Au cœur de la campagne, ESET a identifié deux outils malveillants spécialement développés par Webworm.

EchoCreep

• Backdoor utilisant Discord comme canal de communication C2.
• Permet d’envoyer des commandes aux machines compromises.
• Peut transférer des fichiers volés et envoyer des rapports d’activité aux opérateurs.

GraphWorm

• Backdoor s’appuyant sur l’API Microsoft Graph.
• Cette API sert normalement à automatiser l’accès aux services Microsoft 365 (Outlook, OneDrive, etc.).
• Les attaquants l’utilisent pour faire passer leurs communications pour du trafic d’entreprise légitime.

Lors de leur enquête, les chercheurs d’ESET ont réussi à décrypter plus de 400 messages Discord liés à l’opération, offrant un aperçu détaillé de la façon dont les pirates contrôlaient les machines infectées et géraient les données volées.

Quand les services cloud deviennent des outils d’espionnage

L’un des aspects les plus marquants de la campagne Webworm est l’utilisation de plateformes cloud populaires pour mener les attaques.

Les services détournés incluent notamment :

• Discord — canal de commande et de transfert de fichiers utilisé par EchoCreep.
• Microsoft Graph API — utilisé par GraphWorm pour communiquer via les environnements Microsoft 365.
• Microsoft OneDrive — stockage ou transfert de données dérobées.
• GitHub — utilisé dans l’infrastructure de l’opération et pour soutenir certaines communications.

Le principe est simple : plutôt que de communiquer avec des serveurs suspects facilement bloqués par les entreprises, les attaquants passent par des services que les organisations utilisent déjà au quotidien.

Bloquer totalement des plateformes comme Microsoft 365 ou Discord est souvent impossible dans un environnement professionnel, ce qui offre aux attaquants un canal de communication discret et durable.

Des gouvernements européens dans le viseur

Selon l’analyse d’ESET, Webworm a récemment déplacé une partie de ses opérations vers des institutions gouvernementales européennes.

Les pays touchés incluent :

• Belgique
• Italie
• Pologne
• Serbie
• Espagne

Les chercheurs ont également détecté des activités visant une université en Afrique du Sud, ce qui suggère que la campagne dépasse le cadre strict de l’Europe.

Les rapports publics ne précisent toutefois pas quelles agences ou quels ministères ont été compromis ou ciblés.

Une évolution stratégique du malware

Webworm est actif au moins depuis 2022 et utilisait auparavant des chevaux de Troie d’accès à distance (RAT) bien connus, notamment Trochilus et 9002 RAT (McRat).

Mais les chercheurs observent désormais un changement de stratégie :

• utilisation d’outils proxy et de tunneling plus légers
• déploiement de backdoors minimalistes
• réduction de la présence de malware visible sur les machines compromises

Ces techniques rendent les attaques plus discrètes, car le trafic réseau généré ressemble davantage à une activité normale.

Pourquoi ces attaques sont plus difficiles à détecter

La campagne Webworm illustre une tendance majeure du cyber‑espionnage moderne : se cacher dans l’infrastructure légitime d’Internet.

Lorsque des services largement utilisés — Discord, OneDrive ou les API Microsoft — servent de canal de communication, les outils de sécurité doivent distinguer entre usage normal et activité malveillante sur la même plateforme.

Dans ce contexte, bloquer simplement une adresse IP ou un domaine ne suffit plus. Les organisations doivent s’appuyer davantage sur :

• l’analyse comportementale
• la surveillance des identités et des comptes
• la détection d’anomalies dans le trafic cloud

L’évolution observée chez Webworm montre que les groupes d’espionnage adaptent rapidement leurs outils pour se fondre dans l’écosystème du cloud moderne, compliquant encore la tâche des équipes de cybersécurité.

Au cœur de la campagne, ESET a identifié deux outils malveillants spécialement développés par Webworm.

EchoCreep

• Backdoor utilisant Discord comme canal de communication C2.
• Permet d’envoyer des commandes aux machines compromises.
• Peut transférer des fichiers volés et envoyer des rapports d’activité aux opérateurs.

GraphWorm

• Backdoor s’appuyant sur l’API Microsoft Graph.
• Cette API sert normalement à automatiser l’accès aux services Microsoft 365 (Outlook, OneDrive, etc.).
• Les attaquants l’utilisent pour faire passer leurs communications pour du trafic d’entreprise légitime.

Lors de leur enquête, les chercheurs d’ESET ont réussi à décrypter plus de 400 messages Discord liés à l’opération, offrant un aperçu détaillé de la façon dont les pirates contrôlaient les machines infectées et géraient les données volées.

Quand les services cloud deviennent des outils d’espionnage

L’un des aspects les plus marquants de la campagne Webworm est l’utilisation de plateformes cloud populaires pour mener les attaques.

Les services détournés incluent notamment :

• Discord — canal de commande et de transfert de fichiers utilisé par EchoCreep.
• Microsoft Graph API — utilisé par GraphWorm pour communiquer via les environnements Microsoft 365.
• Microsoft OneDrive — stockage ou transfert de données dérobées.
• GitHub — utilisé dans l’infrastructure de l’opération et pour soutenir certaines communications.

Le principe est simple : plutôt que de communiquer avec des serveurs suspects facilement bloqués par les entreprises, les attaquants passent par des services que les organisations utilisent déjà au quotidien.

Bloquer totalement des plateformes comme Microsoft 365 ou Discord est souvent impossible dans un environnement professionnel, ce qui offre aux attaquants un canal de communication discret et durable.

Des gouvernements européens dans le viseur

Selon l’analyse d’ESET, Webworm a récemment déplacé une partie de ses opérations vers des institutions gouvernementales européennes.

Les pays touchés incluent :

• Belgique
• Italie
• Pologne
• Serbie
• Espagne

Les chercheurs ont également détecté des activités visant une université en Afrique du Sud, ce qui suggère que la campagne dépasse le cadre strict de l’Europe.

Les rapports publics ne précisent toutefois pas quelles agences ou quels ministères ont été compromis ou ciblés.

Une évolution stratégique du malware

Webworm est actif au moins depuis 2022 et utilisait auparavant des chevaux de Troie d’accès à distance (RAT) bien connus, notamment Trochilus et 9002 RAT (McRat).

Mais les chercheurs observent désormais un changement de stratégie :

• utilisation d’outils proxy et de tunneling plus légers
• déploiement de backdoors minimalistes
• réduction de la présence de malware visible sur les machines compromises

Ces techniques rendent les attaques plus discrètes, car le trafic réseau généré ressemble davantage à une activité normale.

Pourquoi ces attaques sont plus difficiles à détecter

La campagne Webworm illustre une tendance majeure du cyber‑espionnage moderne : se cacher dans l’infrastructure légitime d’Internet.

Lorsque des services largement utilisés — Discord, OneDrive ou les API Microsoft — servent de canal de communication, les outils de sécurité doivent distinguer entre usage normal et activité malveillante sur la même plateforme.

Dans ce contexte, bloquer simplement une adresse IP ou un domaine ne suffit plus. Les organisations doivent s’appuyer davantage sur :

• l’analyse comportementale
• la surveillance des identités et des comptes
• la détection d’anomalies dans le trafic cloud

L’évolution observée chez Webworm montre que les groupes d’espionnage adaptent rapidement leurs outils pour se fondre dans l’écosystème du cloud moderne, compliquant encore la tâche des équipes de cybersécurité.