Le ministère de la Justice dévoile les actes d’accusation contre les membres du groupe de typhon de soie, saisit des domaines dans l’escalade de l’effectif de la cybersécurité.
Les autorités américaines ont annoncé des accusations criminelles contre 12 ressortissants chinois qui auraient été impliqués dans une campagne de cyber-espionnage de longue date liée au gouvernement chinois.
Le ministère de la Justice (DOJ) et le FBI ont également annoncé la saisie des domaines Internet liés au groupe de piratage de Typhoon Silk, qui est accusé d’avoir influencé les agences gouvernementales américaines et les organisations de haut niveau.
« Ces cyber-acteurs malveillants, agissant en tant que pigistes ou en tant qu’employés de l’I-Soon, ont mené des intrusions informatiques en direction du ministère de la Sécurité publique (MPS) de la RPC (République populaire de Chine) et du ministère de la Sécurité de l’État (MSS) et de leur propre initiative », a déclaré le DOJ dans un communiqué.
Industrie des pirates à l’emploi de la Chine
Selon des documents judiciaires, parmi les personnes inculpées figurent deux officiers du ministère de la Sécurité publique chinois (MPS), tandis que les dix autres fonctionnaient pour les technologies de l’information ANNUN, communément appelées I-Soon, une entreprise privée qui aurait été connectée au groupe de piratage de l’APT27 de la Chine, également appelé Silk Typhoon.
Les pirates auraient opéré à la fois en tant qu’employés de l’entreprise et en tant que pigistes, menant des attaques à la direction des députés chinois et du MSS tout en étant «motivé par le profit», selon les procureurs.
« Chacun de ces défendeurs a joué un rôle essentiel dans l’écosystème hacker-contre-embauche du gouvernement de la RPC, qui, par toute mesure, est devenu hors de contrôle », a ajouté le communiqué du MJ.
Les actes d’accusation nomment Wu Haibo, directeur général d’I-Soon; Chen Cheng, son chef de l’exploitation; et le directeur des ventes Wang Zhe, ainsi que plusieurs membres du personnel technique. Wang Liyu et Sheng Jing étaient également accusés, identifiés comme des officiers députés directement impliqués dans l’opération.
Opération de cyber-mercenaire lucrative
La portée financière de l’opération a été substantielle, I-Soon aurait facturé des ministères du gouvernement chinois entre 10 000 $ et 75 000 $ par boîte de réception par e-mail compromise, ainsi que des frais supplémentaires pour l’analyse des données volées, a ajouté le communiqué du DOJ.
Ce régime a généré des millions pour l’entreprise et des pirates individuels. Notamment, Silk Typhoon est le même groupe responsable des exploits zéro-jour du serveur Microsoft Exchange 2021 qui ciblait les agences de renseignement et de défense occidentales. À cette époque, Microsoft a suivi le groupe sous le nom de Hafnium.
L’échelle et la sophistication des opérations indiquent une infrastructure bien établie avec des ressources importantes, suggérant des années de développement et de raffinement des techniques de piratage spécialement conçues pour échapper à la détection par les systèmes de cybersécurité américains.
Profil de victime étendue
Les actes d’accusation décrivent une campagne de grande envergure affectant de nombreuses cibles américaines de grande valeur, y compris un entrepreneur technologique et de défense au service du ministère de la Défense, du ministère de la Sécurité intérieure et des agences de renseignement; un grand cabinet d’avocats américain; un fournisseur de communications géré de services de messagerie Microsoft Exchange; un gouvernement de comté; un système de santé universitaire exploitant plusieurs hôpitaux; et un groupe de réflexion sur la politique de défense.
L’étendue des cibles démontre la nature stratégique de la campagne, ciblant non seulement les entités gouvernementales, mais aussi l’écosystème plus large d’organisations qui soutiennent les opérations critiques des infrastructures nationales et de la sécurité. Cette approche permet aux pirates d’acquérir des informations sensibles grâce à divers points d’entrée dans la chaîne d’approvisionnement.
Deux individus précédemment inculpés, Yin Kecheng et Zhou Shuai, ont été spécifiquement nommés dans un mandat de crise comme ayant «facilité et profité de certains des régimes d’exploitation des réseaux informatiques chinois les plus importants contre les victimes américaines». Leurs activités seraient revenues à 2013, indiquant un effort d’espionnage persistant et à long terme.
Saisies et primes de domaine
En plus des actes d’accusation, les autorités ont annoncé des convulsions par la cour de domaines Internet I-Soon liés à décembre 2024 Intrusions du réseau du Trésor et autres violations. Ces domaines ont servi d’infrastructure de commandement et de contrôle pour les opérations de piratage.
Le Département d’État a offert des primes allant jusqu’à 2 millions de dollars pour des informations menant à l’arrestation ou à la condamnation de deux membres clés de Typhoon en soie, bien que les responsables aient reconnu la probabilité limitée de la Chine autorisant toute arrestation.
Cette décision représente une escalade dans les tactiques de réponse américaines, combinant des actions d’application de la loi avec des incitations financières pour perturber les opérations de piratage et potentiellement créer une discorde interne au sein des groupes de piratage.
Implications pour la sécurité de l’entreprise
Pour les équipes de sécurité des entreprises, les actes d’accusation révèlent des informations critiques sur les méthodes opérationnelles des acteurs des menaces parrainées par l’État. L’utilisation d’entrepreneurs privés et la création d’incitations financières pour le vol de données démontrent la commercialisation du cyberespionnage, créant de nouveaux défis pour les stratégies défensives.
Les organisations devraient réévaluer leurs postures de sécurité à la lumière de ces révélations, avec une attention particulière au compromis potentiel des systèmes de messagerie, qui semblent être des cibles très appréciées. L’implication des prestataires de services gérés dans la liste des victimes met également en évidence l’importance de la sécurité de la chaîne d’approvisionnement et de la gestion des risques des fournisseurs.
Les révélations sur les prix spécifiques des boîtes de réception par e-mail compromises offrent une visibilité sans précédent dans l’économie qui stimule ces attaques et peut aider les organisations à mieux hiérarchiser leurs investissements défensifs en fonction des incitations adverses.
