Dans l’antre de l’Ours : comment Fancy Bear, le cyber-espion russe, continue de déjouer le monde

Voilà près de vingt ans que le monde a aperçu pour la première fois les traces de pattes de Fancy Bear, le groupe russe de cyber-espionnage implacable. Loin de disparaître dans l’ombre, ce prédateur numérique reste aussi actif - et dangereux - que jamais. De nouvelles recherches révèlent des campagnes d’attaque inédites, tandis que des agences internationales tirent la sonnette d’alarme. Une question s’impose : comment Fancy Bear continue-t-il de gagner, et quelles sont réellement les chances de ses cibles ?

Les dernières découvertes de Trend Micro révèlent un groupe à la fois inventif et pragmatique. Sous des pseudonymes comme APT28, Forest Blizzard ou Pawn Storm, Fancy Bear continue de mêler exploits de pointe et vieilles ficelles du cyberespace. La suite malicielle « Prismex », par exemple, exploite des failles zero-day Windows (comme CVE-2026-21513) et des bugs Microsoft Office pour infiltrer les organisations de défense en Ukraine et chez ses alliés européens. Prismex ne se contente pas de voler des secrets : il intègre aussi des commandes destructrices de type wiper, illustrant l’appétit croissant de Fancy Bear pour le sabotage.

Mais l’Ours ne rechigne pas à recycler les méthodes éprouvées. Une campagne récente a exploité une faille Outlook (CVE-2023-23397) pour dérober des empreintes d’authentification NTLMv2 à des utilisateurs sans méfiance, permettant aux attaquants de s’introduire dans les réseaux sans avoir besoin des mots de passe. Parallèlement, des routeurs détournés (notamment des appareils TP-Link) et de vieilles astuces DNS aident le groupe à masquer ses mouvements et à intercepter le trafic chiffré à l’échelle mondiale.

Les experts en sécurité sont unanimes : il n’y a pas que les cibles de haut niveau comme l’OTAN ou les ministères de la Défense qui sont dans la ligne de mire. Collectivités locales, entreprises énergétiques et même petites sociétés peuvent se retrouver dans le viseur de Fancy Bear. La longévité du groupe s’explique par son adaptabilité : il n’hésite pas à utiliser une technique vieille de vingt ans si elle fonctionne aussi bien qu’un exploit flambant neuf. Comme le souligne Feike Hacquebord de Trend Micro : « Pawn Storm n’hésite pas à recourir à de vieilles techniques tant qu’elles restent efficaces. »

Comment les défenseurs peuvent-ils suivre le rythme ? Denis Calderone de Suzu Labs insiste sur la maîtrise des fondamentaux : mises à jour logicielles, authentification multifactorielle, mise à jour du firmware des routeurs et formation rigoureuse des utilisateurs. « Tout cela est réalisable, quel que soit le budget », note Calderone, mais il prévient : une fois que Fancy Bear a pénétré le réseau, la difficulté monte d’un cran - surtout pour les petites structures sans équipe de sécurité dédiée.

Le consensus des experts est clair : le succès de Fancy Bear n’a rien de magique, il repose sur l’exploitation de faiblesses connues et souvent négligées. Les organisations qui réduisent en continu leur surface d’attaque, appliquent des contrôles d’identité stricts et adoptent une posture de « cible permanente » sont les mieux armées pour survivre à l’assaut de l’Ours.

Alors que les griffes de Fancy Bear s’étendent toujours plus loin, la leçon est rude : en cybersécurité, les vieilles ficelles ont la vie dure - et les menaces les plus tenaces disparaissent rarement. Pour les défenseurs, la vigilance, l’adaptabilité et une attention sans relâche aux fondamentaux restent les seuls moyens d’éviter de devenir le prochain trophée de l’Ours.

WIKICROOK

• APT (Advanced Persistent Threat) : Une menace persistante avancée (APT) est une cyberattaque ciblée et de longue durée menée par des groupes expérimentés, souvent soutenus par des États, visant à voler des données ou perturber des opérations.
• Zero : Une vulnérabilité zero-day est une faille de sécurité inconnue de l’éditeur du logiciel, sans correctif disponible, ce qui la rend très précieuse et dangereuse pour les attaquants.
• NTLMv2 hash : Le hash NTLMv2 est un hachage de mot de passe sécurisé utilisé dans l’authentification Microsoft, mais il peut être exploité par des attaquants s’il est capturé, exposant à un risque d’accès non autorisé.
• DNS hijacking : Le détournement DNS consiste à modifier secrètement les paramètres DNS pour rediriger les utilisateurs vers des sites frauduleux ou malveillants à leur insu, afin de voler des données ou propager des malwares.
• Wiper : Un wiper est un malware qui efface ou corrompt des données pour causer des dommages ou effacer les traces, rendant la récupération difficile voire impossible.