TL;DR : L’essentiel
- Le ministère de la Justice américain et le FBI ont saisi sept domaines utilisés par des cyber-mercenaires. Ces adresses pilotaient les logiciels Microscan et FishHub, conçus pour espionner des infrastructures critiques à travers le monde.
- La société Integrity Technology Group gérait ces outils pour le compte du collectif Flax Typhoon, lié à Pékin. Cette structure privée vendait des services d’intrusion informatique clés en main à des opérateurs étatiques.
- Pour masquer ses traces, le scanner Microscan s’appuyait sur un réseau d’objets connectés piratés via le virus Mirai. Il testait automatiquement plus de mille trois cents failles connues sur des serveurs non mis à jour.
- Sept gouvernements alliés ont publié une alerte conjointe pour dénoncer cette sous-traitance du cyberespionnage. Les autorités rappellent que fermer des serveurs ne suffit pas à stopper des équipes capables de recréer leurs armes.
Le FBI et la justice américaine ont saisi sept domaines internet utilisés par le groupe Flax Typhoon pour piloter ses outils de cyberespionnage contre des infrastructures critiques mondiales. L’opération menée en Pennsylvanie a coupé les accès aux plateformes Microscan et FishHub, comme l’indiquent les documents judiciaires consultés par CyberScoop. Cette intervention met en lumière l’activité d’une société privée chinoise qui vend des services de piratage clé en main à des espions étatiques.
Des cyber-mercenaires fournissent des outils de cyberespionnage à Pékin
Les attaquants utilisent des outils de cyberespionnage conçus pour automatiser la détection des failles et le vol de données. L’entreprise pékinoise Integrity Technology Group fournissait ces programmes au groupe d’espionnage Flax Typhoon, aussi connu sous les noms d’Ethereal Panda et de RedJuliett. Selon les détails publiés par SecurityAffairs, ces cyber-mercenaires assuraient le développement technique et l’hébergement des serveurs d’attaque pour le compte de leurs clients gouvernementaux.
Pour lancer leurs assauts sans être repérés, ces spécialistes s’appuyaient sur une armée d’objets connectés piratés à l’aide du logiciel malveillant Mirai. En juin 2024, leur base comptait plus d’un million deux cent mille routeurs et caméras infectés, dont plus de 385 000 situés aux États-Unis. Environ 260 000 appareils fonctionnaient en continu, servant de relais anonymes pour cacher la véritable localisation des pirates chinois.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Microscan et FishHub scannent les réseaux et pillent les courriels
Le premier logiciel, Microscan, fonctionnait comme un scanner de vulnérabilités programmé en Python. Accessible directement sur le web, il exécutait plus de 1300 scripts de test pour repérer des failles non corrigées sur des logiciels comme Apache Struts, Jenkins ou Oracle WebLogic. Les enquêteurs ont découvert que l’outil a pris pour cible un distributeur d’électricité en Caroline du Sud, des aéroports au Japon et en Pologne, ainsi que des universités taïwanaises qui ont subi des intrusions confirmées.
Le second outil, FishHub, prenait le relais après l’envoi de courriels piégés pour déposer des programmes espions. Les pirates utilisaient cinq faux noms de domaine imitant des services populaires pour tromper la vigilance des victimes, comme le rapporte BleepingComputer. Une fois installé, le malware récupérait les documents confidentiels et permettait aux espions de consulter les boîtes de messagerie piratées directement dans un navigateur web.
Analyse
La lutte contre le cyberespionnage et les cyberattaques s’apparente à une course sans fin. Cette saisie menée par la justice américaine et le FBI contre Flax Typhoon montre bien l’ampleur du problème. Même si deux armes majeures combinant réseaux de zombies et piratage manuel ont été neutralisées, ces groupes conservent la capacité de reconstruire rapidement leurs outils pour cibler les données sensibles.
Les États peinent à bloquer durablement des attaques externalisées
Cette méthode d’espionnage sous-traitée inquiète aujourd’hui les services de renseignement occidentaux. Une alerte coordonnée entre sept pays, dont les États-Unis, le Royaume-Uni, le Canada et l’Espagne, signale que ces acteurs combinent le balayage automatisé, l’exploitation manuelle et le test de mots de passe courants avec le logiciel EBurst, comme le précise The Register.
Les autorités avaient déjà démantelé un réseau de 200 000 machines appartenant à cette même firme en septembre 2024, mais les attaquants ont rapidement reconstruit leur flotte. D’après Hackread, le groupe utilisait également le logiciel SoftEther VPN sur le domaine 98aiblog.com pour garder un accès caché et durable dans les réseaux des victimes.
La fermeture de ces sept domaines freine les opérations en cours, mais ne règle pas le problème de fond. Face à des acteurs capables d’intercepter de grandes quantités de communications, les spécialistes d’Europol rappellent que la protection des données sensibles doit être anticipée dès aujourd’hui, car les infrastructures d’attaque finissent toujours par réapparaître sous d’autres formes.
Questions fréquentes sur les outils de Flax Typhoon
Qu’est-ce que le logiciel Microscan utilisé par Flax Typhoon ?
Microscan est un scanner de failles créé par la société chinoise Integrity Technology Group. Il teste automatiquement plus de 1300 failles de sécurité connues pour trouver des portes d’entrée sur les serveurs d’entreprises ou d’institutions.
Comment le programme FishHub vole-t-il des informations ?
FishHub s’installe sur un ordinateur après l’ouverture d’un courriel d’hameçonnage piégé. Il recherche les fichiers de travail, les compresse et les transfère sur les serveurs des pirates, tout en leur permettant de lire les courriels des victimes.
À quoi servait le réseau de routeurs piratés Mirai ?
Ce réseau reliait des centaines de milliers d’objets connectés et de routeurs domestiques piratés. Les assaillants faisaient passer leurs attaques à travers ces appareils pour dissimuler leur véritable adresse internet.
Pourquoi cette opération de police ne suffit-elle pas à arrêter les attaques ?
La saisie bloque les adresses web utilisées au moment de l’enquête, mais ne fait pas disparaître l’entreprise qui les fabrique. Ces structures financées par des contrats publics possèdent les compétences pour reprogrammer de nouveaux outils et pirater d’autres appareils.
Une lecture utile ?
Un café, c'est une façon simple de dire merci pour la veille. Sans abonnement, sans engagement.
