Les menaces numériques émanant de l’Asie de l’Est prennent de l’ampleur et gagnent en efficacité

Les acteurs de menace affiliés à l’État chinois font preuve d’un intérêt soutenu dans la mer de Chine méridionale et à Taïwan, ce qui montre l’ampleur des intérêts économiques, politiques et de défense de la Chine dans cette région.¹ Les revendications territoriales conflictuelles, donnant lieu a des tensions de part et d’autre du Détroit, et le développement de la présence militaire des américains sont autant de motivations à l’origine des cyberactivités offensives de la Chine.²

Microsoft a identifié Raspberry Typhoon (RADIUM) comme le principal groupe de menace qui cible les nations autour de la mer de Chine méridionale. Raspberry Typhoon cible constamment les ministères gouvernementaux, les entités militaires et les entités corporatives liées à une infrastructure critique, en particulier les télécoms. Depuis janvier 2023, Raspberry Typhoon s'est montré particulièrement persistant. Quand il cible les ministères gouvernementaux ou une infrastructure, Raspberry Typhoon organise généralement une collecte de renseignements et l'exécution de logiciels malveillants. Dans de nombreux pays, les cibles varient entre les ministères de la défense et du renseignement et les ministères liés au commerce et à l'économie.

Flax Typhoon (Storm-0919) est le groupe de menace le plus important qui cible l'île de Taïwan. Ce groupe vise principalement les télécommunications, l'enseignement, les technologies de l'information et l'infrastructure énergétique, en général en utilisant une appliance VPN personnalisée pour établir directement une présence au sein du réseau cible. De la même façon, Charcoal Typhoon (CHROMIUM) cible les institutions éducatives, l'infrastructure énergétique et la fabrication high-tech taïwanaises. En 2023, à la fois Charcoal Typhoon et Flax Typhoon ont ciblé des entités aérospatiales taïwanaises en contrat avec les militaires taïwanais.

Plusieurs groupes de menace basés en Chine continuent de cibler la base industrielle de défense américaine, notamment Circle Typhoon (DEV-0322),Volt Typhoon (DEV-0391) et Mulberry Typhoon (MANGANESE). Bien que les cibles de ces trois groupes puissent occasionnellement coïncider, ce sont des acteurs distincts avec une infrastructure et des capacités différentes.³

Circle Typhoon a une cyberactivité très diversifiée contre la base industrielle de défense américaine, notamment le développement de ressources, la collecte, l’accès initial et l’accès aux informations d’identification. Circle Typhoon utilise souvent des appliances VPN pour cibler les prestataires de défense italiens et américains. Volt Typhoon a également mené des opérations de reconnaissance contre de nombreux entrepreneurs de défense américains. Guam est l’une des cibles les plus courantes de ces campagnes, en particulier les communications satellites et les entités de télécommunications hébergées sur l’île.⁴

Une tactique courante de Volt Typhoon est de compromettre des petits routeurs de bureau ou domestiques, en général dans le but de créer une infrastructure.⁵ Mulberry Typhoon a également ciblé la base industrielle de défense américaine, plus particulièrement avec une attaque de vulnérabilité 0-day ciblant des appareils.⁶ L’intensification du ciblage de Guam est un point important puisqu’il s’agit du territoire américain le plus proche de l’Asie de l’Est et qu’il a une place cruciale dans la stratégie américaine dans la région.

Au cours des six derniers mois, Microsoft a observé des groupes de menace affiliés à l'État chinois ciblant l'infrastructure critique américaine dans plusieurs secteurs ainsi qu'un développement considérable des ressources. C'est le groupe Volt Typhoon qui est le principal acteur de l'activité depuis au moins l'été 2021, et l'étendue de cette activité n'est pas encore complètement connue.

Les secteurs ciblés sont les transports (comme les ports et les chemins de fer), les services publics (comme l’énergie et le traitement des eaux), l’infrastructure médicale (y compris les hôpitaux) et l’infrastructure des télécommunications (notamment les communications par satellite et les systèmes à fibre optique). Microsoft estime que cette campagne pourrait fournir à la Chine les moyens de perturber l’infrastructure et les télécommunications critiques entre les États-Unis et l’Asie.⁷

À partir du 15 mai, Storm-0558, un acteur de menace basé en Chine, utilisait des jetons d’authentification falsifiés pour accéder aux comptes de messagerie des clients Microsoft dans environ 25 organisations, y compris des entités gouvernementales européennes et américaines.⁸ Microsoft a bloqué avec succès cette campagne. L’objectif de l’attaque était d’obtenir un accès non autorisé aux comptes de messagerie. Microsoft a identifié que cette activité concordait avec les objectifs d'espionnage de Storm-0558. Storm-0558 avait déjà ciblé des entités diplomatiques européennes et américaines.

Premièrement, les opérations qui utilisent des médias visuels et vidéo sont en train de devenir la norme. Les réseaux affiliés au CCP utilisent depuis longtemps les images de profil générées par l’IA et, cette année, ils ont adopté l’art généré par l’IA pour les mèmes visuels. Les acteurs soutenus par l’État vont également continuer à puiser dans les studios de contenu privés et les sociétés de relations publiques pour sous-traiter la propagande à la demande.³⁵

Ensuite, la Chine va continuer à chercher l’engagement du public, en investissant du temps et des ressources dans des atouts de réseaux sociaux cultivés. Les influenceurs dotés d'une vaste connaissance linguistique et culturelle et publiant du contenu vidéo haute qualité ont été les pionniers de l'engagement sur les réseaux sociaux. Le CCP appliquera certaines de ces tactiques, notamment l'interaction avec les utilisateurs des réseaux sociaux et la démonstration de savoir-faire culturel, pour renforcer ses campagnes de réseaux sociaux clandestines.

Troisièmement, Taïwan et les États-Unis sont susceptibles de rester les deux principales priorités des opérations d'influence chinoises, en particulier compte tenu des prochaines élections dans les deux pays en 2024. Étant donné que, ces derniers temps, les acteurs d'influence favorables au CCP ont ciblé les élections américaines, il est quasiment certain qu'ils recommenceront. Les actifs des réseaux sociaux qui se font passer pour des électeurs américains vont probablement montrer des niveaux supérieurs de sophistication, semant activement la discorde sur les sujets raciaux, socioéconomiques et idéologiques, avec du contenu violemment critique sur les États-Unis.