Une étude révèle : l'Iran utilise un outil Google pour attaquer Israël

La campagne d'espionnage iranienne Project CAV3RN, visant des organisations en Israël, continue de se perfectionner — et cette fois, les attaquants passent des services cloud de Microsoft à ceux de Google. Une nouvelle étude de l'équipe GReAT chez Kaspersky révèle de nouveaux composants dans l'infrastructure d'attaque, qui permettent aux attaquants de masquer l'activité malveillante au sein d'un trafic réseau légitime et de continuer à opérer même lorsqu'un de leurs canaux de communication est bloqué.

Selon Kaspersky, depuis début août 2026, les chercheurs ont identifié des composants qui n'avaient pas été documentés auparavant dans l'infrastructure CAV3RN. Le plus remarquable d'entre eux est un module de commande et de contrôle capable de choisir en temps réel comment transférer des données entre l'ordinateur infecté et les attaquants — via une connexion HTTPS directe ou via Google Apps Script.

Google Apps Script est un service légitime de Google utilisé pour le développement et l'automatisation des processus. Cependant, dans ce cas, le fait même qu'il s'agisse d'un service connu et répandu en fait un outil utile pour les attaquants. Au lieu que le trafic réseau malveillant soit dirigé vers un serveur suspect qu'il est relativement facile de signaler et de bloquer, il peut ressembler à une communication routinière avec un service Google.

Cette tactique est connue dans le monde de la cybersécurité sous le nom de « Living off the Cloud » — l'utilisation d'infrastructures cloud légitimes à des fins malveillantes. Du point de vue des systèmes de sécurité d'une organisation, le défi est clair : bloquer les services cloud centraux n'est pas nécessairement une option pratique, et il est en même temps plus difficile de séparer l'activité commerciale normale de la communication servant les attaquants.

Le blocage n'est pas non plus nécessairement suffisant

Cependant, l'utilisation de Google n'est qu'une partie de la mise à niveau. Selon les chercheurs, CAV3RN est désormais également équipé d'un mécanisme de récupération conçu pour permettre aux attaquants de conserver une présence sur le réseau d'entreprise au fil du temps.

Si le canal de communication basé sur les services Google est bloqué par les équipes de sécurité, le logiciel malveillant est capable de vérifier indépendamment les mises à jour via un canal séparé et de recevoir une nouvelle adresse par laquelle la communication sera rétablie. Cela signifie que le blocage de l'adresse utilisée pour l'attaque ne supprime pas nécessairement les attaquants de l'ordinateur infecté, et ils n'ont pas besoin de réinstaller le logiciel malveillant pour rétablir le contact.

Les nouvelles capacités font partie d'un changement plus large que l'infrastructure a subi ces derniers mois. Dès avril 2026, Kaspersky a identifié un passage d'une structure relativement simple de téléchargement et d'exécution de logiciels malveillants à une plateforme modulaire. La nouvelle structure permet d'ajouter des composants au fil du temps, de modifier les capacités d'espionnage et de maintenir une présence prolongée et discrète sur les ordinateurs des victimes.

Le passage à Google ne se fait pas non plus dans le vide. En juillet, Kaspersky a révélé que les opérateurs de la campagne exploitaient de la même manière Microsoft Outlook et Microsoft Graph pour gérer la communication dans le cadre de l'attaque. Désormais, selon l'entreprise, l'utilisation de Google Apps Script indique la capacité des opérateurs à basculer entre les services cloud centraux et à adapter leur infrastructure selon les besoins.

« L'étude révèle une nouvelle nature d'attaque, et c'est ce qui devrait nous préoccuper en premier lieu », déclare Asaf Hazan, CTO chez Kaspersky Israël. Selon lui, les attaquants font preuve d'« une capacité d'adaptation exceptionnellement élevée », notamment en passant des services Microsoft aux services Google, dans le but de masquer la communication malveillante au sein d'une activité quotidienne légitime et d'empêcher une situation où l'attaque est arrêtée au moment où elle est découverte.

Kaspersky estime que le rythme de développement, la structure modulaire et l'activité de CAV3RN indiquent que l'infrastructure pourrait continuer à s'étendre. Du point de vue des organisations en Israël, le défi n'est pas seulement d'identifier un logiciel malveillant ou de bloquer un serveur suspect, mais de faire face à une attaque qui tente intentionnellement de ressembler à une partie intégrante de leur trafic cloud habituel. Et à mesure que la frontière entre un service légitime et un canal d'attaque s'estompe, le travail des équipes de sécurité devient également plus complexe.