APT37 (Reaper)

Attribution et pseudonymes

APT37 est largement attribué à la Corée du Nord, et plusieurs éditeurs le relient spécifiquement au ministère de la Sécurité d'État du pays, ce qui le distingue des clusters à motivation financière généralement regroupés sous l'ombrelle du Lazarus Group. L'attribution repose sur un ciblage cohérent aligné avec les priorités de renseignement nord-coréennes, des malwares et une infrastructure partagés entre les campagnes, et des schémas opérationnels documentés sur plus d'une décennie par des entreprises comme Mandiant, Kaspersky, Volexity et Cisco Talos.

Parce que de nombreuses équipes ont suivi le groupe indépendamment, il porte une longue liste de noms. Les désignations courantes sont :

• APT37
• Reaper
• ScarCruft
• Group123
• InkySquid
• Ricochet Chollima
• TEMP.Reaper

Toutes désignent le même acteur. Un point mérite d'être précisé : les périmètres des groupes nord-coréens se chevauchent, et certains chercheurs signalent toute l'activité parrainée par l'État sous Lazarus plutôt que de distinguer des clusters comme APT37, de sorte que des différences d'attribution occasionnelles entre éditeurs sont normales.

Qui APT37 cible

Le ciblage d'APT37 correspond directement aux intérêts de renseignement nord-coréens. La Corée du Sud a toujours été le centre de gravité, et le groupe se concentre sur les institutions gouvernementales, l'industrie militaire et de défense, les médias, les organisations financières et les individus politiquement actifs liés aux sujets nord-coréens. Il porte une attention particulière aux personnes qui étudient ou influencent le régime : experts sur la Corée du Nord, universitaires, chercheurs en think tanks, journalistes couvrant le pays, transfuges et militants des droits de l'homme.

L'activité du groupe s'étend au-delà de la péninsule. Des rapports ont documenté sa présence au Japon, au Vietnam, en Russie, en Chine, au Népal, en Inde, au Moyen-Orient, et dans certaines parties de l'Europe et des États-Unis, généralement là où une cible détient des informations pertinentes pour Pyongyang. L'objectif est constant : collecter du renseignement stratégique qui peut alimenter la prise de décision de la Corée du Nord, plutôt que de voler de l'argent ou de provoquer des perturbations pour elles-mêmes.

Comment APT37 opère

Les techniques opérationnelles d'APT37 privilégient la discrétion et la patience, et elles ont considérablement évolué tout en conservant un noyau reconnaissable. Son activité se mappe clairement sur le framework MITRE ATT&CK.

Côté malwares, l'outil le plus connu du groupe est ROKRAT, un RAT qui utilise des services cloud pour le C2 et peut capturer des captures d'écran, collecter des identifiants et exécuter des charges utiles supplémentaires. Son arsenal plus large a inclus DOGCALL, BLUELIGHT, CORALDECK, le backdoor Dolphin et M2RAT, et en 2025 des chercheurs ont documenté KoSpy, un outil de surveillance Android, montrant le groupe s'étendant aux mobiles. APT37 utilise également des outils disponibles dans le commerce comme Cobalt Strike quand cela convient à une opération. Un thème récurrent est l'utilisation de plateformes cloud légitimes pour le C2, ce qui rend son trafic difficile à distinguer de l'activité quotidienne.

Le groupe a nettement évolué au fil des années. Les premières opérations s'appuyaient sur des exploits de documents et des backdoors personnalisés ; les plus récentes privilégient l'exécution sans fichier (fileless), les loaders LNK et l'abus d'autorisation cloud, et son passage sur Android montre qu'il suit ses cibles sur tous les appareils. Un point mérite d'être noté : bien qu'APT37 soit fondamentalement un acteur d'espionnage, il dispose de capacités destructives, notamment des malwares capables d'écraser le Master Boot Record (MBR) d'un système, de sorte que son intention dans une intrusion donnée ne doit pas être supposée être uniquement la collecte.

Campagnes notables

L'historique d'APT37 est une longue série d'opérations d'espionnage, dont beaucoup ont été nommées par les chercheurs qui les ont exposées :

• Opération Daybreak (2016) a exploité un zero-day dans Flash Player lors d'une campagne par point d'eau, avec un profileur appelé RICECURRY filtrant les visiteurs pour que seules les cibles pertinentes reçoivent l'exploit.
• Opération FreeMilk (2017) a montré une portée au-delà de la Corée, compromettant la messagerie d'un établissement financier pour hameçonner une deuxième banque en exploitant une vulnérabilité Office.
• Les campagnes InkySquid (2021), documentées par Volexity, ont compromis un site d'information sud-coréen pour délivrer des malwares via des exploits de navigateur.
• Dolphin (2022) était un backdoor plus capable utilisé contre des cibles sud-coréennes, capable de parcourir les disques et de surveiller les appareils connectés.
• L'activité 2024 et 2025 s'est poursuivie à un rythme soutenu, notamment l'exploitation d'une vulnérabilité Windows (CVE-2024-38178) pour déployer ROKRAT, des campagnes contre des experts et universitaires spécialistes de la Corée du Nord utilisant une livraison via Dropbox, et le spyware Android KoSpy, confirmant que le groupe reste très actif.

Comment se défendre contre APT37

Parce qu'APT37 s'appuie sur l'ingénierie sociale ciblée et les services légitimes plutôt que sur des intrusions bruyantes, la défense repose sur la sécurité de la messagerie, les correctifs et la détection comportementale :

1. Durcir contre le spearphishing. Un filtrage avancé des emails, l'analyse des pièces jointes et la sensibilisation des utilisateurs réduisent le principal vecteur d'entrée du groupe, à savoir un leurre convaincant avec un document ou un lien malveillant.
2. Appliquer rapidement les correctifs. Puisqu'APT37 enchaîne des exploits zero-day et des vulnérabilités connues dans les navigateurs, Office et Windows, une application rapide des correctifs ferme les vulnérabilités dont dépend son accès.
3. Surveiller les services cloud pour les abus. Parce que le C2 se cache dans Dropbox, pCloud et des plateformes similaires, surveiller l'utilisation anormale des services cloud légitimes est plus efficace que les seules listes de blocage.
4. Traquer l'activité living-off-the-land (LOTL). Surveiller PowerShell, les tâches planifiées et le DLL sideloading, et corréler ces signaux sur l'endpoint et le réseau pour faire remonter les intrusions discrètes à faible volume.
5. Utiliser le renseignement sur les menaces. Suivre les outils connus, l'infrastructure et les campagnes actuelles d'APT37 aide les équipes à reconnaître son activité en contexte et à prioriser les secteurs qu'il cible.

Avis d'expert : des techniques qui se cachent dans l'ordinaire

Ce qui rend APT37 difficile à détecter n'est pas une technologie exotique, c'est la discipline. Le groupe livre un document crédible exactement à la bonne personne, s'exécute en mémoire avec des outils déjà présents sur le système, puis communique avec ses opérateurs via les mêmes services cloud que la cible utilise au quotidien. Chaque étape est conçue pour paraître normale. Un contrôle basé sur les signatures voit une connexion Dropbox et un processus PowerShell, qui sont tous deux anodins pris individuellement, et l'intrusion se poursuit discrètement.

C'est là qu'une approche pilotée par la CTI (Cyber Threat Intelligence) gagne sa place. Sekoia est un éditeur européen de cybersécurité dont l'équipe interne Threat Detection & Research (TDR) traque les acteurs étatiques comme APT37, et ce renseignement alimente la plateforme de sorte que les outils connus, l'infrastructure et les schémas de techniques du groupe sont reconnus en contexte. Plutôt que de traiter une connexion cloud isolée ou un script comme un bruit isolé, la plateforme AI SOC de Sekoia corrèle les signaux sur l'endpoint, le réseau et le cloud et les mappe sur MITRE ATT&CK, de sorte qu'un document de harponnage menant à une exécution sans fichier et à un C2 cloud peut être vu comme une chaîne d'activité unique plutôt qu'un ensemble d'événements sans lien.

Le point pratique pour les défenseurs est qu'un acteur aussi méticuleux est détecté par le contexte, pas par une seule alerte. La prévention, comme les correctifs et le filtrage des emails, est essentielle et stoppera une part des tentatives, mais les intrusions qui passent sont celles qui semblent ordinaires, et celles-ci ne remontent qu'au moment où la télémétrie de l'identité, de l'endpoint, du réseau et du cloud est lue ensemble en regard du renseignement actuel. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est conçu pour ce type de visibilité multi-surface.