MuddyWater et “Snake” : l’IA traque l’APT discret

La plupart des organisations pensent encore qu’un groupe APT “bruyant” reste bruyant. Mauvais pari. La campagne MuddyWater observée entre le 30/09/2024 et le 18/03/2025 montre exactement l’inverse : un acteur historiquement repérable a pris le temps d’affiner ses outils, de réduire ses interactions manuelles et d’investir dans des techniques d’évasion plus propres.

Ce qui m’a frappé dans ce cas, c’est le contraste : d’un côté, des composants très modernes (chargement en mémoire, chiffrement via l’API CNG, tunnels inverses), de l’autre, des choix presque “artisanaux” (messages très verbeux, logique inspirée d’un jeu Snake pour temporiser). Et c’est précisément là que l’intelligence artificielle dans la cybersécurité prend tout son sens : quand l’attaque ne se résume plus à une signature, mais à un ensemble de comportements faibles, dispersés, et pourtant corrélables.

Dans ce billet (série Intelligence artificielle dans la cybersécurité), on décortique ce que cette campagne dit de l’évolution des APT, puis on traduit ça en actions concrètes : quoi surveiller, quoi durcir, et comment l’IA de détection et l’analyse comportementale rendent ces tactiques moins “invisibles” qu’elles n’en ont l’air.

Ce que la campagne MuddyWater révèle (et pourquoi ça change la défense)

Le point central : MuddyWater a cherché à gagner du temps. Pas seulement en restant plus discret, mais en compliquant l’analyse automatisée et en améliorant la persistance.

Les cibles documentées se situent surtout en Israël (secteurs ingénierie, collectivités, industrie, universités, transport, utilities) avec un cas confirmé en Égypte (technologie). La campagne a aussi montré un chevauchement opérationnel avec Lyceum (sous-groupe d’OilRig) début 2025, ce qui ressemble à un schéma “accès initial puis passage de relais”. Pour un défenseur, ça signifie une chose : même si vous stoppez une étape, il peut rester un deuxième opérateur déjà en embuscade.

Ce type d’écosystème APT est un terrain naturel pour l’IA, car la valeur n’est pas dans un indicateur isolé mais dans la corrélation : email de spearphishing → installation d’un outil RMM → vol d’identifiants → tunnels inverses → exfiltration.

Des outils RMM comme “cheval de Troie” organisationnel

Le mode d’entrée observé s’appuie souvent sur du spearphishing avec lien menant à l’installation d’outils de supervision à distance (RMM). Le problème, c’est que beaucoup d’entreprises tolèrent ces outils (support, infogérance, prestataires). Résultat : la détection “par blocage” est politiquement difficile.

La meilleure approche n’est donc pas “interdire tout RMM” mais contrôler l’usage : qui l’installe, d’où vient l’installeur, quel poste l’exécute, à quels horaires, et quels accès suivent.

Les “snakes” au bord de la rivière : Fooder + MuddyViper, une chaîne pensée pour l’évasion

Le fait marquant de cette campagne est l’usage d’une chaîne personnalisée : un lanceur, un loader (Fooder), puis une porte dérobée (MuddyViper) souvent chargée en mémoire.

Fooder : exécuter sans laisser de traces (ou presque)

Fooder est un loader 64 bits en C/C++ conçu pour :

• Déchiffrer un payload embarqué (AES)
• Le charger de façon réflexive en mémoire (sans dépôt classique sur disque)
• Temporiser l’exécution avec une logique inspirée du jeu Snake + appels fréquents à Sleep

Le déguisement en “Snake” n’est pas un gadget. Il sert à deux objectifs simples :

1. Masquerading : réduire la suspicion humaine (un binaire qui ressemble à un jeu, des chaînes cohérentes)
2. Time-based evasion : casser les bacs à sable et les analyses automatiques qui n’observent qu’une fenêtre courte (quelques secondes)

Phrase à retenir : si votre détection dépend d’une fenêtre d’observation trop courte, Fooder gagne.

MuddyViper : contrôle, vol d’identifiants, et persistance pragmatique

MuddyViper (C/C++) sert de backdoor polyvalente : collecte d’informations système, exécution de commandes, transfert de fichiers, et surtout vol d’identifiants Windows et données de navigateurs.

Deux points sont particulièrement défensifs :

• Persistance via dossier de démarrage (Startup) ou tâche planifiée (ManageOnDriveUpdater). En pratique, ce type de tâche “qui sonne légitime” passe encore trop souvent sous les radars.
• Vol d’identifiants par fausse fenêtre Windows Security : l’attaque ne “casse” rien, elle demande le mot de passe à l’utilisateur, puis valide les identifiants via API Windows. Social engineering + API légitimes = cocktail efficace.

Pourquoi l’IA détecte mieux ce que Fooder essaie de cacher

Réponse directe : l’IA est plus efficace quand l’attaquant mise sur la dispersion et la ressemblance au légitime. Fooder et MuddyViper ne cherchent pas uniquement à être “invisibles”, ils cherchent à être confondus avec du normal : RMM, HTTPS, tâches planifiées, fenêtres de sécurité.

Détection comportementale vs signatures : l’avantage pratique

Une signature (hash, nom de fichier, IP) vieillit vite. MuddyWater le sait et multiplie les variantes. L’analyse comportementale assistée par IA, elle, s’intéresse à des patterns plus stables :

• un binaire qui charge un module en mémoire et enchaîne des appels inhabituels
• des séquences de sommeil répété (sleep) couplées à des actions réseau
• des créations de tâches planifiées avec un nom “proche-légitime”
• l’affichage d’un prompt d’authentification Windows hors contexte habituel

Ce sont des signaux faibles. Pris isolément, chacun peut être “normal”. Ensemble, c’est rarement innocent.

Corrélation multi-couches : ce que l’humain fait mal à grande échelle

Là où l’IA apporte un vrai plus, c’est sur la corrélation :

• Email entrant + clic utilisateur
• Téléchargement d’un installeur RMM depuis un hébergeur “grand public”
• Exécution PowerShell pour télécharger/évaluer du contenu
• Apparition de fichiers de staging dans des chemins publics (ex. dossiers de téléchargements partagés)
• Connexions sortantes anormales et tunnels inverses

Même avec une équipe SOC solide, faire ça à la main sur des milliers d’événements quotidiens est une bataille perdue.

Le nerf de la guerre : identifiants et navigateurs (et comment l’IA peut aider)

Réponse directe : MuddyWater mise sur les identifiants parce qu’ils se réutilisent et traversent les périmètres (poste, VPN, applications SaaS, messagerie). Dans cette campagne, plusieurs outils visent explicitement navigateurs et credentials.

CE-Notes, LP-Notes, Blub : “stager” d’abord, exfiltrer ensuite

Un détail opérationnel important : certains stealers observés stockent les données sur disque (fichiers de staging) sans exfiltration directe. Ça indique une organisation en modules :

• un outil vole et écrit localement
• un autre (RMM ou backdoor) récupère et exfiltre

Conséquence défensive : bloquer l’exfiltration ne suffit pas. Il faut aussi détecter la préparation.

Sur le terrain, voici ce que je recommande de surveiller en priorité :

1. Accès anormal aux bases de données de mots de passe navigateur (Chromium/Firefox), surtout après terminaison forcée du navigateur
2. Lecture du fichier “Local State” des navigateurs et tentatives de déchiffrement de clés
3. Création de fichiers “notes” ou dumps dans des emplacements génériques (Public/Downloads)

Surveillance IA des identités : ce qui marche vraiment

Pour stopper une attaque centrée identifiants, l’approche la plus rentable combine :

• Détection d’anomalies de connexion (heure, device, géographie, séquences impossibles)
• Corrélation endpoint + identité (un poste montre des signes de stealer → on durcit l’authentification et on révoque les sessions)
• Réponse automatisée : reset ciblé, invalidation de tokens, isolement poste

L’objectif n’est pas d’être “parfait”. C’est d’être plus rapide que l’attaquant.

Plan d’action concret (orienté SOC) pour contrer ce type d’APT

Réponse directe : vous gagnez si vous réduisez la surface RMM, si vous instrumentez la persistance Windows, et si vous automatisez la corrélation via IA.

1) Encadrer les RMM au lieu de les subir

• Liste blanche stricte des outils RMM autorisés (éditeur, version, hash signé)
• Déploiement uniquement via MDM/outil central (pas via téléchargements)
• Journaux centralisés : création de services, installation silencieuse, nouveaux agents
• Alertes quand un RMM apparaît sur un poste “non support” (ex. postes de production, labos, direction)

2) Chasser la persistance “qui a l’air normale”

• Inventaire quotidien des tâches planifiées nouvelles/modifiées
• Détection de tâches au nom “update/drive/manager” créées hors cycle IT
• Contrôles sur les clés registre liées au Startup folder et aux emplacements utilisateurs

3) Détecter le chargement en mémoire et l’évasion temporelle

• Règles EDR centrées sur : reflective loading, injections, exécutions depuis emplacements atypiques
• Alertes sur boucles Sleep + activité réseau différée
• Sandboxes avec observation prolongée sur certains profils (oui, ça coûte, mais c’est ciblable)

4) Réduire l’impact du vol d’identifiants

• MFA “résistant au phishing” sur les comptes sensibles (priorité : admin, messagerie, VPN)
• Rotation et révocation de sessions quand un poste est suspect
• Séparation des comptes (admin ≠ bureautique) et limitation des droits locaux

Si vous devez choisir une seule amélioration avant la fin 2025 : corréler identité + endpoint en temps quasi réel. C’est là que les attaques comme MuddyViper perdent leur avantage.

Où placer l’IA dans votre stratégie cybersécurité en 2026

On voit une tendance nette : les APT rationalisent. Moins de bruit clavier, plus de modules, plus de détours via des outils légitimes. La défense “à l’ancienne” (IOC statiques + revues manuelles) s’épuise.

L’IA n’est pas un bouton magique, mais elle fait deux choses que j’estime indispensables :

1. Prioriser : transformer 10 000 signaux en 20 incidents plausibles
2. Relier : montrer qu’un faux prompt Windows + un stealer navigateur + un tunnel sortant racontent la même histoire

Si votre pile sécurité ne sait pas faire ça, MuddyWater n’est pas “un cas exotique”. C’est un aperçu de votre quotidien.

Vous voulez évaluer rapidement votre maturité ? Demandez-vous : combien de temps vous faut-il pour détecter qu’un poste a volé des identifiants navigateur, puis pour invalider les sessions associées ?

---

Envie d’aller plus loin ?

Si vous travaillez sur la mise en place d’une détection des menaces par IA, d’une analyse comportementale sur endpoints, ou d’une surveillance des identités capable de réagir vite (révocation de sessions, isolement, scoring de risque), c’est le bon moment pour faire un audit “réalité terrain” : quelles données vous avez, quelles corrélations vous manquez, et quelles automatisations sont réellement possibles sans casser l’IT.