Un groupe cybernétique chinois a pénétré les systèmes informatiques de diplomates hongrois membres de l'UE.
Un groupe de pirates informatiques lié à la Chine a ciblé les réseaux diplomatiques européens, notamment les systèmes hongrois, lors d'une campagne coordonnée de cyberespionnage cet automne. Les attaquants ont exploité une faille de sécurité de Windows récemment découverte et déployé un logiciel espion capable d'accéder à des informations diplomatiques confidentielles.
Nouvelle faille de Windows exploitée par les attaquants
D’après une rapport détaillé Menée par Arctic Wolf Labs, l'opération a débuté en septembre et s'est poursuivie tout au long du mois d'octobre, ciblant les missions diplomatiques et les réseaux gouvernementaux. Les attaquants recherchaient des informations diplomatiques sensibles, notamment des notes d'information internes, des documents de négociation et des communications confidentielles.
Le groupe a exploité une faille de sécurité récemment mise à profit dans Windows et a installé PlugX, un outil d'espionnage largement utilisé permettant l'accès à distance, l'exfiltration de données et la surveillance secrète. Une fois infiltré, le logiciel malveillant a permis aux attaquants de prendre le contrôle total des systèmes compromis.
« L’attaque débute par des courriels personnalisés semblant liés à des événements diplomatiques. À l’ouverture de la pièce jointe, une faille de sécurité Windows récemment identifiée est exploitée, donnant ainsi aux attaquants accès au système. Le logiciel malveillant peut alors s’exécuter discrètement, permettant le vol de données et une surveillance à long terme », ont indiqué les chercheurs.
L'UNC6384
UNC6384 est un groupe de cybercriminels relativement récent, affilié à la Chine et initialement répertorié par l'unité d'analyse des menaces de Google. Ce groupe a historiquement ciblé des entités diplomatiques, d'abord en Asie du Sud-Est, avant d'étendre ses activités à l'Europe.
Leurs tactiques comprennent :
- Courriels d'hameçonnage ciblés hautement personnalisés
- redirection de trafic et sites web leurres
- installateurs signés numériquement
- logiciel malveillant résident en mémoire conçu pour échapper à la détection
PlugX, un outil largement utilisé depuis plus d'une décennie par les groupes de pirates informatiques liés à la Chine, reste un élément central de leurs opérations en raison de sa flexibilité et de sa discrétion.
La Hongrie également dans le collimateur
Le rapport ne précise pas quelles informations les attaquants ont pu consulter ni l'étendue des dégâts, mais la nature de la campagne laisse penser que l'objectif n'était pas la perturbation, mais la collecte de renseignements. Le rôle de la Hongrie dans les processus décisionnels de l'UE, son appartenance à l'OTAN et ses relations actives avec les grandes puissances en font une cible naturelle pour les services de renseignement.
Ces opérations visent rarement à perturber les services. Les attaquants cherchent plutôt à obtenir rapidement des notes de synthèse classifiées et des positions de négociation – des informations qui peuvent leur apporter un éclairage stratégique sur les décisions prises au niveau de l'UE et sur les orientations de la politique étrangère hongroise.
Implications en matière de cybersécurité
Les experts soulignent que l'application rapide de correctifs et la sensibilisation des utilisateurs demeurent les défenses les plus efficaces. Dans les environnements diplomatiques, les tentatives d'hameçonnage ciblées restent le principal point d'entrée : une simple invitation ou pièce jointe convaincante peut compromettre un système entier.
Dans la pratique, cela signifie:
- Les mises à jour de sécurité ne peuvent être retardées.
- Les liens et les pièces jointes nécessitent une vigilance stricte.
- La gestion des cyber-risques doit faire partie des routines quotidiennes, et non pas seulement une tâche informatique.
Arctic Wolf souligne que cette campagne démontre la rapidité avec laquelle les groupes les plus avancés exploitent les nouvelles vulnérabilités : même de brefs retards dans la correction des problèmes peuvent engendrer de réels risques pour la sécurité nationale.
Cyberattaques à travers l'Europe
Ces dernières années, les réseaux gouvernementaux européens ont subi une pression croissante de la part de groupes liés à la Chine, à la Russie et à la Corée du Nord.
Fin septembre, de grands aéroports, dont Londres Heathrow, Bruxelles et Berlin, ont signalé des perturbations liées à un prestataire informatique externe, entraînant des retards et des annulations de vols. À peu près au même moment, plusieurs ministères et portails publics d'Europe occidentale ont connu de brèves interruptions de service après la détection d'activités réseau suspectes.
Ces incidents soulignent que les réseaux diplomatiques ne sont pas les seules cibles : les systèmes gouvernementaux et les infrastructures dans leur ensemble subissent également une pression constante. Par conséquent, toutes les institutions traitant des informations sensibles, et pas seulement les ministères des Affaires étrangères, ont besoin d’une cyberprotection à jour.
Image de couverture: depositphotos.com