Qu'est-ce que Calisto (Star Blizzard / COLDRIVER) ?

Attribution et pseudonymes

Le 7 décembre 2023, les États-Unis, le Royaume-Uni, le Canada, l'Australie et la Nouvelle-Zélande ont conjointement attribué cet acteur au Centre 18 du FSB russe, le Centre pour la sécurité de l'information. Les États-Unis et le Royaume-Uni ont également imposé des sanctions à deux ressortissants russes, Ruslan Peretyatko et Andrey Korinets, liés aux opérations du groupe. Le renseignement occidental évalue que le groupe est presque certainement subordonné au Centre 18 du FSB, le plaçant fermement parmi les efforts de cyberespionnage dirigés par l'État russe.

Parce que de nombreux éditeurs et gouvernements ont suivi le groupe indépendamment, il porte une longue liste de noms. Les plus courants sont :

• Calisto / Callisto (également "Callisto Group")
• Star Blizzard (anciennement SEABORGIUM)
• COLDRIVER
• TA446
• Blue Charlie
• Blue Callisto
• TAG-53

Il vaut la peine d'être précis sur l'évolution de l'attribution, car elle illustre comment le renseignement sur les menaces mûrit dans le temps. Lorsque Sekoia a publié pour la première fois sur Calisto en 2022, ses analystes ont délibérément refusé de lier le groupe au renseignement russe, notant seulement que le ciblage s'alignait avec les intérêts stratégiques russes. Après l'attribution gouvernementale de 2023 et la propre enquête de suivi de Sekoia, le tableau s'est éclairci, et Sekoia concourt désormais que Calisto travaille au service du FSB. Cette progression, de l'observation prudente à l'attribution confiante étayée par des preuves, est la façon dont un travail de renseignement responsable est censé se dérouler.

Qui Calisto cible

Le ciblage de Calisto suit de près les priorités du renseignement russe, avec un fort accent sur les pays et individus liés à l'Ukraine et à la critique du Kremlin. Ses cibles habituelles comprennent :

• Gouvernement et défense, notamment des parlementaires et des contractants de la défense, particulièrement au Royaume-Uni, aux États-Unis et en Europe de l'Est.
• ONG (organisations non gouvernementales) et think tanks, comme l'Institute for Statecraft, dont les travaux touchent à la défense de la démocratie et à la lutte contre la désinformation.
• Journalistes et universitaires, notamment des experts en affaires russes et, lors d'une campagne de 2025, l'ONG de liberté de la presse Reporters sans frontières (RSF).
• Critiques du Kremlin et citoyens russes à l'étranger, notamment d'anciens responsables du renseignement et des dissidents.

Les opérations du groupe ont régulièrement coïncidé avec des moments d'importance politique, et son activité de hack-and-leak, comme la fuite de documents commerciaux entre le Royaume-Uni et les États-Unis avant les élections générales britanniques de 2019, pointe vers un objectif de façonnage de l'opinion publique autant que de collecte de renseignement.

Comment Calisto opère

La méthode de Calisto est délibérée et peu technique par rapport à de nombreux acteurs étatiques, ce qui fait en partie son efficacité. Une opération typique suit un schéma reconnaissable :

1. Recherche et usurpation d'identité. Le groupe étudie une cible et crée des personas convaincants, se faisant souvent passer pour un collègue connu, un expert ou une institution à laquelle la cible ferait confiance, parfois en établissant d'abord une relation sur plusieurs emails anodins.
2. Livraison du leurre. Il envoie un message pointant vers un document, utilisant fréquemment un service légitime comme Google Docs ou Microsoft OneDrive pour héberger un leurre. Parce que l'email lui-même ne contient pas de lien malveillant, il passe souvent les contrôles des passerelles de messagerie.
3. Collecte d'identifiants. Le lien mène à une page de phishing. L'équipe TDR de Sekoia a documenté l'utilisation par Calisto de l'outil open source Evilginx comme proxy inversé, qui s'intercale entre la cible et la vraie page de connexion pour capturer non seulement le mot de passe mais aussi le jeton d'authentification multifacteur, contournant ainsi cette protection.
4. Accès et exploitation. Avec des identifiants valides et des jetons de session, le groupe lit la boîte mail et les données de la cible, et dans certains cas exfiltre des documents pour une divulgation sélective ultérieure.

Historiquement, Calisto a privilégié cette approche de vol d'identifiants plutôt que les malwares personnalisés, bien que des rapports plus récents aient noté que le groupe commence à utiliser ses propres malwares dans certaines opérations. Son infrastructure a été large et raisonnablement disciplinée : Sekoia a lié deux douzaines de domaines Evilginx au groupe avec un niveau de confiance moyen à élevé, bien que les opérateurs aient parfois commis des erreurs, comme laisser des redirections par défaut en place, qui ont aidé les chercheurs à cartographier leurs serveurs.

Les recherches de Sekoia sur Calisto

L'équipe TDR de Sekoia a suivi Calisto sur plusieurs années d'investigation de première main, ce qui explique en partie pourquoi le groupe est bien compris. En 2022, TDR a analysé l'infrastructure de collecte d'identifiants du groupe et son utilisation d'Evilginx. Dans une enquête de suivi publiée après un article de Reuters, Sekoia a détaillé les liens techniques entre l'infrastructure de phishing du groupe et Andrey Korinets, l'un des ressortissants russes ultérieurement sanctionnés, dont le rôle apparent était l'enregistrement de domaines de phishing. En 2025, TDR a analysé une nouvelle campagne de spearphishing après avoir été contacté par des organisations ciblées, dont Reporters sans frontières. Cet ensemble de travaux, cité par des reportages internationaux, est le type de renseignement de première main qui transforme un nom dans un avis en un acteur qu'un défenseur peut réellement reconnaître et contrer.

Comment se défendre contre Calisto

Parce que Calisto attaque les personnes et les identifiants plutôt que les logiciels, la défense se concentre sur l'identité et la sensibilisation :

1. Déployer un MFA résistant au phishing. Puisque le groupe vole des jetons d'authentification multifacteur via un phishing par proxy inversé, les méthodes résistantes au phishing comme les clés de sécurité FIDO2 et les clés d'accès (passkeys), qui lient l'authentification au vrai site, sont la contre-mesure la plus efficace.
2. Former les personnes à haut risque. Les personnes travaillant dans les gouvernements, la défense, les ONG, le journalisme et la recherche sur les affaires russes devraient être informées des tactiques d'usurpation d'identité du groupe et de son utilisation de services cloud de confiance pour héberger des leurres.
3. Examiner attentivement les pages de connexion et les liens. Encourager les cibles à vérifier la vraie destination de tout lien demandant des identifiants, et à se méfier des demandes de partage de documents inattendues, même de contacts apparemment connus.
4. Détecter les signaux post-compromission. Surveiller les connexions anormales, les connexions avec déplacements impossibles et les accès inhabituels à la messagerie qui indiquent que des identifiants volés sont utilisés, et utiliser le renseignement sur les menaces pour bloquer l'infrastructure connue de Calisto.

Avis d'expert : un acteur low-tech qui dépasse les défenses high-tech

Calisto est un rappel utile qu'un acteur de la menace n'a pas besoin de malwares avancés pour être dangereux. Toute son opération repose sur la confiance : une personne crédible, un document d'apparence familière, une page de connexion qui semble correcte. Il n'y a pas d'exploit qu'un scanner puisse détecter, souvent pas de pièce jointe malveillante qu'une passerelle puisse supprimer. Lorsque le groupe collecte un jeton d'authentification multifacteur via un proxy inversé, même cette protection est contournée, et l'intrusion se poursuit sous la forme d'une connexion parfaitement valide.

C'est là que l'approche pilotée par la CTI (Cyber Threat Intelligence) a son importance, et où le travail de Sekoia sur Calisto est instructif. Sekoia est un éditeur européen de cybersécurité dont l'équipe TDR suit directement des acteurs comme celui-ci, et ce renseignement, infrastructure connue, schémas de phishing et techniques opérationnelles, alimente sa plateforme pour que l'activité soit reconnue plutôt que manquée. Parce que la partie dommageable d'une opération Calisto est l'utilisation d'identifiants volés, la détection dépend de la corrélation des signaux d'identité, comme une connexion anormale ou un jeton de session utilisé depuis une localisation inconnue, avec le contexte plus large, mappé sur le framework MITRE ATT&CK. Une seule connexion suspecte a peu de signification en elle-même ; lue en regard du renseignement actuel sur l'acteur, elle devient une piste. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est bien placé pour soutenir les organisations gouvernementales, de défense et de la société civile que des acteurs comme Calisto ciblent.