Le sigle APT (Advanced Persistent Threat, « menace persistante avancée ») désigne un adversaire doté d'une grande expertise et de moyens importants, qui s'introduit dans un système d'information et y reste longtemps, discrètement, pour espionner, voler des données ou se positionner en vue d'une action future. Les groupes APT sont le plus souvent rattachés, selon les gouvernements et les éditeurs de sécurité, à des services d'État.
Cet article explique ce qu'est un APT, présente les principaux groupes attaquants (avec leurs autres noms et ce que les autorités et les chercheurs leur attribuent), décrit leurs méthodes typiques et détaille les mesures de défense. Une précision importante : l'attribution d'une attaque à un État repose sur des analyses techniques et du renseignement, et reste une évaluation, pas une preuve au sens judiciaire.
Qu'est-ce qu'un groupe APT ?
Le NIST définit l'APT comme un adversaire disposant d'une expertise sophistiquée et de ressources importantes, qui poursuit ses objectifs de manière répétée sur une longue période et s'adapte aux efforts des défenseurs (glossaire NIST). Ses objectifs vont d'établir et d'étendre une présence dans le système cible à l'exfiltration d'informations, ou à la préparation d'une perturbation ultérieure.
Les trois mots du sigle
- Advanced (avancée) : moyens techniques et humains importants, outils sur mesure, exploitation de vulnérabilités parfois inconnues du public (zero-day).
- Persistent (persistante) : l'objectif est de rester dans le réseau, souvent des mois ou des années, et de s'adapter.
- Threat (menace) : un acteur organisé, avec une mission, pas un simple opportuniste.
Ce qui les distingue des cybercriminels classiques
| Groupe APT | Cybercriminel « classique » | |
|---|---|---|
| Objectif | Espionnage, influence, sabotage, vol stratégique | Gain financier rapide |
| Cibles | Choisies (gouvernements, défense, énergie, télécoms, recherche) | Souvent opportunistes |
| Durée | Longue, discrète | Courte, souvent bruyante (ransomware) |
| Soutien | Fréquemment étatique | Économie criminelle |
La frontière n'est pourtant pas étanche : certains groupes rattachés à des États mènent aussi des opérations financières, comme on le verra pour APT41 et Lazarus.
Un mot sur les noms
Un même groupe porte souvent plusieurs noms, car chaque éditeur le suit avec ses propres méthodes :
- Mandiant : numéros (APT1, APT28, APT41…).
- Microsoft : noms météo. Blizzard pour la Russie, Typhoon pour la Chine, Sleet pour la Corée du Nord, Sandstorm pour l'Iran.
- CrowdStrike : animaux. Bear pour la Russie, Panda pour la Chine, Chollima pour la Corée du Nord, Kitten pour l'Iran.
- MITRE ATT&CK : identifiants (G0007, G0096…) qui regroupent les alias connus.
Les principaux groupes APT
Les informations ci-dessous proviennent surtout du référentiel MITRE ATT&CK et de communications officielles, indiquées pour chaque groupe.
Russie
APT28 (Fancy Bear, Sofacy, Sednit, Forest Blizzard)
- Rattachement : direction du renseignement militaire russe (GRU), selon MITRE et les gouvernements occidentaux.
- Activité : depuis au moins 2004. La compromission du Comité national démocrate américain en 2016 l'a rendu célèbre ; en 2018, les États-Unis ont inculpé cinq officiers du GRU pour des opérations menées entre 2014 et 2018.
- En France : le 29 avril 2025, la France a publiquement attribué des cyberattaques à l'APT28 et donc au GRU. Selon le CERT-FR et le ministère des Affaires étrangères, le groupe a compromis une douzaine d'entités françaises depuis 2021, dont des services publics, des entreprises et une organisation liée aux Jeux olympiques de 2024. Le communiqué rappelle aussi TV5Monde en 2015 et la tentative d'ingérence dans l'élection de 2017.
- Méthodes : hameçonnage, force brute contre des messageries web, exploitation de vulnérabilités, y compris des zero-day.
APT29 (Cozy Bear, Midnight Blizzard, NOBELIUM)
- Rattachement : service de renseignement extérieur russe (SVR), attribué par les gouvernements américain et britannique.
- Activité : depuis au moins 2008. L'opération la plus connue est la compromission de la chaîne logicielle de SolarWinds (2019-2021), qui a touché des milliers d'organisations, dont des agences américaines.
- Méthodes : compromission de chaîne d'approvisionnement, comptes cloud, falsification de jetons d'authentification.
Sandworm (Telebots, APT44, Voodoo Bear)
- Rattachement : unité militaire 74455 du GRU. Six officiers du GRU ont été inculpés aux États-Unis en octobre 2020.
- Activité : attaques destructrices contre le réseau électrique ukrainien (2015-2016), déploiement du logiciel destructeur NotPetya (2017), cible des Jeux d'hiver de 2018.
- Particularité : forte connaissance des systèmes industriels.
Turla (Centre 16 du FSB)
- Rattachement : Centre 16 du service fédéral de sécurité russe (FSB), d'après un rapport de l'ANSSI publié le 13 juillet 2026.
- En France : l'ANSSI recense des cibles finales (messageries du ministère des Armées depuis 2017, ambassade de France à Moscou en 2018, secteur judiciaire en 2019, organisations technologiques avancées en 2025) et des victimes intermédiaires servant de relais.
- Méthodes : exploitation de vulnérabilités de services de messagerie, hameçonnage ciblé, attaques par point d'eau, logiciels malveillants déguisés en logiciels légitimes.
Chine
APT1 (Comment Crew)
- Rattachement : unité 61398 de l'armée populaire de libération, selon le rapport de Mandiant de 2013, l'un des premiers à relier un groupe à une unité militaire précise.
- Activité : vol massif de propriété intellectuelle.
APT41 (Wicked Panda, Brass Typhoon)
- Rattachement : groupe soutenu par l'État chinois selon MITRE, avec une double activité : espionnage et cybercriminalité financière.
- Activité : depuis au moins 2012, dans de nombreux secteurs (santé, télécoms, technologie, finance, jeux vidéo). Chevauchement avec le groupe Winnti.
- Méthodes : exploitation de vulnérabilités d'applications exposées, web shells, outils légitimes.
Volt Typhoon
- Rattachement : acteur soutenu par la République populaire de Chine, actif depuis au moins 2021.
- Objectif évalué : le pré-positionnement dans les infrastructures critiques (notamment américaines et à Guam) pour permettre, si besoin, une action perturbatrice contre des systèmes industriels.
- Méthodes : outils déjà présents dans le système (living off the land), routeurs de petits bureaux compromis pour masquer le trafic.
Salt Typhoon
- Rattachement : acteurs liés à la Chine, actifs depuis au moins 2019, visant surtout les télécoms, mais aussi les gouvernements, transports, hébergement et infrastructures militaires.
- Avis officiel : le 27 août 2025, la CISA, la NSA et le FBI, avec des agences de douze pays partenaires, ont publié un avis conjoint demandant des correctifs rapides, la surveillance des configurations, la segmentation réseau, le MFA et une bonne gestion des journaux.
Corée du Nord
Lazarus Group (Hidden Cobra, Diamond Sleet)
- Rattachement : Bureau général de reconnaissance (RGB) de la Corée du Nord. MITRE précise que « Lazarus » est un terme générique qui recouvre plusieurs unités partageant personnel, infrastructure et outils, ce qui complique l'attribution.
- Activité : depuis au moins 2009. Le piratage de Sony Pictures en 2014 l'a fait connaître. Plus récemment, le FBI a attribué à la Corée du Nord (sous le nom TraderTraitor) le vol d'environ 1,5 milliard de dollars en cryptomonnaies chez Bybit en février 2025, selon un avis du FBI.
- Méthodes : hameçonnage, faux recruteurs (opération « Dream Job »), vol de fonds et logiciels destructeurs.
Kimsuky (APT43, Velvet Chollima)
- Rattachement : Corée du Nord, actif depuis au moins 2012.
- Cibles : think tanks, experts, administrations, avec un intérêt pour la péninsule coréenne, la politique nucléaire et les sanctions.
Iran
MuddyWater (Seedworm, Static Kitten)
- Rattachement : élément du ministère iranien du Renseignement (MOIS), selon MITRE.
- Activité : depuis 2017, contre des administrations et entreprises des secteurs des télécoms, de la finance, de la défense et de l'énergie, au Moyen-Orient et au-delà.
- Méthodes : hameçonnage ciblé et outils d'administration à distance légitimes (ScreenConnect, Atera, SimpleHelp). C'est précisément le sujet de notre article sur les outils d'accès à distance à bloquer.
Comment agit un groupe APT ?
Les intrusions suivent un enchaînement que l'on retrouve dans les rapports publics :
| Phase | Ce qui se passe |
|---|---|
| Reconnaissance | Recherche d'informations sur la cible, ses salariés, ses prestataires |
| Accès initial | Hameçonnage ciblé, exploitation d'un équipement exposé (messagerie, VPN, routeur), compromission d'un fournisseur |
| Persistance | Web shells, tâches planifiées, comptes légitimes, implants discrets |
| Élévation de privilèges et déplacement latéral | Vol d'identifiants, exploitation de l'annuaire, accès à distance |
| Collecte et exfiltration | Copie de messageries et de documents, envoi vers des services cloud ou des relais |
| Effacement des traces | Utilisation d'outils légitimes, nettoyage de journaux |
Trois tendances ressortent des rapports récents : l'exploitation d'équipements en bordure de réseau (messagerie, pare-feu, routeurs), l'usage d'outils légitimes pour éviter la détection, et le passage par des tiers (prestataires, éditeurs) pour atteindre la cible finale. Pour visualiser un déroulé d'attaque, essayez notre schéma de compromission.
Comment se défendre face à un APT ?
Aucun outil ne suffit face à un adversaire patient. L'approche consiste à réduire la surface d'attaque, détecter tôt et limiter les dégâts :
- Corriger vite les équipements exposés : messagerie, VPN, pare-feu, routeurs. Les avis officiels insistent sur les correctifs rapides. Notre guide pour comprendre le score CVSS aide à prioriser.
- Imposer le MFA, de préférence résistant à l'hameçonnage, sur les accès à distance, la messagerie et les comptes à privilèges.
- Segmenter le réseau et appliquer le principe du moindre privilège, pour empêcher un déplacement latéral.
- Journaliser et surveiller : conservez des journaux exploitables et cherchez les comportements anormaux. Le référentiel des Event IDs Windows présente des événements utiles.
- Déployer de la détection sur les postes : voir notre comparatif EDR, antivirus, XDR.
- Contrôler les outils d'administration à distance et limiter les flux sortants.
- Encadrer les fournisseurs : accès, contrats, délais de notification, revue régulière.
- Exploiter le renseignement sur les menaces : suivez les publications du CERT-FR, de l'ANSSI, de la CISA et des éditeurs, et testez vos détections sur les techniques décrites.
- Préparer la réponse à incident : équipes, procédures, contacts. Pour situer les rôles, lisez notre article sur les différences entre CERT, CSIRT, SOC et SecOps.
En France, l'ANSSI et le CERT-FR publient des rapports de menace et accompagnent les victimes d'incidents majeurs.
Points clés
- Un groupe APT est un adversaire organisé, doté de ressources importantes, qui cherche à rester longtemps et discrètement dans un système.
- Les principaux groupes sont rattachés par les autorités et les chercheurs à la Russie (APT28, APT29, Sandworm, Turla), à la Chine (APT1, APT41, Volt Typhoon, Salt Typhoon), à la Corée du Nord (Lazarus, Kimsuky) et à l'Iran (MuddyWater).
- Un même groupe a plusieurs noms selon les éditeurs, et l'attribution reste une évaluation.
- En France, l'ANSSI et le CERT-FR ont documenté les actions d'APT28 (attribuées publiquement le 29 avril 2025) et du Centre 16 du FSB (rapport du 13 juillet 2026).
- La défense repose sur les correctifs rapides, le MFA, la segmentation, la journalisation, la détection et la préparation à l'incident.