Les cybercriminels liés à l’entreprise chinoise Integrity Technology Group ciblent les systèmes de messagerie d’agences gouvernementales et d’hôpitaux depuis 2021. Dix agences issues de sept pays, dont le FBI et le service de renseignement espagnol, ont alerté les organisations sur leurs méthodes. Selon le département de la Justice américain, cette société basée à Pékin a exploité un botnet de plus de 200 000 routeurs et caméras démantelé par le FBI en septembre 2024. Washington a imposé des sanctions à l’entreprise en janvier 2025, et Londres a gelé ses avoirs en décembre. Le FBI et neuf agences partenaires ont reconstitué chaque étape des intrusions dans un avis commun. Pour vider des boîtes de messagerie entières, ces pirates utilisent des outils gratuits et des vulnérabilités connues depuis des années, avant de rendre les messages volés accessibles à des tiers. Pour les dix agences signataires, Integrity Technology Group est une entreprise à but lucratif liée au gouvernement chinois. Ses employés conçoivent des outils d’intrusion à vendre et piratent des réseaux à travers le monde. Christopher Wray, alors directeur du FBI, avait déclaré en 2024 que le président de l’entreprise avait publiquement reconnu des années de collecte de renseignements « pour les agences de sécurité du gouvernement chinois ». Integrity Technology Group a répondu en janvier 2025 que les accusations américaines n’avaient aucun fondement, dans un communiqué adressé à la Bourse de Shanghai relayé par l’Associated Press. Le FBI a récupéré une archive d’emails volés à des agences gouvernementales, des forces de l’ordre, des systèmes de santé et des institutions religieuses en Asie du Sud-Est. Les pirates réservaient parfois l’accès à ces données uniquement aux adresses IP de Xiamen, dans le sud-est de la Chine. Pour extraire les emails, ils exécutent le script PHP Curlc4.txt. Les messages sont récupérés via les services web Exchange, puis compressés et parfois chiffrés avant d’être envoyés vers un serveur distant. À l’aide du programme office-cli, les pirates accèdent simultanément à des comptes Microsoft 365 en utilisant des identifiants d’applications légitimes. Selon les agences, les équipes de sécurité perçoivent ces connexions comme une utilisation normale. Les données volées circulent ensuite en dehors de l’entreprise. Les pirates maintiennent une application web ouverte aux tiers, où les utilisateurs ajoutent des paramètres à une URL pour lire les emails d’un compte spécifique. Les agences ne révèlent pas leur identité. Les pirates identifient leurs cibles à l’aide de scanners open source disponibles gratuitement sur GitHub, avec Nmap et masscan en tête. Les agences en déduisent une « tendance à rechercher des cibles plus vulnérables ». Ils ont également accès à MicroScan depuis au moins 2017. Plus de 1 300 scripts de tests d’intrusion sont regroupés dans cette application Python, prêts à tester WordPress ou Apache Struts. Les agences recensent huit vulnérabilités exploitées avec succès. La plus ancienne, dans GNU Bash, remonte à 2014. La plus récente, dans le CMS Strapi, date de 2023, et cinq d’entre elles ont récemment été ajoutées au catalogue du CISA dédié aux vulnérabilités exploitées lors d’attaques réelles. Les pirates testent également des mots de passe courants sur de nombreux comptes Exchange et Microsoft 365 à l’aide de l’outil open source EBurst. Une fois à l’intérieur du réseau, ils installent le VPN SoftEther et le renomment souvent en conhost.exe ou dllhost.exe pour le faire passer pour un fichier Windows. Les équipes de sécurité ont peu de chances de le détecter, SoftEther étant un logiciel légitime. Les agences recommandent d’activer l’authentification à deux facteurs sur les webmails et les VPN, et d’appliquer les correctifs pour les huit vulnérabilités listées. Elles fournissent enfin 39 pages d’indicateurs de compromission, avec des adresses IP et des noms de domaine parfois vieux de dix ans, à vérifier avant tout blocage. En croisant cette liste, The Hacker News a identifié dix adresses IP associées en 2024 aux serveurs de commande du botnet démantelé. Leurs dernières dates d’activité ne concordent pas selon les sources.