Acteur de la menace APT31 (également connu sous les noms de Zirconium et Judgment Panda)

Attribution et pseudonymes

APT31 est attribué à l'État chinois, et plus précisément au MSS. En mars 2024, les États-Unis ont rendu public un acte d'inculpation visant sept ressortissants chinois liés au groupe et, conjointement avec le Royaume-Uni, ont imposé des sanctions à Wuhan Xiaoruizhi Science and Technology Company (Wuhan XRZ), décrite comme une société écran du MSS opérant sous la tutelle du département de la sécurité de l'État du Hubei, ainsi qu'à des individus qui y sont liés. Ces actions faisaient suite à des déclarations antérieures : en juillet 2021, le Royaume-Uni et l'Union européenne avaient publiquement tenu l'État chinois pour responsable de l'activité d'APT31. Les personnes nommées dans l'acte d'inculpation font l'objet d'accusations et de sanctions, et non de condamnations ; elles sont présumées innocentes jusqu'à preuve du contraire devant un tribunal.

Parce que plusieurs éditeurs ont suivi le groupe indépendamment, il porte un ensemble de noms. Les plus courants sont :

• APT31
• Zirconium
• Violet Typhoon
• Judgment Panda
• Red Keres
• Bronze Vinewood
• G0128

Tous désignent le même acteur. Certains rapports suggèrent que le groupe opère comme prestataire du MSS ou entretient des liens avec des éléments de l'armée chinoise. Comme pour la plupart des attributions, les évaluations sont exprimées avec des degrés de confiance, bien que les actions gouvernementales de 2024 placent le lien avec l'État sur des bases solides.

Qui APT31 cible

Le ciblage d'APT31 est défini par les intérêts politiques et économiques de la RPC plutôt que par un secteur unique. Ses cibles récurrentes comprennent :

• Les gouvernements et les personnalités politiques, notamment des élus, des législateurs, des candidats et des membres de campagne. Le groupe a ciblé des individus associés à l'élection présidentielle américaine de 2020.
• Les institutions démocratiques, dont la compromission de la Commission électorale britannique entre 2021 et 2022 et des opérations de reconnaissance contre des parlementaires britanniques.
• Les dissidents, les journalistes et les universitaires, ce qui correspond à la répression transnationale des critiques du gouvernement chinois.
• Les infrastructures critiques et la défense, notamment des cibles américaines liées au secteur de l'énergie et à l'armée.
• Les entreprises détenant une propriété intellectuelle de valeur, ce qui reflète une dimension d'espionnage économique et de vol de secrets commerciaux, en parallèle de la dimension politique.

Géographiquement, le groupe a opéré aux États-Unis, en Europe et au-delà, notamment lors d'une campagne de 2021 contre de nombreuses entités françaises documentée par l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Selon l'acte d'inculpation de 2024, le groupe a envoyé plus de 10 000 e-mails malveillants et touché des milliers de cibles sur plusieurs continents sur une période d'environ quatorze ans.

Comment APT31 opère

Les méthodes d'APT31 ne sont pas toujours techniquement avancées, mais elles sont efficaces, reposant largement sur des services légitimes et une infrastructure dissimulée pour contourner les défenses. Son activité se mappe clairement sur le framework MITRE ATT&CK.

Deux traits se distinguent. D'abord, le recours intensif du groupe à des services légitimes, GitHub pour héberger ses implants et l'API Dropbox pour le commande et contrôle (C2), permet à son trafic de se fondre dans l'activité normale et d'échapper aux contrôles qui bloqueraient une infrastructure inconnue. Ensuite, APT31 est l'un des rares acteurs connus pour construire son infrastructure opérationnelle à partir de routeurs SOHO (small office/home office) compromis, créant des réseaux relais qui dissimulent l'origine réelle de ses attaques. Il a également utilisé du code d'exploitation volé, notamment l'outil dit Jian dérivé d'un zero-day divulgué, démontrant une capacité à réutiliser des capacités avancées lorsqu'elles sont disponibles.

Campagnes notables

Sur toute son histoire, APT31 a été associé à une série d'opérations d'espionnage :

• Ciblage de l'élection américaine de 2020. Le groupe a ciblé des individus associés à une campagne présidentielle américaine avec des activités de hameçonnage de credentials, signalées publiquement par de grands éditeurs de technologies.
• Campagne France 2021. L'ANSSI a publié des indicateurs d'une campagne contre de nombreuses entités françaises, s'appuyant sur l'infrastructure de routeurs du groupe.
• Compromission de la Commission électorale britannique (2021-2022). Les autorités britanniques ont attribué au groupe la compromission de registres électoraux contenant des données sur des dizaines de millions d'électeurs, ainsi que des opérations de reconnaissance contre des parlementaires.
• Inculpation et sanctions de 2024. Les actions américaines et britanniques ont nommé une société écran du MSS et des individus, détaillant une opération mondiale couvrant environ quatorze ans contre des cibles politiques, gouvernementales et commerciales.

Comment se défendre contre APT31

Parce qu'APT31 s'appuie sur le hameçonnage, les services légitimes et une infrastructure dissimulée plutôt que sur des exploits bruyants, la défense combine protection de l'identité et détection comportementale :

1. Renforcer la protection contre le hameçonnage. Un filtrage robuste des e-mails, une sensibilisation des utilisateurs et une authentification résistante au hameçonnage réduisent la principale voie d'accès initial du groupe, à savoir le lien d'hameçonnage de credentials.
2. Surveiller l'utilisation abusive de services légitimes. Parce que le C2 se cache dans des services comme GitHub et Dropbox, surveiller l'utilisation anormale de services cloud légitimes est plus efficace que les seules listes de blocage.
3. Prendre en compte l'infrastructure de relais. Le groupe proxy son trafic via des routeurs domestiques et de bureau compromis ; les connexions provenant de réseaux résidentiels ou inattendus ne doivent pas être considérées comme intrinsèquement fiables, et les appareils de périphérie doivent être corrigés et surveillés.
4. Traquer la persistance et le vol de credentials. Surveiller la persistance basée sur le registre, l'accès aux credentials du navigateur et les accès durables aux boîtes mail ou comptes cloud, qui sont les comportements révélateurs d'une intrusion à longue durée de présence.
5. Utiliser le renseignement sur les cybermenaces. Suivre les heuristiques d'infrastructure, les outils et les campagnes actuelles d'APT31 aide les équipes à reconnaître son activité en contexte et à prioriser les secteurs qu'il cible.

Les recherches de Sekoia sur APT31

L'équipe TDR de Sekoia a directement analysé l'infrastructure d'APT31. À la suite des publications de l'Office fédéral allemand pour la protection de la Constitution (BfV), de McAfee et de l'ANSSI en 2021, TDR a examiné les réseaux relais opérationnels du groupe et a constaté que de nombreux indicateurs de commande et contrôle pointaient vers des routeurs SOHO compromis, d'abord un cluster d'une même marque de routeur avant que le groupe ne migre vers d'autres pour éviter d'être tracé. À partir de là, TDR a développé des heuristiques, basées sur les schémas de nommage de domaines, la configuration DNS et les fournisseurs, ainsi que les caractéristiques des appareils compromis, pour illuminer des pans de l'infrastructure du groupe dans le temps, et a identifié des implants dont des balises Cobalt Strike et un backdoor construit sur l'outil Tiny SHell. Ce type de suivi d'infrastructure de première main est ce qui transforme un acteur nommé en quelque chose qu'un défenseur peut réellement traquer, et il est publié sur le blog Sekoia, avec des indicateurs partagés en open source.

Avis d'expert : se cacher en pleine lumière

APT31 nous rappelle qu'un acteur étatique n'a pas besoin de malwares de pointe pour être efficace. Sa force, c'est le camouflage : des implants hébergés sur GitHub, un C2 qui passe par l'API Dropbox, et un trafic relayé via des routeurs domestiques ordinaires, de sorte qu'une intrusion ressemble à une activité internet banale. Chacun de ces choix est conçu pour déjouer les contrôles qui décident de ce qui est malveillant en fonction de l'origine du trafic ou du service utilisé. Une connexion à Dropbox ou une authentification depuis une adresse résidentielle n'a rien d'inhabituel en soi, ce qui est précisément pourquoi la technique fonctionne.

C'est là qu'une approche pilotée par la cyber threat intelligence (CTI) prend toute sa valeur, et où les propres travaux de Sekoia sur APT31 sont instructifs. Sekoia est un éditeur européen de cybersécurité dont l'équipe TDR interne traque les acteurs à nexus chinois comme APT31, y compris les heuristiques d'infrastructure qui distinguent ses réseaux relais, et ce renseignement sur les menaces alimente la plateforme. Plutôt que de traiter une connexion cloud isolée ou une authentification provenant d'un routeur comme du bruit isolé, la plateforme AI SOC de Sekoia corrèle les signaux sur les endpoints, le réseau et le cloud et les mappe sur le framework MITRE ATT&CK, de sorte que le hameçonnage menant au vol de credentials et au C2 cloud peut être reconnu comme une seule intrusion. Le suivi d'infrastructure que Sekoia a publié sur APT31 est un exemple de transformation du renseignement de première main en détection qui tient même quand un acteur se cache dans des services légitimes.

Le message pratique pour les défenseurs est qu'un acteur aussi camouflé se détecte par le contexte et l'intelligence, pas par une seule alerte. La prévention, comme l'authentification résistante au hameçonnage et la correction des appareils de périphérie, est essentielle et stoppera de nombreuses tentatives, mais les intrusions qui réussissent sont celles qui paraissent ordinaires, et celles-ci ne remontent qu'au moment où la télémétrie d'identité, d'endpoint, de réseau et de cloud est lue ensemble, face au renseignement actuel sur l'acteur. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est bien placé pour accompagner les organisations gouvernementales et d'infrastructures critiques qu'APT31 cible.