloudflare, après avoir cliqué sur un lien dans un PDF trompeur. Ce dernier peut rediriger vers une véritable réunion Zoom pour ne pas éveiller les soupçons .
• PrincessClub : Cette opération cible les individus pour une surveillance mobile. Les opérateurs usurpent l'identité de contacts sur Telegram et dirigent les victimes vers de faux sites de contenu pour adultes qui diffusent le logiciel espion Android FallSpy .
• DroneLink : Une campagne spécifiquement conçue pour l'espionnage contre les entités de défense ukrainiennes, utilisant des leurres sur le thème des drones et de l'armée pour compromettre les réseaux .
• Nebo : Menée simultanément depuis août 2025, cette campagne distribue également le logiciel espion FallSpy, mais utilise un ensemble distinct de chargeurs malveillants personnalisés .

Un arsenal forgé par l'homme et la machine

L'efficacité de GreyVibe repose sur une suite de logiciels malveillants développée sur mesure, dont certaines parties, selon WithSecure (avec un degré de confiance modéré), ont été construites avec l'aide significative de grands modèles de langage (LLM) comme ChatGPT et Gemini. Ironie du sort, les défauts de conception introduits par ce développement assisté par IA se sont avérés être une erreur opérationnelle fatale pour le groupe, offrant aux chercheurs des mois de visibilité sur les activités des pirates .

• PhantomRelay : Un cheval de Troie d'accès à distance (RAT) pour Windows, principal vecteur d'accès initial, distribué via des chargeurs basés sur PyInstaller ou JavaScript .
• LegionRelay : Un outil de deuxième phase plus polyvalent. Ce RAT basé sur PowerShell communique avec les serveurs de commande et de contrôle (C2) via une API REST. Ses capacités incluent l'énumération et l'exfiltration de fichiers, la capture d'écran, le vol de données de navigateurs, Telegram et WhatsApp, ainsi que l'accès par bureau à distance (RDP). Les chercheurs ont identifié des défauts de codage cruciaux dans LegionRelay, qu'ils jugent être la conséquence directe d'un développement assisté par LLM .
• FallSpy : Un outil de surveillance Android utilisé dans les campagnes PrincessClub et Nebo depuis août 2025. Il collecte les contacts, l'historique des appels, les applications installées, les détails de la carte SIM, les informations sur l'appareil, le SSID Wi-Fi, la localisation, l'adresse IP publique et les fichiers multimédias .
• Des obfuscateurs en rotation : Le groupe a alterné plusieurs chargeurs et obfuscateurs personnalisés pour échapper à la détection, notamment LOOKVALPS (PowerShell), LOOKVALJS (JavaScript), DAYLIGHT (PowerShell, remplaçant LOOKVALPS à partir d'octobre 2025) et TEASOUP (JavaScript, remplaçant LOOKVALJS à partir de mars 2026) .

Agent d'État, cybercriminel ou hybride ? Le casse-tête de l'attribution

Bien que les activités de GreyVibe servent clairement les intérêts de l'État russe, l'identité du groupe ne relève pas d'une simple attribution étatique. L'analyse de WithSecure pointe vers une affiliation plus complexe et hybride.

Les chercheurs ont une haute confiance dans le fait que les opérations de GreyVibe s'alignent sur les objectifs de renseignement russes dans le conflit ukrainien, en se basant sur la victimologie (cibles militaires, gouvernementales et d'infrastructures critiques) et les actions observées sur les objectifs . Ils sont tout aussi confiants que les opérateurs sont russophones et travaillent dans le fuseau horaire de Moscou (UTC+3), sur la base des commentaires dans le code, des paramètres de langue des panneaux d'administration et de l'analyse de leurs heures de travail .

Cependant, la confiance est plus faible quant à la nature du groupe en tant que pure menace persistante avancée (APT) d'État-nation. Plusieurs indices suggèrent des liens étroits avec l'écosystème de la cybercriminalité. Des variantes de PhantomRelay sont apparues dans des clusters de cybercriminalité non liés, et le groupe a utilisé un outil de création de fichiers ISO unique, potentiellement lié au célèbre écosystème TrickBot. D'autres indicateurs incluent le téléchargement d'échantillons de développement sur VirusTotal par les opérateurs, l'utilisation d'argot Internet pour nommer les fichiers (comme « letsrollboyos » et « cuteuwu »), et le déploiement d'un mineur de cryptomonnaie XMRig sur certaines machines infectées par LegionRelay .

Avec un degré de confiance modéré, WithSecure estime que GreyVibe a des connexions avec la pègre criminelle au sens large, mais la nature exacte de la relation – pirates d'État recyclés, affiliés sous contrat ou équipe hybride – reste floue. L'évaluation note toutefois qu'il existe des précédents historiques de services de renseignement russes cooptant des groupes de cybercriminels pour des missions alignées sur les intérêts de l'État . En résumé, GreyVibe semble être un groupe d'un niveau de sophistication faible à modéré qui, grâce à un usage offensif massif de l'IA, « se bat dans une catégorie au-dessus de la sienne » avec un effet opérationnel redoutable .