ZATAZ » La cybersécurité africaine confrontée à une nouvelle menace d’origine chinoise

Le groupe de cyberespionnage APT41, lié à la Chine, a récemment mené une vaste opération de piratage contre des services informatiques gouvernementaux en Afrique, utilisant des techniques avancées pour contourner les dispositifs de sécurité classiques.

L’évolution d’une menace cyber en Afrique

L’enquête de l’entreprise « Kaspersky Lab » a débuté après la détection d’une activité anormale sur des postes de travail d’une organisation étatique africaine dont le nom n’a pas été communiqué. Les analyses ont rapidement mis en lumière l’utilisation d’outils d’administration à distance, grâce auxquels les attaquants validaient la disponibilité de leurs serveurs de contrôle à l’intérieur du réseau ciblé. Cette opération marque un tournant dans la cartographie des menaces, le continent africain étant jusqu’à présent peu exposé à ce type d’opérations sophistiquées.

Les premières investigations ont permis d’identifier le vecteur d’intrusion : un hôte non surveillé, à partir duquel le framework Impacket a été lancé sous le contexte d’un compte de service. Les modules Atexec et WmiExec, inclus dans cet outil, ont été exécutés, ouvrant la voie à une compromission silencieuse. Après cette étape initiale, les acteurs malveillants ont interrompu temporairement leurs actions, signe d’une approche méthodique et discrète.

« La compromission s’est appuyée sur l’utilisation furtive de comptes à privilèges élevés, facilitant l’escalade des droits dans l’infrastructure cible. »

Rapidement, ils ont exploité des identifiants volés à haut niveau de privilège, ce qui leur a permis de progresser latéralement dans le réseau. Cette phase a été marquée par le déploiement du célèbre outil Cobalt Strike, utilisé via une technique d’injection qui n’a pas été précisée dans les informations officielles. L’usage de Cobalt Strike est fréquent dans ce type d’attaque, permettant une persistance accrue tout en masquant l’origine des commandes envoyées.

Une particularité notable des librairies malveillantes découvertes est leur capacité à vérifier la langue du système ciblé. Si le système fonctionne en chinois, japonais ou coréen, le programme cesse immédiatement son exécution. Ce mécanisme vise clairement à éviter d’infecter des ordinateurs situés dans les pays d’origine des développeurs, une stratégie désormais répandue parmi plusieurs groupes de cyber espionnage.

Des techniques avancées pour une cyberattaque discrète

Sur le plan opérationnel, les auteurs de l’attaque ont utilisé Microsoft SharePoint Server comme centre de commandement, dissimulant leur activité sous une apparence de trafic légitime. Les instructions circulaient via des chevaux de Troie codés en C#, utilisant les fichiers « agents.exe » et « agentx.exe » transférés par le protocole SMB. Ces exécutables dialoguaient avec une webshell nommée CommandHandler.aspx, installée sur le serveur SharePoint, qui exécutait les ordres malveillants.

« Les infrastructures de l’entreprise victime ont été détournées afin de faire transiter les commandes de contrôle à travers des canaux considérés comme sûrs par les systèmes de sécurité internes. »

L’attaque a combiné des méthodes traditionnelles d’intrusion et des techniques qualifiées d’attaque « living off the land ». Ce mode opératoire consiste à exploiter des outils et services internes légitimes à l’entreprise afin de rendre la détection plus difficile. Les méthodes déployées se rapportent précisément aux techniques MITRE ATT&CK T1071.001 et T1047, qui correspondent à l’utilisation détournée des protocoles de communication réseau et des commandes système à distance.

Dans la phase de post-exploitation, les attaquants se sont concentrés sur des postes stratégiques. Depuis ces points d’accès, ils ont lancé des scripts via « cmd.exe », lesquels téléchargeaient des fichiers HTA (HTML Application) malveillants depuis des sources externes. Les domaines utilisés pour ces téléchargements imitaient l’apparence de ressources officielles, comme GitHub, afin d’échapper à la vigilance des outils de filtrage. Bien que le contenu précis de ces HTA ne soit pas encore connu, il a été confirmé que certains scripts servaient à ouvrir une reverse shell, offrant ainsi un contrôle total à distance sur le poste compromis.

Parmi l’arsenal utilisé figure une version modifiée de l’outil Pillager, spécialisée dans l’exfiltration des identifiants enregistrés dans les navigateurs web, les terminaux à distance, ainsi que de nombreux fichiers confidentiels, messages électroniques, et captures d’écran. Le logiciel Checkout a servi à inventorier l’ensemble des fichiers téléchargés et des informations de paiement récupérées, en ciblant spécifiquement des navigateurs populaires tels que Chrome, Opera et Brave. L’utilitaire RawCopy a permis l’extraction brute de fichiers du registre Windows, tandis que l’outil Mimikatz a été employé pour l’extraction de données d’authentification, confirmant le niveau avancé des moyens mobilisés.

Un nouveau cap pour l’activité d’APT41 en Afrique

Les spécialistes s’accordent à considérer cette campagne comme l’une des premières démonstrations d’un recentrage géographique d’APT41 vers l’Afrique. Traditionnellement, ce groupe s’est concentré sur l’Asie, l’Europe et l’Amérique du Nord, mais la découverte d’une telle opération met en évidence une nouvelle orientation stratégique, en ligne avec des signes précurseurs observés par Trend Micro dès la fin 2022. L’adoption de services d’entreprise comme vecteurs de contrôle marque une évolution notable : la frontière entre la simulation d’attaque, propre aux exercices de sécurité, et les offensives menées en conditions réelles tend à s’estomper.

Les attaques, dans ce cas, se sont appuyées sur la discrétion conférée par l’utilisation de programmes réputés pour leur légitimité. Les assaillants ont su adapter leurs modules malveillants aux particularités de l’infrastructure ciblée, évitant ainsi toute détection précoce. Leur capacité à combiner des outils publics et des solutions propriétaires souligne une volonté de se fondre dans le trafic réseau classique, rendant les opérations particulièrement difficiles à distinguer des usages normaux par les administrateurs du système.

La collecte des données n’a pas été limitée aux simples informations d’authentification. L’éventail des données exfiltrées inclut des documents internes, des historiques de navigation, des messages privés et professionnels, des captures d’écran et des traces d’activités financières. À chaque étape, les pirates ont privilégié la récupération de renseignements critiques, susceptibles d’alimenter une exploitation ultérieure au bénéfice de leurs commanditaires.

Cette opération illustre la montée en puissance de la cybermenace d’origine chinoise sur le continent africain. L’approche employée montre que la compromission des services informatiques peut être réalisée en toute discrétion, via des outils du quotidien, sans recourir à des logiciels malveillants grossiers ou bruyants. Le choix d’infrastructures comme SharePoint pour centraliser la commande des actions confirme la volonté de masquer le trafic malveillant derrière un vernis de normalité.

Une adaptation permanente aux défenses en place

La réponse des équipes de sécurité africaines a consisté à renforcer la surveillance des accès privilégiés, à mettre en place des contrôles plus stricts sur les flux SMB et à auditer l’ensemble des comptes de service actifs. Les indicateurs de compromission fournis ont permis de remonter la chaîne des événements, mettant en lumière l’ingéniosité des tactiques de l’APT41. Toutefois, le caractère modulaire de l’attaque et la réutilisation d’outils open source ou détournés rendent le travail de remédiation long et complexe.

Les techniques d’évasion mises en œuvre, comme la vérification des paramètres linguistiques du système, témoignent d’une volonté manifeste de limiter les risques de détection dans certains pays, tout en maximisant l’efficacité dans les zones visées. À mesure que les investigations progressent, d’autres acteurs de la cybersécurité pourraient identifier des attaques similaires, ce qui renforcerait l’hypothèse d’un basculement stratégique de certains groupes liés à la Chine vers de nouveaux territoires.

Les incidents rapportés suggèrent également une évolution des priorités des groupes de cyberespionnage opérant depuis la Chine, notamment en direction de secteurs jugés stratégiques dans des économies émergentes. L’intérêt marqué pour les infrastructures critiques, les communications gouvernementales et les données financières laisse présager une intensification des efforts pour exploiter la moindre faille dans les dispositifs de sécurité locaux.

À ce jour, aucune information officielle ne permet de dresser un bilan chiffré du préjudice subi, ni d’identifier précisément les secteurs les plus impactés. Les sources consultées s’accordent cependant sur la portée inédite de cette opération, qui impose une remise en question des paradigmes de sécurité actuels dans la région.