Le groupe APT TA416, lié à la Chine, intensifie ses opérations d’espionnage contre les gouvernements européens et les cibles au Moyen-Orient. Cette nouvelle campagne exploite des redirections OAuth et des charges malveillantes PlugX hébergées dans le cloud pour contourner les défenses traditionnelles.
TA416 : un acteur étatique chinois en pleine expansion
Également connu sous les noms Mustang Panda et RedDelta, le groupe TA416 opère depuis au moins 2017 au service des intérêts stratégiques chinois. Ses cibles historiques incluent les organisations gouvernementales, les ONG et les think tanks travaillant sur les relations sino-européennes.
Cette dernière campagne, documentée par les chercheurs de Proofpoint et relayée par The Hacker News, marque une évolution significative dans les tactiques du groupe.
Technique d’attaque : abus de redirections OAuth
L’innovation principale de cette campagne réside dans l’exploitation des flux de redirection OAuth de services légitimes pour distribuer les charges malveillantes :
- Phishing ciblé : les victimes reçoivent des e-mails imitant des communications diplomatiques officielles
- Redirections OAuth : les liens pointent vers des pages d’authentification légitimes qui redirigent ensuite vers l’infrastructure d’attaque
- Hébergement cloud : les charges PlugX sont hébergées sur des services cloud de confiance (Google Drive, OneDrive) pour échapper aux filtres réseau
- DLL side-loading : une technique de chargement latéral de DLL permet d’exécuter PlugX via des applications légitimes signées
PlugX : un cheval de Troie modulaire redoutable
Le malware PlugX (également appelé Korplug) reste l’outil de prédilection de TA416. Ses capacités incluent :
- Exfiltration de données : vol de documents, identifiants et données de messagerie
- Persistance : survie aux redémarrages via des clés de registre et des services Windows
- Communication C2 : protocoles de commande et contrôle chiffrés, souvent via HTTPS sur le port 443
- Mouvement latéral : capacité à se propager sur le réseau interne via des partages SMB
Indicateurs de compromission et détection
Pour détecter cette campagne dans votre environnement :
- Surveillance OAuth : monitorer les redirections OAuth inhabituelles vers des domaines non reconnus
- Analyse DNS : rechercher les résolutions vers des domaines C2 connus (consulter les IOC publiés par Proofpoint)
- DLL side-loading : alerter sur le chargement de DLL non signées par des exécutables légitimes
- Trafic réseau : détecter les communications HTTPS sortantes vers des IP géolocalisées en Asie du Sud-Est
- YARA rules : appliquer les règles de détection PlugX disponibles dans les rapports Proofpoint et Mandiant
Recommandations pour les organisations européennes
- Renforcer la sensibilisation au spear-phishing pour les équipes travaillant sur les dossiers géopolitiques
- Restreindre les flux OAuth : limiter les applications tierces autorisées dans vos tenants Microsoft 365 et Google Workspace
- Segmenter le réseau : isoler les postes de travail des collaborateurs exposés aux communications diplomatiques
- Déployer un EDR capable de détecter le DLL side-loading et les comportements post-exploitation de PlugX
- Partager les IOC avec votre CERT national (CERT-FR pour la France) et vos partenaires sectoriels
Contexte : une menace persistante sur l’Europe
Cette campagne s’inscrit dans un contexte plus large de cyberespionnage chinois ciblant l’Union européenne. La même semaine, l’agence européenne de cybersécurité a confirmé une compromission de données par le groupe TeamPCP. Ces incidents rappellent que les institutions européennes restent des cibles prioritaires pour les acteurs étatiques.
Les organisations travaillant sur les politiques européennes, les relations internationales et le commerce avec l’Asie doivent considérer ces menaces APT comme un risque opérationnel permanent et adapter leur posture de sécurité en conséquence.