L'entreprise de cybersécurité ESET a confirmé, jeudi, que le groupe de hackers FishMonger, responsable de cyberattaques contre un groupe de réflexion géopolitique français, est géré par un sous-traitant chinois désormais surveillé par le FBI.

La France est dans le collimateur d'un groupe de cyberespionnage chinois © Skorzewiak / Shutterstock
La France est dans le collimateur d'un groupe de cyberespionnage chinois © Skorzewiak / Shutterstock

ESET Research vient d'apporter une preuve supplémentaire du lien entre l'entreprise chinoise I-SOON et le groupe de hackers FishMonger, opérant sous plusieurs pseudonymes, dont Aquatic Panda. Cette confirmation, intervenue ce jeudi 20 mars, fait suite à un acte d'accusation du Département américain de la Justice, qui visait des employés de ce sous-traitant chinois.

Parmi les cibles de leur campagne d'espionnage baptisée « FishMedley » figurait notamment un groupe de réflexion géopolitique français, ce qui montre bien l'ampleur internationale de ces opérations malveillantes.

Des cibles stratégiques, dont un groupe français, dans le viseur des hackers chinois

L'opération FishMedley, menée en 2022, a visé sept organisations réparties sur trois continents. Comme le dit Matthieu Faou, chercheur chez ESET, « nous avons enquêté sur plusieurs compromissions utilisant des implants comme ShadowPad et SodaMaster, couramment employés par des acteurs malveillants liés à la Chine. » L'enquête a justement permis de regrouper ces incidents sous une même opération.

Parmi les cibles, on retrouvait des organisations gouvernementales de Taïwan et de Thaïlande, des œuvres caritatives catholiques en Hongrie et aux États-Unis, une ONG américaine, ainsi qu'un groupe de réflexion géopolitique en France, et une organisation non identifiée en Turquie. Cette diversité de cibles ont pour point commun d'avoir chacune un intérêt stratégique pour le gouvernement chinois.

Dans la majorité des cas, les hackers disposaient d'accès privilégiés aux réseaux, notamment des identifiants d'administrateur de domaine. On retrouve les signes d'une préparation minutieuse et de moyens considérables, caractéristiques des opérations soutenues par des États.

Des techniques sophistiquées et un réseau criminel identifié

L'arsenal technique de FishMonger impressionne par sa diversité. Les attaquants ont déployé des implants comme ShadowPad, SodaMaster et Spyder, ainsi qu'un outil personnalisé d'exfiltration de mots de passe et un outil d'interaction avec Dropbox, probablement utilisé pour extraire des données des réseaux compromis.

ESET Research a pu confirmer indépendamment que « FishMonger est une équipe d'espionnage opérée par I-SOON, un sous-traitant chinois basé à Chengdu qui a subi une fuite de documents en 2024 », nous dit Matthieu Faou. Ce groupe fait partie de l'écosystème Winnti et utilise diverses appellations, comme Earth Lusca, TAG-22 et Red Dev 10.

Ce n'est en tout cas pas la première fois que FishMonger est repéré par ESET. Dès 2020, l'entreprise avait publié une analyse du groupe lorsqu'il ciblait avec virulence des universités de Hong Kong, pendant les manifestations civiques. Le FBI a désormais ajouté les personnes inculpées à sa liste des criminels les plus recherchés, comme une preuve supplémentaire de la gravité des opérations menées.