https://cyberveille.ch/tags/icecube/ Recent content in IceCube on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-campagne-d-espionnage-chinoise-ciblant-des-universites-via-des-failles-roundcube/ Thu, 09 Jul 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-07-09-campagne-d-espionnage-chinoise-ciblant-des-universites-via-des-failles-roundcube/ <h2 id="-contexte">🌐 Contexte</h2> <p>Source : BleepingComputer, publié le 8 juillet 2026. Proofpoint a documenté une campagne d&rsquo;espionnage active depuis mai 2026, ciblant des serveurs <strong>Roundcube</strong> dans des universités américaines et canadiennes.</p> <h2 id="-ciblage">🎯 Ciblage</h2> <p>La campagne, suivie sous le nom <strong>UNK_MassTraction</strong>, vise spécifiquement :</p> <ul> <li>Les départements de <strong>physique et d&rsquo;ingénierie</strong></li> <li>Les administrateurs et professeurs</li> <li>Les organisations impliquées en <strong>astrophysique, physique des particules ou recherche liée à la sécurité nationale</strong></li> </ul> <h2 id="-chaîne-dattaque">🔗 Chaîne d&rsquo;attaque</h2> <ol> <li><strong>Email malveillant</strong> envoyé depuis des comptes compromis ou des domaines usurpés</li> <li>Ouverture de l&rsquo;email dans Roundcube → exploitation de <strong>CVE-2024-42009</strong> (XSS) → exécution de JavaScript → chargement du payload <strong>IceCube</strong></li> <li><strong>IceCube</strong> collecte identifiants, mots de passe, cookies, données 2FA et informations navigateur</li> <li>Exploitation de <strong>CVE-2025-49113</strong> (désérialisation Roundcube) via des « helpers »</li> <li>Tentative d&rsquo;installation de <strong>SquareShell</strong> (webshell PHP avec RCE)</li> <li>En cas d&rsquo;échec : téléchargement d&rsquo;un script shell chargeant <strong>VShell</strong> directement en mémoire</li> </ol> <h2 id="-outils-utilisés">🛠️ Outils utilisés</h2> <ul> <li><strong>IceCube</strong> : stealer Roundcube complet</li> <li><strong>SquareShell</strong> : webshell PHP avec capacités RCE</li> <li><strong>VShell</strong> : backdoor Go commodity supportant l&rsquo;accès shell interactif et le port forwarding, couramment utilisé par des acteurs chinois</li> </ul> <h2 id="-attribution">🕵️ Attribution</h2> <p>Proofpoint évalue avec <strong>faible confiance</strong> que UNK_MassTraction est un acteur d&rsquo;espionnage aligné avec la Chine, sur la base de :</p>