En Bref

• Le 8 octobre 2025, une cyberattaque nommée « PhantomCaptcha » a visé les principales organisations humanitaires et bureaux gouvernementaux ukrainiens.
• Les attaquants ont utilisé des emails de spear-phishing avec des PDF malveillants, se faisant passer pour le Bureau du Président ukrainien.
• Les victimes ont été attirées vers un faux site Zoom et incitées à exécuter une commande cachée, installant un logiciel espion (RAT).
• L’infrastructure de l’opération a nécessité six mois de préparation mais n’a été active qu’un seul jour.
• Les chercheurs soupçonnent des liens avec des groupes de hackers russes, des preuves pointant vers le groupe COLDRIVER affilié au FSB.

Le Piège Cybernétique : Déroulement de l’Attaque

Imaginez une salle de guerre dans l’ombre numérique : alors que les bouées de sauvetage humanitaires de l’Ukraine travaillaient sans relâche, leurs boîtes mail ont reçu des messages semblant provenir du Bureau du Président. En pièce jointe : un PDF apparemment urgent. Le piège était tendu. Lorsque des travailleurs anxieux ont cliqué sur le lien à l’intérieur, ils ne rejoignaient pas un vrai appel Zoom - ils montaient sur une scène construite par les hackers.

Le faux site, zoomconference.app, imitait parfaitement Zoom mais était hébergé sur des serveurs russes. Les victimes faisaient face à une page « Cloudflare CAPTCHA » très convaincante, leur demandant de prouver qu’elles n’étaient pas des robots. La subtilité ? Le CAPTCHA était un leurre. En suivant les instructions, les utilisateurs copiaient un « jeton » et le collaient dans la boîte Exécuter de leur ordinateur - une manipulation numérique qui libérait discrètement un cheval de Troie d’accès à distance (RAT), offrant aux attaquants une fenêtre secrète sur la machine de la victime.

Derrière le Rideau : Une Nouvelle Génération d’Attaques

SentinelLABS et le Digital Security Lab ukrainien ont retracé les origines de l’opération six mois plus tôt, lorsque les hackers ont commencé à poser leurs bases numériques à travers l’Europe. L’exécution rapide et furtive de la campagne - active seulement 24 heures - a révélé un attaquant expert à la fois dans l’offensive et l’évasion. Contrairement aux ransomwares bruts, il s’agissait ici d’espionnage cybernétique d’une précision chirurgicale.

L’astuce technique, appelée ClickFix, contourne la plupart des outils de sécurité en s’appuyant sur les actions involontaires de vraies personnes. Le RAT, communiquant via un canal WebSocket secret, permettait aux hackers de voler des fichiers, exécuter des commandes et potentiellement installer d’autres malwares - le tout à l’insu de la victime.

Des schémas d’attaque similaires ont été attribués à COLDRIVER, un groupe russe connu pour cibler diplomates, responsables de la défense et ONG depuis 2019. Leur marque de fabrique : des campagnes courtes et intenses avec une fermeture rapide de l’infrastructure, rendant leur traçage difficile. L’opération « PhantomCaptcha » correspond à ce modèle, avec une sophistication accrue dans l’ingénierie sociale et la compartimentation de l’infrastructure.

Implications Plus Larges : L’Aide Humanitaire dans le Viseur

La portée de la campagne s’est étendue au-delà de l’Ukraine, avec des preuves de PDF malveillants apparus en Inde, en Italie et en Slovaquie. Une campagne mobile parallèle a déployé des applications Android espionnes déguisées en contenus pour adultes ou en stockage cloud, siphonnant encore plus de données personnelles à des utilisateurs non avertis.

Le marché de ces outils cybernétiques prospère dans les recoins obscurs d’internet, les acteurs étatiques visant de plus en plus les organisations humanitaires. Leur objectif : voler des informations sensibles, perturber les efforts de secours et semer la méfiance parmi les alliés. À mesure que les groupes d’aide deviennent numériques, leur vulnérabilité à ces menaces « fantômes » s’accroît.

WIKICROOK

• Spear : Le spear phishing est une cyberattaque ciblée utilisant des emails personnalisés pour tromper des individus ou organisations spécifiques et leur soutirer des informations sensibles.
• Remote Access Trojan (RAT) : Un cheval de Troie d’accès à distance (RAT) est un logiciel malveillant permettant à des attaquants de contrôler secrètement l’ordinateur d’une victime à distance, facilitant le vol et l’espionnage.
• ClickFix : ClickFix est une arnaque où les utilisateurs sont trompés pour copier-coller du code malveillant, souvent après un faux CAPTCHA, mettant en danger leurs comptes et données.
• WebSocket : WebSocket est un protocole qui maintient un canal ouvert entre votre navigateur et un serveur, permettant un échange de messages bidirectionnel en temps réel.
• Commande : Une commande est une instruction envoyée à un appareil ou un logiciel, souvent par un serveur C2, pour lui faire exécuter des actions spécifiques, parfois à des fins malveillantes.