CERT-UA: Campagne d'usurpation diffusant le malware AGEWHEEZE
Alerte de sécurité : Campagne d'hameçonnage active
Une campagne d'usurpation d'identité utilisant l'image du CERT-UA a été détectée les 26 et 27 mars 2026. Des messages frauduleux contenaient des archives ZIP protégées par mot de passe, méthode utilisée pour masquer les charges utiles et contourner l'analyse automatique. Le flux massif observé est estimé à environ 1 000 000 d'e-mails selon des relevés initiaux¹. L'acteur attribué UAC-0255 exploite des techniques de social engineering pour pousser les destinataires à contourner leurs propres protections et exécuter des fichiers suspects².
Analyse technique
Vecteur d'infection et ingénierie sociale
Les e-mails imitent la communication d'un CERT légitime pour créer un sentiment d'urgence et légitimer l'ouverture d'une archive. La pièce jointe est un ZIP protégé par mot de passe, la consigne de déverrouillage figurant dans le corps du message. Ce procédé empêche l'extraction automatisée et l'analyse signature-based, et augmente la probabilité que l'utilisateur ouvre manuellement le contenu¹.
L'attachement contient généralement un exécutable déguisé ou un installeur mal signé. Après extraction, le payload installe AGEWHEEZE, un remote administration tool (RAT) fournissant contrôle à distance, exfiltration de données et maintien de persistance sur les endpoints compromis².
Composants d'AGEWHEEZE et comportements observés
AGEWHEEZE met en oeuvre des capacités classiques d'un RAT : exécution à distance de commandes, collecte de fichiers et captures d'écran, et mise en place de mécanismes de connexion persistante. Les opérateurs utilisent ensuite ces accès pour rechercher comptes à privilège, récolter identifiants et étendre leur présence sur le réseau2.
Les indicateurs techniques incluent des exécutables semblant légitimes mais mal signés, des DLL chargées en mémoire sans traces sur disque, et des connexions réseau chiffrées vers des domaines de commande et contrôle. L'usage d'archives protégées et la mise en scène d'un CERT usurpé combinent technique et manipulation psychologique pour maximiser le taux d'infection¹ ².
Contournement des contrôles de prévention
Les archives ZIP protégées rendent inopérante l'analyse statique et dynamique automatisée. Les systèmes de filtrage fondés sur la réputation de l'expéditeur peuvent échouer face à des domaines proches de l'original (typosquatting) ou à des adresses configurées pour paraître légitimes. Le scénario d'attaque repose sur trois leviers : chiffrement du payload, usurpation d'identité et instructions incitatives dans le corps du message¹.
Impacts business
Risques opérationnels et financiers
La compromission de postes de travail et de comptes à privilège crée des coûts directs et indirects importants. Pour des entreprises de taille moyenne, les estimations de coûts par incident se situent typiquement entre 50 000 et 400 000 EUR, avec des montants supérieurs pour des organisations plus grandes². Outre le coût de remédiation, l'exfiltration de données sensibles entraîne un risque de sanctions RGPD et des pertes réputationnelles durables.
Conséquences sur la continuité et la confiance
La découverte d'une présence non détectée de longue durée peut forcer des arrêts partiels d'activité, déclencher des audits externes et nécessiter des notifications regulatories. La communication vers les clients et partenaires doit être rapide et contrôlée pour limiter les répercussions commerciales.
Recommandations opérationnelles
Mesures immédiates (0-72 heures)
- Bloquer les indicateurs connus : domaines, adresses d'expédition et fichiers Identifiés par CERT-UA et par la veille sectorielle. Appliquer ces blocages au niveau des MTA, proxys web et solutions de mail gateway.²
- Diffuser un message interne clair et court à tous les utilisateurs expliquant le contexte, avec captures d'écran d'exemples de courriels malveillants. Demander de ne pas ouvrir d'archives ZIP protégées reçues de façon inattendue.²
- Isoler et mettre en quarantaine tout poste suspect. Collecter les logs EDR, les en-têtes d'e-mails et les images mémoire pour analyse forensique. Activer la chasse aux signes d'exécution en mémoire et surveiller les connexions sortantes vers domaines suspects¹ ².
Mesures à court terme (72 heures - 2 semaines)
- Configurer les solutions EDR pour déclencher des alertes sur exécution d'objets extraits d'archives et sur chargement de code non signé en mémoire. Mettre en place règles de blocage pour les exécutables contenus dans les e-mails.
- Forcer la rotation des mots de passe des comptes à privilèges et vérifier l'activation de l'authentification multifacteur pour les accès sensibles.
- Lancer des opérations de threat hunting ciblées sur endpoints et serveurs critiques afin d'identifier des implants persistants ou mouvements latéraux non détectés.
Mesures stratégiques (1-6 mois)
- Déployer des formations obligatoires, courtes et répétées sur la gestion des pièces jointes et la reconnaissance d'usurpation d'identité. Mesurer l'efficacité par des tests contrôlés d'hameçonnage.
- Renforcer les contrôles d'authentification des courriels : SPF, DKIM et DMARC avec politique de rejet stricte pour les messages non conformes.
- Segmenter le réseau pour limiter l'impact d'un accès compromis et revoir les playbooks d'intervention en intégrant des scénarios liés à des RATs comme AGEWHEEZE.
Outils et configurations techniques recommandés
- Filtrage des e-mails : bloquer par défaut les pièces jointes ZIP et EXE non sollicitées, ou exiger la mise en quarantaine et l'analyse manuelle avant distribution aux boîtes utilisateurs.
- Solutions EDR : privilégier des outils capables de détection comportementale en mémoire et d'analyse de la chaîne de processus. Activer la journalisation détaillée et la conservation des artefacts pour analyse post-incident.
- Réseau : surveiller et contrôler les flux sortants, mettre en liste blanche les services légitimes et journaliser les connexions vers des domaines récents ou peu connus.
L'inaction face à cette campagne augmente fortement le risque de compromission durable, d'exfiltration massive et de coûts importants pour l'organisation. Les mesures présentées doivent être appliquées par ordre de priorité et adaptées au contexte opérationnel de chaque entité¹ ².
