Des chercheurs en cybersécurité alertent sur des campagnes d’espionnage menées par des acteurs présumés russes qui utilisent des mécanismes d’authentification légitimes pour atteindre leurs objectifs. Le point saillant : la combinaison de OAuth et WhatsApp dans des scénarios d’hameçonnage visant à compromettre des comptes, récupérer des informations d’identification et détourner l’accès.
Selon les analyses, plusieurs groupes, dont UNC6293, UNC7005 et UNC5976, se concentrent sur des cibles liées à l’académique, à l’aérospatial et à la défense, ainsi qu’à des administrations et des laboratoires de réflexion. La méthode n’est pas seulement technique : elle repose aussi sur une ingénierie sociale persistante et adaptable, souvent à l’échelle de petites campagnes très ciblées.
Trois clusters et une même logique : abuser de l’authentification
Les chercheurs indiquent que ces clusters partagent une approche commune. Au lieu d’attaquer directement des systèmes, ils cherchent d’abord à obtenir un accès par des parcours d’authentification plausibles, en imitant des pages et des étapes attendues par l’utilisateur.
Dans cette stratégie, OAuth et WhatsApp jouent un rôle central. Les attaques s’appuient sur des demandes de codes, des redirections vers des pages de connexion conformes, puis sur la collecte d’éléments permettant ensuite de prendre le contrôle du compte ou d’en déclencher des actions en profondeur.
UNC6293 : hameçonnage “app password” puis pivot vers OAuth
Le cluster UNC6293 a été décrit par Google et Citizen Lab à partir de juin 2025, et il est évalué comme un sous-cluster d’Ice Relic (également suivi sous plusieurs noms, dont Cozy Bear et Midnight Blizzard). D’après les informations disponibles, ce groupe a déjà été associé à l’abus d’une fonctionnalité Google permettant de générer des “mots de passe d’application”.
Plus récemment, les campagnes observées ciblent de petits nombres d’utilisateurs à la fois (moins de cinq). L’acteur imite des responsables d’institutions telles que le département d’État, avec des thèmes diplomatiques et des références à des conférences à venir. L’objectif : amener la victime à saisir des éléments liés au mécanisme de mot de passe d’application.
Les chercheurs rapportent aussi un déplacement vers l’hameçonnage OAuth. En juin 2026, Google indique avoir observé des demandes trompeuses visant à obtenir soit une URL complète, soit un code de vérification après une connexion “normale” à un fournisseur externe. Une fois le code fourni, les attaquants peuvent accéder au compte de la victime.
UNC5976 : pages factices, récupération automatisée de jetons
Le cluster UNC5976 est un autre acteur focalisé sur l’authentification. Les analyses soulignent que son activité s’appuie sur des techniques d’OAuth, avec une automatisation de la collecte de jetons. L’acteur aurait commencé à agir au moins dès mars 2026.
Une partie de la méthode consiste à acheter des domaines, souvent avec des noms évoquant le partage de fichiers. Ensuite, le groupe crée un projet dans le cloud associé à ce domaine. La victime est conduite vers une page de partage fictive ; après quelques secondes, une boîte de dialogue de connexion apparaît.
Le rôle du bouton “Continuer avec Google”
Le scénario est conçu pour paraître légitime : la page affiche un bouton “Continue with Google” qui renvoie vers une page de connexion Google OAuth. Après l’authentification réussie, l’utilisateur est redirigé vers un projet cloud contrôlé par l’attaquant, où des scripts malveillants sont censés récupérer le jeton depuis l’URL afin de le préparer pour une utilisation ultérieure.
Les chercheurs estiment qu’au moins 12 nouveaux domaines et infrastructures ont été mis en place depuis mars 2026, puis perturbés par Google. Après ces actions de disruption, le groupe aurait adopté une approche plus flexible, en se détournant de l’infrastructure Google pour héberger ses pages d’hameçonnage ailleurs.
HEADRUSH et une campagne orientée militaire, défense et ONG
En plus des opérations d’authentification, UNC5976 a été observé utilisant un plugin Excel frauduleux baptisé HEADRUSH. Ce composant sert à livrer une application HTML (HTA) téléchargée à partir de domaines qui imitent une institution ukrainienne.
Les indices suggèrent que l’artefact a pu être utilisé contre une société ukrainienne liée à l’aérospatial et à l’imagerie, même si l’ampleur complète de l’infection reste non clarifiée. L’objectif opérationnel, d’après les informations disponibles, viserait surtout le secteur militaire, l’industrie de la défense et des organisations non gouvernementales ainsi que des think tanks.
UNC7005 : hameçonnage de codes d’appareil et l’axe WhatsApp
Le principal focus des chercheurs est UNC7005, aussi suivi sous le nom Storm-2945. Identifié en février 2026, ce groupe cible principalement des personnes liées à l’académique, à la diplomatie et à des organisations à but non lucratif, en Ukraine, en Europe occidentale et aux États-Unis.
Comme pour UNC6293, l’acteur utilise des mécanismes d’accès sélectifs, dont l’hameçonnage de “mots de passe d’application”. Le groupe se distingue aussi par l’emploi d’opérations d’hameçonnage par device code, visant notamment des comptes Microsoft et des comptes WhatsApp.
Le contexte d’ingénierie sociale fait parfois appel à des thématiques récurrentes, dont des liaisons autour du vin. Des aspects de l’activité ont d’ailleurs été codés SPIKEDWINE par d’autres observateurs.
Comment lier WhatsApp à un appareil contrôlé
Google signale qu’entre mai et juin 2026, UNC7005 a mené des opérations d’ingénierie sociale se faisant passer pour WhatsApp. Les pages d’hameçonnage poussent la cible à lier son compte WhatsApp à un appareil contrôlé par l’attaquant, afin de “rejoindre” un appel, une discussion chiffrée ou un partage de document.
Une fois la page consultée, la victime est invitée à fournir un numéro de téléphone. Ce numéro est utilisé pour générer une demande de lien d’appareil WhatsApp authentique, qui renvoie alors à des étapes légitimes affichant le QR code et le code de liaison, accompagnés d’instructions destinées à réussir la procédure.
Après la liaison, la page propose des actions supplémentaires : rejoindre un appel vocal, démarrer une conversation chiffrée ou télécharger un fichier. Dans certains cas, l’option “appel vocal” déclenche l’exécution de JavaScript visant à enregistrer audio et vidéo et à transmettre le contenu vers une infrastructure de commande et de contrôle.
Pour l’option “chat chiffré”, le scénario pousserait la victime à copier un identifiant et un mot de passe présentés sur l’interface, afin de se connecter sur une URL secondaire. Pour le téléchargement de fichier, la nature exacte reste inconnue dans les informations publiées.
Ajout d’infos-stealers et élargissement vers l’OAuth Google
Autour de mai 2026, UNC7005 aurait renforcé ses méthodes avec des “infostealers” commerciaux. Ces outils servent à exfiltrer des données depuis des hôtes Windows et macOS. Dans ce cadre, les chercheurs mentionnent l’envoi de courriels contenant des liens vers des URL malveillantes, visant des universitaires, diplomates et chercheurs aux États-Unis, notamment centrés sur la Russie et les États issus de l’ex-URSS.
En août 2026, les analyses indiquent aussi des opérations d’OAuth sur des comptes Google, en s’appuyant sur de l’infrastructure cloud. Le groupe aurait commencé à enregistrer des domaines usurpant un “Operations Center” finlandais, lié à des activités liées à la défense et à la sécurité, avec un contexte mentionnant l’OTAN.
Les victimes sont ensuite redirigées vers une page de connexion OAuth Google. Après authentification, elles sont renvoyées vers un projet cloud non vérifié contrôlé par l’attaquant, afin de voler des jetons d’authentification et de permettre le détournement des comptes.
CaptiveCrunch : détournement via réseaux Wi-Fi captifs
Les chercheurs relient aussi ces activités à une campagne nommée CaptiveCrunch, documentée par d’autres acteurs début du mois. Cette campagne vise des portails Wi-Fi captifs, notamment dans des lieux comme des hôtels, centres de conférence et aéroports.
L’objectif est de détourner discrètement les utilisateurs vers une infrastructure d’attaque, pour collecter des informations de connexion. Les opérations incluent l’obtention d’accès administrateur à des passerelles Wi-Fi afin de modifier leurs configurations, ainsi que l’usage de la poisoning DNS pour rediriger le trafic web vers des connexions contrôlées par l’attaquant, tout en conservant l’apparence d’accès légitime aux domaines attendus.
Microsoft indique que ce type de manipulation est en cours depuis début mai 2026. Certaines phases impliqueraient aussi des domaines “doppelganger” imitant des services en ligne de Microsoft pour mener des attaques de type “adversary-in-the-middle” qui exploitent des flux d’authentification basés sur device code dans Microsoft Entra ID.
Possibilité d’attaque de la chaîne d’approvisionnement
Enfin, des données de suivi évoquent une hypothèse : l’acteur aurait compromis des fournisseurs de services managés (MSP) puis aurait abusé de la confiance établie dans la chaîne d’approvisionnement. Une fois présent dans les réseaux des clients, il pourrait cibler les voyageurs en détournant des requêtes DNS sur des routeurs Wi-Fi compromis, redirigeant vers des portails d’authentification usurpés pour récolter des jetons OAuth ou déployant des outils d’exfiltration.
Les informations rapportent environ 70 adresses IP victimes identifiées, avec un sous-ensemble ayant envoyé des requêtes DNS vers des infrastructures associées à CaptiveCrunch. D’autres adresses auraient communiqué avec une infrastructure d’interception liée à la récupération de jetons, et une instance aurait interagi avec le serveur de commande et contrôle d’un payload PowerShell.
Ce que ces campagnes changent pour la sécurité
Au final, ces opérations illustrent un point important : les attaquants cherchent à rendre le suivi plus difficile en s’appuyant sur des fonctionnalités “propres” et des flux qui ressemblent à ceux des utilisateurs légitimes. En combinant OAuth et WhatsApp avec des redirections et des collectes de jetons, ils peuvent accélérer l’exfiltration et ensuite réutiliser des comptes compromis pour cibler de nouvelles victimes.
Pour les organisations, le signal d’alerte réside souvent dans les schémas d’hameçonnage : demandes anormales de codes, redirections vers des projets cloud inhabituels, demandes de liaison d’appareil à partir de pages qui n’ont pas été initiées par l’utilisateur. Une vigilance accrue sur ces étapes—et une sensibilisation des équipes—reste essentielle.
En résumé : les groupes observés montrent une capacité à adapter leurs méthodes, de l’hameçonnage de mots de passe d’application à des scénarios OAuth plus sophistiqués, jusqu’aux liaisons d’appareils WhatsApp et aux détournements via Wi-Fi captifs. Comprendre ces mécaniques est la première étape pour mieux s’en protéger.
Source: https://thehackernews.com/2026/08/suspected-russian-hackers-abuse-google.html
