Après plusieurs années de silence, le célèbre fournisseur de logiciels espions HackingTeam, aujourd’hui rebaptisé Memento Labs, refait surface avec un nouveau logiciel espion nommé Dante. La découverte a été annoncée par l’équipe GReAT (Global Research and Analysis Team) de Kaspersky lors du Security Analyst Summit 2025, qui s’est tenu en Thaïlande, soulignant une nouvelle vague de cyberespionnage ciblant des organisations stratégiques à travers le monde.
Cette révélation s’inscrit dans le cadre de l’opération ForumTroll, une campagne de menaces persistantes avancées (APT) exploitant une vulnérabilité zero-day de Google Chrome (CVE-2025-2783). Dès mars 2025, les chercheurs ont identifié des attaques par phishing ultra-ciblé, utilisant de faux messages d’invitation au forum Primakov Readings, visant les médias russes, les institutions financières, les établissements d’enseignement supérieur et certaines agences gouvernementales.
LeetAgent et Dante : un duo d’espionnage sophistiqué
L’enquête a révélé l’utilisation du logiciel espion LeetAgent, se distinguant par ses commandes en leet speak, un détail rare dans le monde des APT. Mais c’est surtout la découverte de Dante, un logiciel plus avancé et fortement obfusqué, qui a marqué les chercheurs. Dante partage un framework de chargement commun avec LeetAgent, confirmant la filiation entre les deux malwares et la coordination des attaques.
Grâce à des techniques d’anti-analyse sophistiquées, incluant l’offuscation VMProtect, Dante reste difficile à détecter. Le logiciel effectue une analyse préalable de l’environnement cible avant de se déployer, ce qui lui permet d’échapper à la surveillance classique et aux solutions de sécurité traditionnelles. Les chercheurs ont pu identifier Dante comme un produit commercial de Memento Labs, confirmant le lien avec l’ancien HackingTeam, et noter des similitudes avec le Remote Control System historique de l’entreprise.
« L’existence de fournisseurs de logiciels espions est bien connue, mais leurs produits restent difficiles à identifier, surtout lors d’attaques ciblées. Pour découvrir l’origine de Dante, il a fallu décortiquer des couches de code obscurci et retracer des empreintes à travers des années d’historique malware », explique Boris Larin, chercheur principal chez Kaspersky GReAT.
Des attaques ciblées à l’international
L’analyse de Kaspersky montre que LeetAgent est utilisé depuis 2022, principalement pour des attaques en Russie et en Biélorussie. Les messages et outils utilisés par le groupe APT témoignent d’une maîtrise linguistique avancée, bien que quelques erreurs indiquent que les auteurs ne sont pas des locuteurs natifs. Ces attaques ciblées révèlent une stratégie de cyberespionnage extrêmement structurée, adaptée aux institutions à haute valeur informationnelle.
Implications pour les entreprises et les DRH
Pour les décideurs RH et les responsables de la sécurité, la découverte de Dante illustre l’importance cruciale de renforcer la cybersécurité au niveau organisationnel. Au-delà de la protection des systèmes informatiques, les campagnes de phishing sophistiquées soulignent le rôle des collaborateurs comme première ligne de défense. La sensibilisation et la formation continue des équipes, la mise en place de solutions de détection avancées comme Kaspersky Next XDR Expert, et la veille proactive via des programmes de threat intelligence deviennent indispensables.
Cette révélation démontre également la nécessité de développer une culture de cybersécurité intégrée dans l’entreprise, où la collaboration entre départements IT, RH et direction est essentielle pour anticiper et neutraliser les menaces.
Les détails techniques et indicateurs de compromission sont disponibles pour les clients via le portail Kaspersky Threat Intelligence, tandis que l’article complet et les mises à jour sur ForumTroll et Dante sont accessibles sur Securelist.
