Chine

Source: DomainTools (rapport d’analyse). Contexte: publication d’un dossier technique consolidant l’attribution, les campagnes, l’infrastructure, les IOCs et TTPs de Salt Typhoon, un groupe APT chinois aligné sur le MSS. 🚨 Salt Typhoon est présenté comme une capacité d’espionnage SIGINT de longue durée, opérant depuis au moins 2019, ciblant en priorité les télécommunications, des réseaux de Garde nationale US, et des fournisseurs européens/alliés. Le groupe combine exploitation d’équipements de bord (routeurs, VPN, firewalls), implants firmware/rootkits pour la persistance, et collecte de métadonnées, configs VoIP et journaux d’interception légale. Il opère via un modèle État–sous‑traitants (fronts et sociétés liées) offrant dénégation plausible, avec des liens confirmés vers i‑SOON. ...

Selon Natto Thoughts (Substack), une note conjointe de cybersécurité poubliées par les principales agences gouvernementales et de renseignement spécialisées en cybersécurité et sécurité nationale de plusieurs pays alliés, évite désormais de nommer des groupes précis, illustrant la difficulté d’attribution lorsque des services de renseignement chinois opèrent directement via des produits et services commerciaux. L’analyse avance que trois entreprises chinoises agissent comme fournisseurs de capacités et de services cyber aux unités de la PLA et du MSS, plutôt que comme opérateurs directs. Les véritables opérateurs seraient des personnels en uniforme ou des prestataires sous contrat, ce qui dilue les liens classiques entre « groupe APT » et opérations observées. ...

Selon The Record, un projet de mise à jour de la loi nationale chinoise sur la cybersécurité vise à modifier le cadre actuel de supervision et de conformité. Points clés 📌 Renforcement du contrôle étatique sur les produits technologiques. Hausse des pénalités à l’encontre des entreprises et dirigeants ne respectant pas les exigences. (Notamment en cas de cyber incident) Portée et cibles Le texte vise l’écosystème technologique en Chine et s’appliquerait aux organisations et responsables soumis aux exigences de la loi nationale sur la cybersécurité. Conclusion ...

Selon WIRED, une fuite de plus de 100 000 documents internes (Jira, Confluence, code source, logs) montre que Geedge Networks, liée à des acteurs historiques de la censure chinoise, commercialise à des gouvernements un système de censure et surveillance inspiré du Grand Firewall chinois. Le cœur de l’offre est le Tiangou Secure Gateway (TSG), un équipement réseau placé dans les data centers des opérateurs pour inspecter, filtrer ou bloquer tout le trafic d’un pays. Une console, Cyber Narrator, permet à des opérateurs non techniques de superviser en temps réel les connexions, géolocaliser les usagers via le réseau cellulaire et cibler des individus selon leur activité en ligne. La fuite montre des déploiements opérationnels au Kazakhstan, en Éthiopie, au Pakistan et au Myanmar, ainsi qu’un client non identifié. En Myanmar, des captures d’écran indiquent la surveillance simultanée de 81 millions de connexions et l’installation d’équipements dans 26 data centers à travers 13 FAI. ...

Source : Natto Thoughts (Substack) — Cette analyse s’appuie sur un avis de cybersécurité conjoint et identifie trois entreprises chinoises impliquées dans le soutien aux opérations de l’APT Salt Typhoon, ciblant l’infrastructure télécom et gouvernementale mondiale. L’étude met en avant trois entités : Sichuan Juxinhe (évaluée comme société écran), Beijing Huanyu Tianqiong (probablement société écran) et Sichuan Zhixin Ruijie (présentée comme contractant légitime). Elles auraient fourni des capacités cyber aux services de renseignement chinois, notamment le contrôle de routeurs réseau, l’analyse de trafic et des outils d’accès à distance. ...

Source: PolySwarm Hivemind — Analyse détaillée d’une campagne Linux où le backdoor VShell est diffusé par une chaîne d’infection inédite exploitant des noms de fichiers RAR malveillants, avec liens à plusieurs APT chinoises. VShell est un backdoor Linux en Go qui s’appuie sur une injection de commande via nom de fichier dans des archives RAR. Un fichier dont le nom contient une commande Bash encodée Base64 s’exécute lorsque des opérations shell courantes (ex. ls, find, eval) traitent ce nom, déclenchant l’infection sans interaction supplémentaire ni bit exécutable. L’attaque débute par un email de spam déguisé en sondage beauté offrant une petite récompense 💌. ...

Source: GFW Report — Le 20 août 2025 entre 00:34 et 01:48 (UTC+8), la GFW a provoqué une perturbation massive des connexions Internet entre la Chine et l’international en injectant de façon inconditionnelle des paquets TCP RST+ACK visant le port 443. Le rapport détaille les mesures, l’empreinte réseau observée et une attribution encore ouverte. Principales observations: Blocage ciblé sur TCP 443 uniquement; d’autres ports communs (dont 22, 80, 8443) n’étaient pas affectés. Injection RST+ACK inconditionnelle: trois paquets RST+ACK sont injectés par tentative, interrompant la connexion. Déclenchement asymétrique: depuis la Chine, le SYN client et le SYN+ACK serveur déclenchent des RST; vers la Chine, seul le SYN+ACK serveur déclenche des RST. Détails techniques (mesures inside-out et outside-in): ...

Selon Trellix (Advanced Research Center), une campagne cible Linux via un vecteur inédit: un nom de fichier piégé dans une archive RAR qui déclenche l’exécution Bash lors d’opérations de scripts non sécurisées (eval/echo/printf). L’analyse technique détaille une chaîne fileless, multi‑étapes, aboutissant au backdoor VShell exécuté en mémoire et masqué en processus noyau. • Étapes clés de l’infection 🐧 Vecteur initial (spam + .rar): un e‑mail appât renferme une archive contenant un fichier dont le nom embarque du Bash encodé Base64. L’extraction seule ne l’exécute pas; l’exécution survient lorsque des scripts manipulent les noms de fichiers sans sanitisation (ex: for f in *, eval “echo $f”, find/xargs avec eval…). Stage 1 (déclencheur): le nom de fichier évalue un downloader Bash (via curl/wget) vers le C2 47.98.194.60. Stage 2 (downloader): détermine l’architecture (x86, x64, ARM, ARM64), télécharge un ELF adapté, et l’exécute silencieusement avec nohup via plusieurs chemins de repli. Stage 3 (loader ELF): contacte le C2, reçoit une charge XOR 0x99, la décrypte en mémoire puis l’exécute avec fexecve(), tout en se déguisant en thread noyau « [kworker/0:2] » et en évitant la ré‑infection via un marqueur (/tmp/log_de.log). L’étape initiale est alignée sur l’activité du dropper Snowlight (abus de noms de fichiers + exécution Bash). • Charge finale: VShell (backdoor Go) 🕵️‍♂️ ...

Selon l’article de BleepingComputer, un groupe de pirates soutenu par l’État chinois, connu sous le nom de Murky Panda (Silk Typhoon), exploite des relations de confiance dans des environnements cloud pour compromettre l’accès aux réseaux et données de clients « en aval ». L’information met en avant une technique d’attaque reposant sur l’abus de relations de confiance entre entités cloud, permettant un accès initial aux réseaux et aux données des organisations interconnectées. ...

Selon theregister.com, Microsoft a modifié son programme Microsoft Active Protections Program (MAPP) après les attaques zero‑day visant SharePoint en juillet. Un porte‑parole (David Cuddy) a indiqué à Bloomberg que les entreprises situées dans des pays où les vulnérabilités doivent être signalées aux gouvernements, dont la Chine, ne recevront plus de code de preuve de concept (PoC) avant publication des correctifs, mais uniquement une description écrite générale synchronisée avec les patches. Microsoft n’a pas répondu aux questions de The Register et a refusé de commenter son enquête interne. ...