Nouvelle backdoor, même théâtre d’opérations. Google Threat Intelligence Group a détaillé STOCKSTAY, un backdoor .NET attribué avec un niveau de confiance élevé au groupe russe Turla, aussi suivi sous les noms SUMMIT, Secret Blizzard, VENOMOUS BEAR ou UAC-0194. L’outil a été observé dans des campagnes de phishing visant des organisations gouvernementales et militaires en Ukraine, avec quelques cibles liées à la politique étrangère italienne.
Points clés
- Google attribue avec un niveau de confiance élevé le backdoor .NET STOCKSTAY au groupe russe Turla, actif depuis décembre 2022.
- Le malware modulaire communique via WebSocket et partage du code avec l’outil KAZUAR déjà attribué au groupe.
- Les campagnes ont visé des cibles gouvernementales et militaires ukrainiennes via fichiers RDP piégés et archives RAR, avec environ 30 % d’ouverture des e-mails.
- STOCKSTAY a été déployé aux côtés d’autres outils Turla (WILDDAY, DIAMONDBACK, KAZUAR) sur des infrastructures compromises.
STOCKSTAY, un malware modulaire repéré depuis 2022
Selon Google, STOCKSTAY est développé et déployé par Turla depuis au moins décembre 2022. Le code partage des recoupements fonctionnels et techniques avec KAZUAR, un autre outil déjà attribué au groupe. Le backdoor sert à des opérations d’espionnage en cours et s’inscrit dans une chaîne plus large de collecte d’informations.
Google décrit un fonctionnement modulaire, avec plusieurs composants qui se partagent les tâches de tunnel, d’orchestration et d’exécution des commandes. Le malware communique avec son infrastructure de commande et de contrôle via WebSocket, un choix qui permet de masquer plus facilement le trafic dans des échanges applicatifs courants.
Phishing, infrastructures compromises et leurres ukrainiens
Les campagnes observées par Google ont reposé sur des fichiers RDP malveillants et sur des archives RAR piégées. Dans un cas, un compte e-mail compromis a envoyé en avril 2025 un message se faisant passer pour une université ukrainienne au sujet d’un nouvel environnement d’enseignement à distance. Dans un autre, une archive nommée calculator.rar a été soumise à VirusTotal le 8 août 2025, alors qu’elle était hébergée depuis au moins le 22 juillet 2025 sur une infrastructure compromise appartenant à une société informatique ukrainienne.
Cette archive contenait un fichier HTA malveillant intitulé Калькулятор грошового забезпечення військовослужбовців 2025.hta, soit une fausse application de calcul des indemnités pour militaires. Google indique que l’archive STOCKSTAY complète avait été préparée sur l’infrastructure compromise pendant que les leurres initiaux étaient encore modifiés. La compromission initiale du serveur ukrainien remonte, via un tiers de confiance, à une date antérieure ou égale au 13 mai 2025.
Les opérations se sont poursuivies les 12 et 14 novembre 2025. Google précise qu’environ 30 % des destinataires des e-mails de phishing ont ouvert les messages, sans pouvoir confirmer combien ont ensuite téléchargé ou exécuté les charges utiles. Les comptes Google concernés ont été placés sous vérifications d’authentification supplémentaires et les utilisateurs touchés ont reçu des alertes via le dispositif Government Backed Attack Warning.
Une campagne alignée sur les intérêts russes en Ukraine
Une part importante des opérations STOCKSTAY vise des organisations gouvernementales ou militaires en Ukraine, en cohérence avec les intérêts russes dans le contexte de la guerre en cours. Une autre partie des opérations touche des entités européennes. Dans plusieurs cas, l’infrastructure compromise utilisée pour diffuser STOCKSTAY hébergeait aussi des éléments de l’infrastructure KAZUAR orientée victimes.
Google indique enfin que Turla a été vu lors d’une mission de Mandiant Incident Response en train de déployer STOCKSTAY aux côtés d’autres malwares propriétaires du groupe, notamment WILDDAY, DIAMONDBACK et KAZUAR. La campagne s’appuie sur des leurres crédibles, des serveurs compromis sur le terrain et un outillage conçu pour durer.
