L’enquête menée par Check Point Research révèle l’existence de trois clusters d’attaques distincts – SilentDelivery, OceanGate et DarkWire – qui ciblent des organismes critiques à travers l’Amérique latine, l’Asie et l’Europe. Ces opérations, bien qu’apparemment autonomes au départ, sont en réalité interconnectées via le framework malveillant Sparrow, et sont attribuées à l’entité connue sous le nom de CopperDragon.

Ce groupe, que l’on qualifie de « quartermaster numérique », semble fournir les outils à divers acteurs d’espionnage liés à la Chine. L’analyse, menée sur une période d’un an, a permis de mettre en lumière des techniques d’accès variées, allant de la compromission d’infrastructures accessibles sur internet à des attaques très sélectives de type « watering hole ».

Le cluster SilentDelivery, actif depuis début 2026, illustre cette tactique sophistiquée. Les attaquants infiltrent des sites web légitimes fréquemment consultés par leurs cibles dans les secteurs gouvernemental, maritime ou de la recherche, en Europe et en Asie. Lorsqu’un utilisateur visite ces pages, un script JavaScript fortement obscurci, utilisant l’outil jsjiami, prend le contrôle. Ce script simule un avertissement de certificat SSL de Google Chrome, forçant l’utilisateur à télécharger une utilitaire de « réparation de certificat » qui déploie soit le backdoor SquadC, soit une variante de SparrowDoor.

L’étendue géographique de ces sites compromis est significative, englobant des pays tels que la République tchèque, l’Allemagne, la France, Taiwan, le Népal, Hong Kong et l’Indonésie, selon les données de Check Point. Ce mécanisme de délivraison est d’ailleurs rapporté par Positive Technologies pour avoir aussi touché des entités en Égypte et aux Philippines.

OceanGate, quant à lui, se concentre sur les organisations asiatiques, adoptant une approche binaire. Après avoir réussi à prendre le contrôle de systèmes Linux exposés sur internet, les acteurs se déplacent ensuite vers des environnements Windows. C’est là que l’on observe l’utilisation de nombreux outils post-exploitation spécifiques, comme CopperLogger, qui est un keylogger basé sur les entrées brutes, ou CopperLsa, conçu pour extraire des mots de passe et des jetons d’authentification NTLM et Kerberos. Ces activités rappellent les techniques d’énumération observées dans d’autres contextes de menaces, où la collecte d’identifiants est une étape primordiale pour le mouvement latéral.

DarkWire, le troisième groupe, opère en Amérique latine et vise spécifiquement les fournisseurs de télécommunications et les organismes gouvernementaux. Il déploie des backdoors nommées CopperDoor et CopperDNS pour établir ses points d’ancrage sur les réseaux ciblés.

Il est intéressant de noter la complexité des outils employés. Outre les backdoors, OceanGate utilise des outils comme CopperList pour faire l’inventaire des hôtes et des fichiers, ou AnnobinDoor, un backdoor basé sur Go, qui permet au système Linux infecté de fonctionner comme un pivot interne, offrant des capacités de shell et de tunneling SOCKS. Ces éléments suggèrent une architecture d’attaque très mature, bien au-delà d’une simple intrusion aléatoire.

Ces méthodes de reconnaissance et de persistance, axées sur l’extraction d’informations, rappellent les objectifs observés dans d’autres attaques sophistiquées visant à compromettre des processus critiques comme LSASS. En effet, l’obtention de mots de passe d’administrateur via le dumping de mémoire est une voie privilégiée pour les acteurs malveillants afin de se déplacer latéralement dans un réseau d’entreprise.

Sources

• Not All That Glitters Is Gold: Tracking CopperDragon’s Sparrow Framework Around the Globe – Check Point Research, research.checkpoint.com
• Detecting and preventing LSASS credential dumping attacks | Microsoft Security Blog, microsoft.com
• Three China-Nexus Espionage Campaigns Linked Through Sparrow Malware Ecosystem, The Hacker News, 10 novembre 2026
• Not All That Glitters Is Gold: Tracking CopperDragon’s Sparrow Framework Around the Globe, Check Point Research, 10 novembre 2026

Crédits photo

• Image en une : Modem bank, par Richard Masoner / Cyclelicious, CC BY-SA 2.0, via Wikimedia Commons (recadrée)