Groupe d'espionnage informatique identifié

Un groupe d'espionnage informatique lié à la Chine, connu sous le nom de VAPOR PANDA, utilise des outils open source pour cibler un large éventail d'organisations dans au moins 14 pays, selon un rapport de CrowdStrike.

Outils utilisés dans les attaques

Le groupe utilise ARTEX, un cadre open source qui coordonne des agents d'intrusion, pour mener ses opérations depuis le 17 octobre au moins. Ces opérations ont visé plus de 200 organisations, notamment des ministères en Europe, des laboratoires pharmaceutiques américains, des entreprises de semi-conducteurs, des sous-traitants de la défense, des installations nucléaires et des établissements financiers.

Instructions humaines utilisées

Le groupe a été observé utilisant une méthode particulière fondée sur des instructions humaines en chinois, étiquetées « instruction humaine » (human instruction) et adressées à des agents d'IA déployés au sein du réseau d'une multinationale pharmaceutique. Ces instructions consistaient notamment à identifier les machines Windows non protégées par le logiciel de sécurité Falcon de CrowdStrike, que les attaquants cherchaient à éviter.

Évolution des cibles

CrowdStrike indique que VAPOR PANDA a déplacé son attention, qui visait principalement depuis 2021 les agences gouvernementales, les groupes de réflexion et le secteur de l'énergie, vers un ministère européen des Affaires étrangères, sa présidence, le cabinet du Premier ministre, ainsi que les administrations de la défense, de la justice, des finances et du renseignement. Une autre opération a visé 19 organisations américaines dans les secteurs pharmaceutique, des semi-conducteurs, de la défense, du nucléaire et de la finance.

Infiltration et porte dérobée

CrowdStrike confirme que le groupe a réussi à infiltrer neuf des organisations ciblées, en installant une porte dérobée connue sous le nom de BLOODALCHEMY, répertoriée depuis 2023. Le groupe a également tenté d'accéder à des identifiants dans au moins 12 autres organisations, dont des administrations européennes.

Modèles d'IA utilisés

Le groupe a principalement utilisé DeepSeek, un modèle d'IA commercial, ainsi qu'un autre modèle commercial que CrowdStrike n'a pas pu identifier. Les agents de planification ont consommé environ 1,4 milliard de jetons en entrée lors d'une intrusion, ce qui indique un choix délibéré de construire une chaîne d'outils indépendante de tout fournisseur de modèle unique, en s'appuyant sur des composants open source et des abonnements commerciaux.

Exploitation de vulnérabilités connues

Le rapport souligne que le groupe n'a pas inventé de nouvelles techniques, mais a exploité des vulnérabilités déjà connues. Dans un laboratoire pharmaceutique américain, les attaquants ont utilisé une assertion SAML non signée et une faille XML pour interroger le service de métadonnées du cloud, obtenant ainsi un rôle capable de commander des milliers d'instances, et atteignant finalement un compte administrateur.

Recommandations en matière de sécurité

CrowdStrike souligne que l'enseignement le plus utile du rapport est l'efficacité du test d'anciennes vulnérabilités sur plusieurs cibles simultanément. Le rapport recommande aux organisations de changer les clés de signature, les clés de pré-authentification et les comptes de service après toute exposition de données, y compris les sauvegardes et les exports d'annuaires.

Perspectives de menace à venir

CrowdStrike estime que les groupes liés à la Chine sont susceptibles de continuer à adopter ce type d'outils au cours des 12 prochains mois. Le serveur de VAPOR PANDA a déjà préparé des fichiers de cibles pour des ministères des Affaires étrangères en Amérique centrale et en Asie, bien qu'il soit impossible de savoir si ces opérations ont été lancées.