Depuis plusieurs semaines , les attaquants ciblent de plus en plus des entités issues de secteurs comme le gaz , le pétrole , la fabrication et les télécommunications , qui hébergent tous des infrastructures critiques . Parmi les groupes et acteurs de la menace , on retrouve ATP28 , ou Fancy Bear . Affilié à la direction générale des renseignements de l'État-Major russe , il vise des utilisateurs ukrainiens en utilisant une nouvelle variante de malware . Celui-ci est distribué via un exécutable en . Net , contenu dans des fichiers zip protégés par mot de passe que l'on retrouve en pièces jointes dans des e-mails . Une fois exécuté , le malware vole cookies et autres mots de passe enregistrés sur les navigateurs Chrome , Firefox et Edge . Ensuite , il exfiltre les données vers un compte de messagerie compromis . Autre groupe particulièrement actif : Turla . S'il est rattaché au FSB russe ( le service fédéral de sécurité ) , il mène ses campagnes contre les pays baltes , en visant plus particulièrement les organisations cyber et de défense de la région . Généralement , le groupe envoie un e-mail piégé contenant un lien qui pousse l'utilisateur à ouvrir un fichier DOCX hébergé sur une infrastructure contrôlée par l'attaquant qui , une fois ouvert , tente de télécharger un fichier PNG depuis cette même infrastructure . COLDRIVER , aussi connu sous le nom de Callisto , utilise des comptes Gmail pour envoyer ses e-mails de phishing d'informations d'identification , aussi bien à destination de comptes Google que d'autres comptes . Basé en Russie , le groupe derrière COLDRIVER vise davantage des acteurs institutionnels , tels que des politiciens , responsables gouvernementaux , ONG , think tanks et journalistes . Généralement , il procède à ses méfaits en envoyant des liens de phishing dans des e-mails , liens qui redirigent les utilisateurs vers des fichiers PDF ou DOC hébergés sur Google Drive et Microsoft One Drive , mais qui abritent un lien vers un domaine contrôlé par l'attaquant .