Publié le 27 octobre 2025 20h10. Un groupe de pirates informatiques, Mem3nt0 Mori, a exploité une vulnérabilité critique dans Google Chrome pour cibler des organisations en Russie et en Biélorussie, déployant des logiciels espions via des campagnes de phishing sophistiquées. Cette attaque souligne la menace croissante posée par les logiciels espions commerciaux et la nécessité de renforcer la sécurité des navigateurs.
- Une vulnérabilité « zero day » (CVE-2025-2783) dans Google Chrome a été activement exploitée.
- Le groupe de hackers Mem3nt0 Mori est responsable de ces attaques ciblées.
- Des logiciels espions, dont LeetAgent et Dante, ont été déployés sur les systèmes compromis.
Des chercheurs de Kaspersky ont mis en évidence l’exploitation active d’une faille de sécurité critique dans Google Chrome, permettant à des attaquants de contourner les mécanismes de protection du navigateur et d’installer discrètement des logiciels espions. L’opération, baptisée « Opération ForumTroll », a ciblé des médias, des institutions financières et des universités de recherche en Russie et en Biélorussie.
La vulnérabilité, référencée sous le numéro CVE-2025-2783, affectait les versions de Chrome antérieures à 134.0.6998.177 sous Windows. Elle permettait aux attaquants d’exécuter du code arbitraire, de voler des fichiers et d’installer des logiciels malveillants sans nécessiter d’interaction directe de l’utilisateur, comme un téléchargement ou un clic.
Google a rapidement corrigé la faille dans les versions 134.0.6998.177 et 134.0.6998.178 de Chrome. Cependant, l’exploitation a eu lieu avant la publication du correctif, comme l’a confirmé Kaspersky. Les attaquants ont utilisé des emails de phishing personnalisés, en russe, se présentant comme des invitations au forum Primakov Readings. Ces emails contenaient des liens vers des sites web malveillants qui déclenchaient l’exploit automatiquement lors de la visite, sans nécessiter d’action de la part de la victime.
L’exploit exploitait une faille dans le système de communication inter-processus (IPC) Mojo de Chrome, responsable de l’échange de données entre les différents composants du navigateur. Plus précisément, le problème résidait dans la validation incorrecte des « pseudo-handles », permettant aux attaquants de dupliquer des descripteurs de thread au-delà des limites de sécurité du navigateur. Cette faille leur accordait des privilèges d’exécution de code dans un processus plus privilégié.
Une fois à l’intérieur du système, les attaquants ont déployé un chargeur de malware persistant via le détournement du Component Object Model (COM), en utilisant un fichier malveillant déguisé en un fichier légitime, twinapi.dll. Ce chargeur a ensuite déchiffré et lancé la charge utile, le logiciel espion LeetAgent, qui exécutait des commandes écrites dans un langage codé, le « leetspeak ».
LeetAgent permettait aux attaquants de :
- Enregistrer les frappes au clavier et surveiller le contenu du presse-papiers.
- Voler des fichiers avec des extensions courantes telles que .docx, .pdf et .xlsx.
- Injecter du code malveillant (shellcode) dans des processus fiables, comme rdpclip.exe.
Le logiciel espion communiquait avec des serveurs de commande et de contrôle (C2) hébergés sur l’infrastructure cloud de Fastly, en utilisant des techniques d’obscurcissement et de cryptage basées sur l’algorithme ChaCha20. Kaspersky a identifié ce logiciel espion comme étant lié à Dante, un outil de surveillance commerciale développé par Memento Labs (anciennement Hacking Team), une entreprise italienne connue pour la vente de logiciels espions à des gouvernements.
« La fonctionnalité du malware suggère que le but principal de l’opération était l’espionnage. »
Chercheurs de Kaspersky
Pour se protéger contre de telles attaques, il est crucial d’appliquer les mises à jour de sécurité de Chrome dès qu’elles sont disponibles. Les organisations doivent également adopter une approche de défense en profondeur, comprenant :
- Limiter l’exposition du navigateur : restreindre les droits d’administration, supprimer les extensions inutiles et utiliser l’isolation du navigateur pour confiner le code malveillant.
- Renforcer les contrôles d’accès : appliquer le principe du moindre privilège, bloquer la navigation avec des droits d’administrateur et adopter une approche de confiance zéro pour empêcher la propagation latérale des attaques.
- Améliorer la détection et la surveillance : utiliser des solutions de détection et de réponse aux menaces (EDR) et des systèmes de gestion des informations et des événements de sécurité (SIEM) pour détecter les anomalies et les indicateurs de compromission (IOC), tels que des identifiants suspects ou le trafic vers des serveurs Fastly.
- Renforcer les défenses du système et du réseau : activer Windows Defender Exploit Guard, l’intégrité de la mémoire et les passerelles sécurisées pour bloquer les tentatives d’évasion du bac à sable.
- Sensibiliser à l’ingénierie sociale : former les utilisateurs à reconnaître et à éviter les attaques d’ingénierie sociale courantes.
Cette campagne met en lumière la convergence croissante entre les vulnérabilités « zero day » et l’industrie des logiciels espions commerciaux, créant un écosystème de menaces complexe et interconnecté. La rapidité et la cohérence des réponses aux incidents sont devenues des éléments essentiels de la résilience en matière de cybersécurité.
Il est donc impératif pour les organisations de disposer de plans de réponse aux incidents structurés et testés, leur permettant de réagir efficacement en cas d’attaque.