# DEFTECH Cyberpuissance russe: une multiplicité d'acteurs et de vecteurs au service d'une stratégie militaire globale

Marie-Gabrielle Bertran, Sanz Kélian

► To cite this version:

Marie-Gabrielle Bertran, Sanz Kélian. DEFTECH Cyberpuissance russe: une multiplicité d'acteurs et de vecteurs au service d'une stratégie militaire globale. 2021. hal-04632097

HAL Id: hal-04632097

https://hal.science/hal-04632097v1

Preprint submitted on 2 Jul 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
Cyberpuissance russe : une multiplicité d'acteurs et de vecteurs au service d'une stratégie militaire globale

Par Marie-Gabrielle BERTRAN et Kélian SANZ PASCUAL

Les forces armées russes ont perçu les avantages stratégiques et tactiques qu'elles pouvaient tirer de l'espace cyber dès les années 1990. Depuis le début des années 2000 et l'emploi des réseaux sociaux par des mouvements politiques dissidents (Printemps arabes, Révolution orange en Ukraine), elles ont augmenté leurs capacités défensives et offensives dans cet espace, en priorisant les domaines informationnel et psychologique.

En décembre 2020, l'entreprise de cybersécurité FireEye annonce une attaque informatique contre un logiciel de l'entreprise SolarWinds aux États-Unis. Les attaquant ont exploité des failles dans le code de la plateforme Orion, à l'aide d'un malware (logiciel malveillant) encore inconnu. Au cours des semaines suivantes, les informations se précisent : l'attaque a été discrète, et persistante. Elle aurait débuté en mars 2020 et suivi différentes étapes de propagation sur les infrastructures des utilisateurs de la plateforme. Ces derniers s'avèrent être des institutions publiques et gouvernementales, des services de sécurité et de renseignement, des producteurs d'antivirus et des acteurs de l'écosystème militaro-industriel aux États-Unis et en Europe. L'entreprise FireEye est elle-même touchée.

Présentée comme un mode d'action sophistiqué, l'attaque est rapidement attribuée à la Russie par différents officiels aux États-Unis. Le Président Donald Trump, lui, émet des doutes et pointe vers une possible culpabilité de la Chine. C'est néanmoins vers la Russie que les regards se tournent. Cette attribution rapide d'une attaque informatique d'envergure à la Russie est révélatrice de l'image de cyber-puissance véhiculée par le pays.

Depuis la campagne présidentielle de 2016, la Russie est en effet reconnue sur la scène internationale comme l'un des acteurs les plus actifs dans le cyberespace. Si l'on en croit la quantité d'articles qui leur sont consacrés, les acteurs russes seraient nombreux à y mener des actions offensives suivant des objectifs (géo)politiques, criminels ou de renseignement. C'est d'ailleurs à la Russie qu'est imputée, en 2007, ce qui est considéré comme la première cyberattaque menée par un État contre un autre, à savoir l'Estonie.

Mais quelle est la réalité derrière ces perceptions ?

Les frontières entre la cybercriminalité russophone et les groupes supposément liés aux services de renseignement sont souvent floues dans les accusations. Ces attributions incertaines conduisent à penser que toute affaire impliquant des pirates russophones doit avoir un lien direct ou indirect avec les objectifs du gouvernement russe.

Dans le même temps, la Russie fournit de plus en plus d'efforts afin d'imposer sa vision du cyberespace et des normes qui devraient s'y appliquer à l'international. Le pays se dit partisan d'une souveraineté numérique des États, dont les affaires intérieures ne devraient pas subir l'influence de puissances étrangères par le truchement des nouvelles technologies. Toutefois,
les autorités russes mettent en œuvre des initiatives qui semblent destinées à favoriser l'extraterritorialité de leur législation dans le domaine du numérique. De plus, les discours officiels, qui prônent une coopération entre États pour lutter contre les attaques causées tant par des criminels que des puissances hostiles, tranchent nettement avec la posture agressive qui leur est imputée dans le cyberespace.

Ces différents éléments amènent à se demander quelle est la stratégie suivie par la Russie dans le cyberespace. D'abord, on peut interroger les objectifs poursuivis par les législateurs russes dans l'élaboration des normes sur le cyberespace, qui s'accompagnent d'une stratégie d'influence du pays à l'échelle internationale sur le sujet. Cette tentative de projection de la puissance normative russe semble s'accompagner d'une projection de la puissance offensive du pays dans le cyberespace, comme l'indiquent les cyberattaques qui lui sont attribuées. Au vu de ces attributions, ces attaques répondent également à des logiques d'influence et de déstabilisation dans le domaine informationnel : une double stratégie qu'il convient d'étudier.

## Des initiatives normatives qui servent la stratégie cybernétique russe

Depuis le retour de Vladimir Poutine au poste de Président de la Fédération de Russie en 2012, on observe un net durcissement des normes qui régissent les nouvelles technologies, en particulier l'Internet. Ce durcissement est attribué par les experts à la vague de mécontentement qui a suivi son échange de positions avec son ancien Premier Ministre, Dmitry Medvedev. Cette manœuvre politique a été perçue en effet, par une partie de la population, comme un bafouement du système démocratique auquel le pays semblait enfin parvenu. Des manifestations ont éclaté entre fin 2011 et début 2012 pour réclamer le départ de V. Poutine, et les organes de force ont pu, à cette occasion, mesurer l'impact que les réseaux sociaux pouvaient avoir sur la société, ainsi que le danger qu'ils pouvaient représenter pour la stabilité du pouvoir en place.

Du côté de la politique intérieure, des mesures visant à renforcer la résistance de l'État vis-à-vis de ceux qu'il considère comme ses adversaires ont été mises en place. Il s'agit là de la principale crainte que le gouvernement russe associe à l'Internet : le réseau serait un véhicule et un moyen d'exercice de l'influence délétère de ses adversaires étrangers, qui s'en serviraient pour entraver la poursuite des intérêts russes et déstabiliser le pays. Le gouvernement soupçonne en particulier les « États occidentaux » de fomenter des « révolutions de couleur » afin de prendre le contrôle des anciennes républiques socialistes soviétiques. Vladimir Poutine l'a expliqué lui-même en 2014. Selon l'une de ses déclarations, le réseau internet aurait été développé par les services de renseignement américains et leur servirait aujourd'hui encore comme un outil qui leur permettrait d'agir partout dans le monde¹.

Pour mieux comprendre la conception russe du cyberespace et les opportunités et menaces qu'il représente pour ses institutions, il faut s'arrêter sur l'expression utilisée en russe pour y faire référence. On parle en effet plus souvent en russe d'« espace informationnel » (« *informacionnoe prostranstvo* ») que d'« espace cybernétique » (« *kiberprostranstvo* »). Ainsi, alors que les conceptions américaines et européennes de l'Internet considèrent davantage la réalité technique que le terme recouvre, ce sont les informations véhiculées par cette technologie qui constituent le cœur de la représentation russe.

C'est pour cette raison que les mesures défensives mises en place dans le cadre de la cyberstratégie russe tournent le plus souvent autour du contrôle de l'information. L'objectif généralement recherché est d'empêcher toute tentative d'influence informationnelle de la part d'un adversaire sur la population russe, qui serait destinée à répandre une opinion négative au
sujet de ses dirigeants. Cette posture défensive permettrait ainsi d'entraver les mouvements politiques d'opposition qui pourraient déboucher sur une « révolution de couleur ». Plusieurs initiatives montrent que l'État russe cherche à disposer de moyens de contrôle étroits sur les informations qui circulent sur son « segment de l'Internet », et sur les individus et les entités qui sont en droit d'en diffuser (journalistes, organes de presse, blogueurs et médias en ligne etc.).

La loi Yarovaya signée en 2016 et entrée en vigueur en 2018 est un exemple emblématique de la mise en place de ce contrôle. Surnommée « loi anti-terrorisme », elle oblige les F.A.I. (fournisseurs d'accès à l'Internet) russes à conserver une copie des données qui transitent par leur réseau pour une durée de trois ans². Cette copie doit permettre aux services de renseignement de repérer d'éventuels « terroristes » ou « extrémistes », mais elle leur offre aussi un pouvoir de surveillance étendu sur toutes les communications qui circulent via l'Internet russe.

La loi dite des « agents de l'étranger » revêt également une importance primordiale dans la cyberstratégie russe. L'expression a d'ailleurs une forte connotation, associée aux affaires d'espionnage de l'époque de la Guerre Froide. Signée et entrée en vigueur en 2012, peu après les manifestations anti-Poutine, cette loi a connu de nouveaux amendements entre fin 2020 et début 2021. Ces remaniements ont coïncidé avec le retour de l'opposant politique Alexeï Navalny en Russie et avec les manifestations de soutien qui ont été organisées en sa faveur après son hospitalisation en Allemagne, suite à une tentative d'empoisonnement qui a été attribuée au F.S.B. (service fédéral de la sécurité) par le média d'investigation Bellingcat.

La version actuelle de la loi oblige les ONG, médias et individus qui « diffusent de l'information sur Internet » à déclarer tout financement en provenance de l'étranger, et à s'inscrire sur une liste (dite des « agents étrangers »). Ce financement peut revêtir différentes formes, depuis la subvention d'un État étranger au simple virement bancaire d'un citoyen non-russe. Les entités qui figurent sur cette liste ont l'obligation de le signaler en ajoutant systématiquement une mention à toute publication sur un média ou un blog. Elles perdent également l'accès à de nombreuses sources de financement en Russie. Des amendes sont aussi prévues pour tout média ou blogueur qui citerait l'une de ces entités sans en indiquer le statut.

Une dernière loi complète l'arsenal législatif qui sert le volet défensif de la cyberstratégie russe. Il s'agit de la loi « sur l'Internet souverain », signée et entrée en vigueur en 2019. Elle impose notamment aux FAI d'installer sur leurs infrastructures des boîtiers D.P.I. (Deep Packet Inspection) appelés dans la loi « appareils de lutte contre les menaces » (TSPU), qui permettent le contrôle des données en transit sur leur réseau. L'objectif global de la loi est à la fois de permettre une gestion centralisée du « segment russophone de l'Internet » et de faire coïncider les frontières physiques de la Russie avec ce segment. Utilisée de concert avec les injonctions de suppression de contenu envoyées par l'agence Roskomnadzor, le régulateur de l'Internet russe, elle permet d'exercer un contrôle important sur les sites consultés sur le territoire, notamment sur les réseaux sociaux.

Début 2021, un bras de fer de quelques semaines s'est justement engagé entre Roskomnadzor et Twitter par le biais de cette loi. L'agence a requis la suppression de quelques milliers de publications et s'est servi des TSPU pour ralentir les flux de données entrants et sortants vers le réseau social. L'affrontement s'est terminé par l'obtempération de Twitter. Grâce à cette loi, les entreprises étrangères peuvent donc être également soumises au contrôle de l'État.

Mais loin de se cantonner au territoire russe, ces mesures servent également des objectifs qui
pourraient s'apparenter à des tentatives d'ingérence sur les plans légal et normatif à l'étranger. Roskomnadzor ne se limite pas en effet aux tentatives de contrôle sur les contenus diffusés sur le « segment russophone d'Internet ». L'agence entend également contrôler les messages postés par des individus ou des entités qui n'ont pas de lien direct avec la Russie, et ne se sont jamais rendus dans le pays. En mars 2021, des artistes japonais ont ainsi été rappelés à l'ordre par Roskomnadzor après avoir publié sur Twitter des œuvres considérées comme illégales en Russie. Leurs comptes sont devenus inaccessibles jusqu'à ce qu'elles soient retirées de la plateforme. Il semble donc que l'État russe cherche désormais à faire appliquer l'extraterritorialité de son droit, à la manière de ce que font déjà les États-Unis. La réussite de cet objectif pourrait permettre d'employer les mesures citées auparavant, qui ont un but défensif sur le territoire russe, à des fins plus actives à l'extérieur.

Enfin, on observe depuis quelques années un effort accru de la part de la Russie pour faire adopter sa propre perception de l'Internet à d'autres États. Le concept de souveraineté numérique en particulier, est présenté aux « partenaires étrangers » comme un objectif souhaitable qui devrait être poursuivi dans la législation internationale du cyberespace. L'adoption généralisée de cette posture au niveau international permettrait à chaque État d'exercer individuellement un contrôle plus important sur son propre « segment de l'Internet » et ses internautes. Cependant, elle aurait aussi pour effet de réduire la coopération internationale pour la gouvernance de l'Internet, puisqu'elle sous-tend l'idée que les États seraient les seuls acteurs légitimes de cette gouvernance (et non les acteurs internationaux tels que l'I.C.A.N.N.). Ainsi, elle pourrait contribuer à diminuer les possibilités de coopération dans la lutte contre la cybercriminalité ; favorisant de facto la réussite et le maintien des opérations cybernétiques qui constituent l'un des deux volets offensifs de la cyberstratégie russe.

## Cyberattaques attribuées à la Russie : déstabiliser les adversaires stratégiques, un objectif commun d'acteurs multiples

Des actions offensives dans l'espace cyber sont en effet également mises en œuvre en lien avec des intérêts russes. Les récentes tensions entre la Russie et l'Ukraine ont ainsi été ponctuées d'attaques informatiques. Ces tensions ont atteint un pic lors des exercices militaires russes qui ont eu lieu à la frontière avec le Donbass autour du 20 mars 2021 et durant tout le mois d'avril.

Les spécialistes en cybersécurité ont notamment décrit des attaques menées en Ukraine par un groupe surnommé Primitive Bear, ou Gamaredon, généralement associé au FSB. Selon certains chercheurs, ce groupe pourrait néanmoins être composé d'opérateurs qui appartiendraient plutôt à une entité non-étatique ou privée (groupes de pirates informatiques ou entreprise) qui réaliserait des actions commanditées sur contrat³.

L'histoire des actions offensives menées dans le cyberespace par les services de sécurité russes est ancienne (à l'échelle du développement du réseau internet mondial). Elle remonterait aux années 1990, qui ont été marquées par l'attaque informatique la plus importante de l'histoire des États-Unis avec l'opération *Moonlight Maze*, avant la découverte de la compromission du logiciel Orion (SolarWinds) en 2020. L'attaque, menée entre 1996 et 1998, année de sa découverte, avait permis aux services de sécurité russes de récupérer des documents hautement stratégiques grâce à l'obtention d'un accès très large aux systèmes d'information de plusieurs institutions de défense aux États-Unis.

Lors de sa découverte, les enquêteurs se sont rendu compte que les attaquants avaient utilisé l'infrastructure d'un FAI russe, Cityline, ainsi qu'un code informatique qui comprenait des
éléments en cyrillique. Ces indices avaient amené un groupe d'enquête du F.B.I. (Federal Bureau of Investigation) à se rendre en Russie après en avoir informé les autorités russes, pour obtenir plus d'éléments au sujet de l'attaque. Une fois sur place, les enquêteurs avaient obtenu la confirmation (informelle) que l'attaque avait été menée par les services de sécurité russes eux-mêmes⁴.

Au cours des années 2000, les capacités cyber-offensives russes, déjà développées par les services de sécurité, se sont enrichies par la mise en place de nouvelles capacités par les forces armées et le Ministère des Affaires Étrangères russes, incarnées par des groupes d'attaquants professionnels appelés APTs (Advanced Persistent Threats). Ces groupes sont aujourd'hui souvent associés par les chercheurs en sécurité informatique aux services de renseignement militaires (G.R.U.) et extérieurs (S.V.R.), en plus des groupes généralement associés au FSB.

Les observateurs des conflits récents qui ont impliqué la Russie ont d'ailleurs remarqué à plusieurs reprises que des actions offensives avaient été menées dans le cyberespace, en combinaison avec des actions cinétiques (qui employaient des moyens conventionnels). Ainsi, le cas de la Géorgie en 2008 semble avoir été le premier conflit impliquant des attaques informatiques exécutées en synchronisation avec les attaques conventionnelles menées directement sur le territoire (bombardements, avancée de troupes au sol, brouillage électronique etc.). Plusieurs chercheurs en sécurité informatique ont en effet constaté que des attaques de déni de service distribué (DDoS), menées contre les sites officiels des autorités et de médias géorgiens, avaient concordé avec des bombardements⁵.

Par ailleurs, d'après certains observateurs du US-CCU (U.S. Cyber Consequences Unit), ces attaques avaient été lancées à partir d'infrastructures habituellement associées à un groupe cybercriminel russophone, qui les proposait à la location pour mener ce type d'attaques (DDoS-for-hire), mais aussi pour propager des rançongiciels (ransomware) et du SPAM. Suivant ces observations, le groupe avait donc pu prêter ou louer son infrastructure aux forces armées russes dans le cadre du conflit, voire exécuter lui-même ces attaques à leur demande ou sur contrat.

Parallèlement à l'implication directe ou indirecte d'un groupe de cybercriminels dans le conflit, le cas géorgien a permis d'observer la mobilisation apparente de pirates informatiques « patriotes » (ou de « hackers patriotes ») par le biais de forums et de sites qui ont servi à organiser les attaques⁶. Selon Tim Maurer dans Cyber Mercenaries: The State, Hackers, and Power (2018), ces sites et forums ont en effet servi à diffuser les scripts (courts programmes ou éléments de code) à utiliser pour mettre en place un envoi de requêtes (ping) continu vers les sites et serveurs géorgiens à mettre hors-ligne.

La possibilité qu'il existe des collaborations ponctuelles ou de long terme entre les services de renseignement russes et des pirates informatiques non-affiliés à l'État est ainsi de plus en plus évoquée par les experts en cybersécurité. Elle semble désormais être prise en compte par les autorités américaines, puisque l'administration Biden a déclaré la Russie « partiellement responsable » de cyberattaques par rançongiciel. Le pays serait en effet considéré comme un « paradis pour les hackers », qui encourraient peu de risques de poursuites tant qu'ils exercent leurs activités sur des cibles extérieures au territoire de la Fédération de Russie. Il s'agirait même d'une règle tacite respectée par les groupes de cybercriminels russophones, qui serait visible jusque dans le code de leurs logiciels malveillants. Certains de ces logiciels contiennent en effet des fonctions qui visent à empêcher automatiquement l'exécution de leurs charges utiles (payloads) dès lors qu'un système d'exploitation configuré en cyrillique est détecté sur la machine infectée, interrompant ainsi l'attaque.
L'existence de relations potentielles entre des pirates informatiques et les structures de force russes a récemment fait l'objet de plusieurs enquêtes de journalistes, en particulier au sujet de Maksim Yakubets, dirigeant supposé du groupe cybercriminel Evil Corp, qui bénéficierait d'une coopération avec le FSB. Le service fermerait les yeux sur ses activités, voire lui donnerait accès à des informations confidentielles en échange d'opérations ponctuelles.

Si ces collaborations supposées entre groupes cybercriminels, pirates informatiques indépendants et organes de force russes existent, elles permettent de relativiser l'importance des capacités cybernétiques de ces derniers.

Malgré les risques qu'elle poserait du point de vue de la stabilité des capacités cyber-offensives russes, cette porosité entre services de renseignement et cybercriminels présenterait certains avantages. L'emploi indirect de ces spécialistes des cyberattaques permettrait en effet aux services russes de mettre en œuvre des opérations offensives, tout en bénéficiant de la possibilité de nier leur implication dans ces attaques, suivant la théorie du déni plausible (plausible deniability), ou implausible (implausible deniability⁷). Elle leur permettrait également de concentrer leurs efforts dans d'autres domaines stratégiques, en particulier celui de la sphère informationnelle, qui constitue une priorité dans la cyberstratégie russe.

## Le cyber, élément indissociable d'une stratégie globale mêlant actions informationnelles et opérations psychologiques

Les attaques cybernétiques ne doivent pas être considérées en effet comme un domaine à part entière, qui serait indépendant des mesures d'influence attribuées à la Russie. Étant donné que le cyberespace est perçu en Russie au travers du prisme des informations qui y circulent, les opérations cyber-offensives qui y sont menées répondent aussi généralement à des objectifs informationnels (influence, désinformation etc.). La Russie se voit notamment attribuer des opérations dites de « hack and leak », qui consistent à s'introduire sur des réseaux ciblés pour y dérober des informations qui sont ensuite diffusées afin d'obtenir un effet escompté sur une population donnée.

L'exemple le plus médiatisé de ce type d'opérations reste à ce jour le vol des e-mails du Parti démocrate aux États-Unis, et leur diffusion via WikiLeaks en 2016. Ici, l'objectif recherché était de provoquer un scandale politique interne, probablement dans le but de discréditer la candidate démocrate Hillary Clinton. S'il est impossible de dire si cette opération a eu un impact sur sa défaite face à Donald Trump, il est indéniable que la fuite de données qui s'en est suivie a bénéficié d'une couverture médiatique importante, défavorable au Parti démocrate, et largement amplifiée par le candidat républicain.

Certaines opérations de hack and leak vont cependant plus loin que la révélation d'informations compromettantes. En 2017, le Citizen Lab a décrit l'usage d'une pratique soviétique qu'il a intitulée tainted leaks (« fuite de données manipulées »), qui consiste à dissimuler de fausses informations au sein de documents authentiques publiés lors d'une fuite de données⁸. Le Citizen Lab donne notamment l'exemple du journaliste David Satter, dont l'adresse Gmail a été compromise lors d'une campagne de hameçonnage, et dont les e-mails ont ensuite été diffusés sur le site des CyberBerkut, un groupe de « hacktivistes » pro-russes actifs en Ukraine. Ces e-mails contenaient des documents qui avaient été modifiés afin de faire croire que D. Satter rémunérait des activistes et opposants politiques en Russie, pour qu'ils écrivent des articles à charge contre leur gouvernement. Cette opération aurait donc eu pour objectif de porter atteinte à la crédibilité et à la réputation d'individus et d'entités opposés au pouvoir politique russe, en les présentant comme servant les intérêts d'un État étranger, les États-Unis.
Certaines opérations informationnelles attribuées à la Russie s'appuieraient aussi sur les représentations que la communauté internationale se fait des cyberattaques, et sur la peur qu'elles suscitent au sein des sociétés. On peut citer deux exemples caractéristiques : l'un, de nouveau aux États-Unis, concerne le prétendu piratage suivi d'une fuite d'une base de données d'électeurs américains durant la campagne présidentielle de 2020. Des médias avaient rapporté que des pirates russes étaient parvenus à s'introduire dans les systèmes des commissions électorales et à faire fuiter des informations sur les électeurs. Or, il s'est avéré qu'il s'agissait d'une manœuvre informationnelle : si les systèmes avaient bien subi une tentative d'intrusion, les données publiées, présentées comme sensibles, étaient déjà publiques en réalité. L'opération avait donc pour objectif probable de décrédibiliser la fiabilité et la sécurité des systèmes informatiques électoraux aux États-Unis, et de préparer le terrain à une contestation des résultats, voire à des accusations de fraude.

L'autre exemple concerne le piratage de l'Agence européenne du médicament (EMA) à l'automne 2020. Cet incident a été attribué début 2021 à des pirates informatiques agissant en accord avec les intérêts russes. Selon le journal néerlandais *De Volkskrant*, l'intrusion avait pour but de découvrir la stratégie de vaccination mise en œuvre au sein de l'Union européenne. L'EMA a indiqué que des documents concernant les pays qui devaient utiliser le vaccin Pfizer et le nombre de doses prévues avaient été consultés. La composition du vaccin de BioNTech n'aurait, en revanche, pas intéressé les pirates.

Dans cette affaire, au-delà de l'objectif de renseignement poursuivi par les attaquants, les observateurs ont pu remarquer qu'un discours visant à dénigrer Pfizer avait commencé à circuler sur des sites réputés liés aux opérations informationnelles russes. Selon ce discours, l'absence de réaction officielle du laboratoire et de l'EMA après le piratage aurait été le signe que l'Union européenne cherchait à couvrir des activités malhonnêtes de BioNTech, telles que la manipulation de statistiques9. Là encore, l'opération informationnelle ne reposait pas véritablement sur la publication d'éléments compromettants, mais sur la simple idée qu'un piratage avait été commis.

L'existence de ce type de stratégies semble d'ailleurs confirmée par les « Aquarium Leaks », un corpus de documents qui a été publié en décembre 2020 par la Free Russian Foundation. Il révèlerait le fonctionnement de l'unité n°54777 du GRU, héritière du Département de propagande spéciale de la Direction politique centrale des Forces armées de l'URSS. Cette unité serait chargée des opérations de « guerre psychologique », qui peuvent être menées en « temps de paix » (période dédiée à la préparation du « temps de menace »), en « temps de menace » (dégradation brutale de la situation internationale) et en période de « conflit » (affrontement ouvert qui succède au « temps de menace »). Suivant ces éléments, la stratégie russe ne considérerait donc les périodes de paix que comme un état de transition entre deux périodes de conflit. Cette posture stratégique expliquerait l'apparente agressivité des manœuvres russes à plusieurs niveaux (cybernétique et informationnel, militaire et paramilitaire etc.).

Enfin, les « Aquarium Leaks » mentionnent l'existence de « méthodes sales » dans « l'armement informationnel et psychologique ». Elles incluent la désinformation, le mensonge, la manipulation des faits, la distorsion du contenu de messages, la mise en avant des aspects négatifs de l'action d'un adversaire ou de son implication dans une situation donnée, et l'absence de commentaire (le silence) au sujet des aspects positifs de cette action. Ces méthodes incluent également l'idée d'un jeu sur l'alternance entre informations fiables et fausses informations. Les opérations de « hack and leak », de « tainted leaks » et l'utilisation de la représentation des cyberattaques dans l'imaginaire collectif pour influer sur un public
cible semblent donc correspondre à ces « méthodes sales ».

La stratégie présentée dans les « Aquarium Leaks » tend ainsi à confirmer l'imbrication étroite des attaques informatiques et des opérations informationnelles qui emploient des moyens numériques au sein de la cyberstratégie des forces armées russes, mais aussi au sein de leur stratégie globale, qui aurait prioritairement des objectifs psychologiques. La cyberstratégie constituerait ainsi, dans la représentation militaro-stratégique russe, un volet parmi d'autres de la guerre psychologique.

1. « Tout cela est né en tant que projet spécial de la CIA des États-Unis, et continue de se développer dans cette logique » (« Все это возникло как спецпроект ЦРУ США, так и развивается »). Voir « Владимир Путин: интернет возник как проект ЦРУ, так и развивается », 24 avril 2014, https://www.kommersant.ru/doc/2459649.

2. Voir à ce sujet « Russia's 'Big Brother' Law Enters Into Force », 1er juillet 2018, https://www.themoscowtimes.com/2018/07/01/russias-big-brother-law-enters-into-force-a62066.

3. « It has been considered an APT for a long time, however, its characteristics don't match the common definition of an APT. We should consider the possibility of this not being an APT at all, rather being a group that provides services for other APTs, while doing its own attacks on other regions/victimology. ». Voir « Gamaredon - When nation states don't pay all the bills », 23 février 2021, https://blog.talosintelligence.com/2021/02/gamaredonactivities.html.

4. À ce propos, voir Andy Greenberg, *Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin's Most Dangerous Hackers*, Part II - Origins, 11 - Flashback: Moonlight Maze, éd. Doubleday, New York, 2019, p. 87-90.

5. Voir à ce sujet Tim Maurer, *Cyber Mercenaries: The State, Hackers, and Power*, 6 - Cyber Proxies on the Loose: The Former Soviet Union, « Blitz Orchestration: War Against Georgia in 2008 », Carnegie Endowment for International Peace, Cambridge University Press, 2018, p. 101.

6. Voir John Bumgarner et Scott Borg, « Overview by the US-CCU of the Cyber Campaign Against Georgia in August of 2008 », août 2009, http://www.projectcyw-d.org/resources/items/show/138.

7. Possibilité pour un État de nier son implication dans une attaque (opération offensive cinétique ou cybernétique), tout en laissant paraître sa capacité à la mener, à des fins de dissuasion. Voir Rory Cormac et Richard J. Aldrich, « Grey is the new black: covert action and implausible deniability », *International Affairs*, n°94, mars 2018.

8. Voir Adam Hulcoop, John Scott-Railton, Peter Tanchak, Matt Brooks et Ron Deibert, « Tainted Leaks: Disinformation and Phishing With a Russian Nexus », *Citizen Lab*, 25 mai 2017, https://citizenlab.ca/2017/05/tainted-leaks-disinformation-phish/.

9. Voir Sergiu Gatlan, « Hackers leak stolen Pfizer COVID-19 vaccine data online », *BleepingComputer*, 12 janvier 2021, https://www.bleepingcomputer.com/news/security/hackers-leak-stolen-pfizer-covid-19-vaccine-data-online/.