Ces pirates chinois se cachent là où aucune équipe de sécurité ne pense à regarder

Un collectif de hackers chinois a réussi à prendre pied dans certaines infrastructures réseau particulièrement sensibles. Ceux chargés de leur traque ne disposent que d’indices extrêmement rares. Leurs outils sophistiqués témoignent d’un travail préparatoire très poussé.

Certaines cyberattaques très furtives ne nécessitent désormais plus de contaminer un ordinateur. Certains groupes préfèrent viser du matériel chargé d’acheminer l’information, depuis certains équipements réseau jusqu’aux serveurs d’administration. Actif sans interruption, ce matériel reçoit rarement ses correctifs et échappe fréquemment aux protections logicielles. En avril dernier, des hackers russes avaient détourné des routeurs domestiques afin de pénétrer plusieurs réseaux d’entreprises. La méthode s’applique maintenant à des objectifs nettement plus sensibles.

Un détail presque imperceptible découvert sur un routeur Cisco d’un vaste réseau d’entreprise a déclenché l’enquête. Un tunnel destiné aux communications fonctionnait sans qu’aucun paramètre configuré ne justifie sa présence. Aucun administrateur n’en était à l’origine. Les attaquants parviennent aujourd’hui à imiter l’activité normale des systèmes, alors que d’autres campagnes chinoises se cachent déjà derrière certains services courants comme Google Drive. Cette piste a conduit l’équipe d’enquête vers une compromission vieille de plusieurs mois. À chaque étape, les responsables avaient pris soin de masquer les traces de leur passage.

Fire Ant détourne des routeurs Cisco pour surveiller le réseau en toute discrétion

D’après la société de cybersécurité Sygnia, Fire Ant s’intéresse maintenant aux routeurs Cisco IOS XR, aux serveurs d’authentification ainsi qu’aux machines Linux dédiées à l’administration réseau. Une fois l’équipement infiltré, ces hackers interceptent le trafic, dérobent des identifiants puis expédient ces informations à l’extérieur. Ils falsifient aussi certains journaux d’activité pour compliquer leur découverte. Son premier composant ne laisse passer que tout message comportant un terme défini. Le second altère le résultat des commandes afin que ce tunnel reste caché aux administrateurs.

Fire Ant avait été identifié en 2025 après avoir conservé un accès persistant aux serveurs de virtualisation VMware de ses victimes. Ce nouveau ciblage étend aujourd’hui le danger potentiel. Une société infiltrée pourrait devenir un point d’accès vers ses partenaires, notamment certaines infrastructures critiques, même si aucune compromission réussie semblable n’est confirmée à ce stade. D’importantes ressemblances apparaissent également avec UNC3886, autre groupe chinois déjà documenté, sans permettre de conclure qu’il s’agit du même acteur. Une difficulté demeure côté défenseurs. Comment reconstituer une attaque lorsque ces preuves ont elles-mêmes été falsifiées ?