Les experts en cybersécurité de Check Point Research suivent depuis plusieurs semaines les activités d’un groupe de pirates agissant dans l’ombre et qui vise spécifiquement des entités étatiques européennes.

Le groupe Camaro Dragon serait une énième incarnation de Mustang Panda, des pirates chinois qui profitent de la guerre en Ukraine pour récupérer des données sensibles sur les infrastructures russes. Des moyens déployés pour accomplir leur mission au type de cibles qu'ils privilégient, tout laisse penser que ces hackers sont financés par Pékin.

Sur le même sujet : Dix opérateurs mobiles ont été piratés par des espions chinois

D’après l’analyse de CPR, Camaro Dragon implante un firmware conçu sur mesure dans certains routeurs de marque TP-Link. Ce logiciel installe plusieurs composants malveillants sur l’équipement de communication, dont une porte dérobée nommée « Horse Shell » qui permet aux cybercriminels de garder un accès constant à l’appareil, de construire une infrastructure anonyme, puis de se mouvoir latéralement dans les réseaux compromis. Une fois le réseau compromis, les pirates prennent le contrôle d’un appareil ou compte d’utilisateur, puis tentent d’explorer et de prendre le contrôle d’autres systèmes.

Camaro Dragon serait un groupe de hackers financé par le gouvernement chinois

L’implant inséré dans le firmware modifié, permet aux pirates d’exécuter des commandes shell sur le routeur infecté, de transférer des fichiers dans les deux directions, et de relayer les communications à travers un tunnel SSH chiffré vers un autre client. Il semblerait que les hackers n’aient pas directement infecté les routeurs de leurs cibles. Les premiers implants sont apparus sur les équipements d’utilisateurs lambda, « l’objectif des hackers étant de créer une chaîne de nœuds entre les appareils infectés et leur centre de commande ».

À lire — Ce site de pirates renait sur le Dark Web, quinze jours à peine après une descente de police

Une bonne manière de se mouvoir latéralement et d’arriver, patiemment, jusqu’à la véritable cible. Si vous êtes administrateur réseau, référez-vous à l’article de CPR pour protéger vos systèmes de Camaro Dragon. Pour les utilisateurs les moins avancés, la recommandation principale est : assurez-vous que les firmwares de vos équipements sont bien à jour.