Des hackers chinois tirent parti d’une faille RCE dans SAP (CVE-2025-31324) pour déployer un SuperShell basé sur Golang

Une campagne sophistiquée d’attaques informatiques menée par des pirates chinois exploite actuellement une vulnérabilité critique d’exécution de code à distance (RCE) dans les systèmes SAP. La faille, identifiée sous la référence CVE-2025-31324, touche spécifiquement le composant Visual Composer de SAP NetWeaver, pierre angulaire des infrastructures informatiques de nombreuses entreprises internationales. Ces attaques se distinguent par le déploiement d’un malware avancé baptisé « SuperShell », développé en langage Golang, connu pour sa portabilité et ses performances. Les experts en cybersécurité signalent que cette menace présente un niveau de sophistication préoccupant, avec des capacités d’évitement des systèmes de détection et de persistance sur les réseaux compromis.

Détails techniques de la vulnérabilité CVE-2025-31324 dans SAP NetWeaver

La faille de sécurité CVE-2025-31324 découverte dans SAP NetWeaver représente une menace critique pour les organisations utilisant ce système. Cette vulnérabilité, notée 9,8 sur 10 sur l’échelle CVSS (Common Vulnerability Scoring System), permet à des attaquants d’exécuter du code à distance sans authentification préalable. Elle affecte principalement le serveur de développement Visual Composer, un composant essentiel de la plateforme SAP NetWeaver.

D’après les analyses techniques publiées par le CERT-FR, cette vulnérabilité réside dans la façon dont le composant VCFRAMEWORK 7.50 traite certaines requêtes HTTP. En exploitant cette faille, un attaquant peut injecter et exécuter du code arbitraire avec les privilèges du service SAP, généralement très élevés dans l’environnement d’entreprise. Cette situation est particulièrement préoccupante car elle permet potentiellement un accès complet aux données sensibles stockées dans les systèmes SAP, incluant informations financières, données clients et propriété intellectuelle.

Le vecteur d’attaque principal implique l’envoi de requêtes HTTP spécialement conçues vers le serveur Visual Composer Development. Ces requêtes contiennent du code malveillant qui exploite une erreur dans la validation des entrées par le serveur. Une fois la validation contournée, le code injecté s’exécute dans le contexte du serveur d’applications, donnant aux attaquants un point d’entrée pour des actions malveillantes supplémentaires.

Les chercheurs en cybersécurité ont identifié que cette vulnérabilité est particulièrement dangereuse pour plusieurs raisons :

• Elle ne nécessite pas d’authentification préalable
• Elle peut être exploitée à distance via Internet
• L’exploitation est relativement simple à mettre en œuvre avec les bons outils
• Les privilèges obtenus sont généralement élevés dans l’environnement ciblé
• Elle affecte de nombreuses versions de SAP NetWeaver, y compris certaines relativement récentes

SAP a publié un avis de sécurité détaillé le 8 avril 2025, accompagné de correctifs pour les versions affectées. Selon IT-Connect, plus de 1 200 serveurs SAP exposés sur Internet seraient actuellement vulnérables à cette faille, créant un vaste champ d’action pour les acteurs malveillants.

Les experts de Cyber Veille Santé soulignent également que cette vulnérabilité présente des similitudes avec d’autres failles précédemment découvertes dans SAP, comme la CVE-2025-27429, suggérant des problèmes récurrents dans l’architecture de sécurité de ces produits. Les organisations utilisant SAP sont donc fortement encouragées à appliquer les correctifs sans délai et à surveiller attentivement leurs systèmes pour détecter toute activité suspecte.

Impact et propagation de l’exploitation par les acteurs malveillants

Depuis la découverte de cette vulnérabilité, les experts en sécurité ont observé une augmentation alarmante des tentatives d’exploitation. D’après les données collectées par plusieurs CERT (Computer Emergency Response Team) nationaux, les premières tentatives d’exploitation ont été détectées moins de 48 heures après la divulgation publique de la faille. Cette rapidité témoigne de la surveillance constante des nouvelles vulnérabilités par les groupes d’attaquants et de leur capacité à développer rapidement des exploits fonctionnels.

Selon les observations rapportées par l’ANSSI et relayées par Clubic, les attaques suivent généralement un schéma en plusieurs phases :

1. Scan massif d’Internet pour identifier les serveurs SAP NetWeaver exposés
2. Test de la vulnérabilité sur les serveurs identifiés
3. Exploitation de la faille pour établir une présence initiale
4. Déploiement du malware SuperShell pour maintenir l’accès
5. Mouvement latéral dans le réseau pour atteindre d’autres systèmes critiques

Les données de télémétrie collectées par plusieurs fournisseurs de solutions de sécurité indiquent que les attaques proviennent principalement d’adresses IP associées à des infrastructures situées en Asie du Sud-Est, bien que l’attribution précise reste complexe en raison des techniques d’obscurcissement utilisées par les attaquants.

Une analyse approfondie révèle que les secteurs les plus ciblés par ces attaques sont :

• Le secteur manufacturier (31% des attaques détectées)
• Les services financiers (27%)
• Le secteur public et gouvernemental (19%)
• La santé (14%)
• Les entreprises de services énergétiques (9%)

Cette distribution n’est pas surprenante, car ces secteurs utilisent traditionnellement des systèmes SAP pour leurs opérations critiques et contiennent souvent des données de grande valeur. Les Chinese hackers à l’origine de ces attaques semblent particulièrement intéressés par l’espionnage industriel et le vol de propriété intellectuelle, ce qui correspond aux cibles privilégiées.

Les conséquences d’une exploitation de faille réussie peuvent être dévastatrices pour les organisations touchées. Parmi les impacts observés dans les cas documentés, on trouve :

Les chercheurs de SensorsTechForum soulignent que la gravité de cette situation est amplifiée par le fait que de nombreuses organisations ne disposent pas de systèmes de surveillance adéquats pour leurs environnements SAP, ce qui permet aux attaquants de rester non détectés pendant des périodes prolongées, parfois plusieurs mois avant la découverte d’une intrusion.

Analyse du SuperShell : un malware sophistiqué écrit en Golang

Le SuperShell, déployé lors des attaques exploitant la vulnérabilité CVE-2025-31324, représente une évolution significative dans le paysage des malwares. Ce logiciel malveillant se distingue par son architecture modulaire et son développement en Golang (ou Go), un langage de programmation créé par Google qui gagne en popularité parmi les développeurs de malwares pour plusieurs raisons techniques fondamentales.

Selon les analyses réalisées par plusieurs laboratoires de sécurité, le SuperShell présente une architecture sophistiquée comprenant un composant principal et plusieurs modules extensibles. Le cœur du malware, écrit entièrement en Golang, assure les fonctions essentielles de persistance et de communication avec les serveurs de commande et contrôle (C2). Cette approche modulaire permet aux attaquants d’adapter rapidement leurs outils en fonction des environnements ciblés et d’ajouter de nouvelles fonctionnalités sans avoir à redéployer l’intégralité du malware.

Le choix du langage Golang pour le développement logiciel de ce malware n’est pas anodin. Ce langage offre plusieurs avantages tactiques aux développeurs malveillants :

• Compilation statique qui intègre toutes les dépendances dans un seul exécutable
• Support natif du multithreading pour des performances optimales
• Compatibilité multiplateforme permettant de cibler différents systèmes d’exploitation
• Faible taux de détection par les solutions antivirus traditionnelles
• Difficulté accrue pour l’analyse et la rétro-ingénierie par les analystes de sécurité

Les chercheurs de VoteInutile.fr qui ont analysé des échantillons du SuperShell ont identifié plusieurs techniques avancées d’évasion implémentées dans ce malware. Parmi celles-ci, on trouve l’utilisation de techniques de « timing » qui permettent au malware de détecter les environnements d’analyse, ainsi que des mécanismes de chiffrement sophistiqués pour les communications avec l’infrastructure C2.

L’analyse du code révèle également que le SuperShell utilise des techniques avancées pour contourner les systèmes de détection basés sur des signatures. Par exemple, le malware implémente un mécanisme de polymorphisme qui modifie dynamiquement certaines parties de son code lors de l’exécution, rendant inefficaces les détections basées sur des empreintes statiques. Cette caractéristique, combinée à l’utilisation de Golang, explique en partie pourquoi de nombreux systèmes de protection traditionnels échouent à identifier ce malware.

En termes de fonctionnalités, le SuperShell offre un arsenal complet aux attaquants. Les capacités documentées incluent :

• Exfiltration de données avec support de divers protocoles (HTTPS, DNS, SMB)
• Capture de frappes clavier et d’écrans
• Élévation de privilèges exploitant des vulnérabilités locales
• Mouvement latéral utilisant diverses techniques (Pass-the-Hash, WMI, etc.)
• Persistance via plusieurs mécanismes (services Windows, tâches planifiées, DLL hijacking)

Une caractéristique particulièrement préoccupante du SuperShell est sa capacité à cibler spécifiquement les environnements SAP. Des modules dédiés ont été identifiés pour l’extraction de données sensibles des bases SAP HANA et pour la manipulation des journaux d’audit des systèmes SAP, permettant aux attaquants d’effacer leurs traces. Cette spécialisation indique une connaissance approfondie des systèmes SAP par les développeurs du malware, suggérant un investissement significatif dans la recherche et le développement.

Selon des rapports publiés par VoteInutile.fr, les méthodes de persistance employées par le SuperShell sont particulièrement robustes. Le malware utilise jusqu’à sept mécanismes différents pour assurer sa survie après un redémarrage ou une tentative de nettoyage, rendant l’éradication complète extrêmement difficile sans une réinstallation complète du système.

Capacités avancées d’exploitation et de mouvement latéral

Le SuperShell se distingue également par ses capacités sophistiquées d’exploitation post-compromission et de mouvement latéral dans les réseaux compromis. Une fois installé sur un système SAP via l’exploitation de la faille CVE-2025-31324, le malware déploie un arsenal de techniques pour étendre son emprise et maximiser l’impact de l’intrusion.

Les chercheurs en sécurité qui ont analysé le fonctionnement du SuperShell ont identifié plusieurs phases distinctes dans sa séquence opérationnelle. La première phase, après l’infection initiale, consiste en une reconnaissance approfondie de l’environnement. Le malware collecte des informations détaillées sur la configuration du système, les applications installées, les utilisateurs actifs et la topologie du réseau. Cette phase de cartographie permet aux attaquants d’identifier les cibles à haute valeur et de planifier leur progression dans l’infrastructure.

Pour le mouvement latéral, le SuperShell emploie un ensemble diversifié de techniques, adaptées en fonction des configurations réseau rencontrées :

• Exploitation de services vulnérables sur d’autres systèmes
• Vol et réutilisation de jetons d’authentification Windows
• Techniques de Pass-the-Hash pour réutiliser les condensats de mots de passe
• Utilisation de protocoles de gestion comme WMI et PowerShell Remoting
• Exploitation des relations d’approbation entre domaines Active Directory

Selon une analyse récente, le SuperShell comporte également des modules spécifiques pour l’exploitation d’autres vulnérabilités connues dans des produits couramment déployés aux côtés de SAP, comme les VPN SonicWall, les serveurs Microsoft Exchange et diverses solutions de sécurité périmétrique. Cette polyvalence transforme le point d’entrée initial via SAP en une menace pour l’ensemble de l’infrastructure informatique de l’organisation ciblée.

Un aspect particulièrement sophistiqué du SuperShell réside dans sa capacité à adapter dynamiquement son comportement en fonction des défenses rencontrées. Par exemple, le malware peut détecter la présence de solutions EDR (Endpoint Detection and Response) spécifiques et modifier ses techniques d’exploitation pour éviter les signatures de détection connues. Cette adaptabilité est rendue possible par une architecture modulaire avancée et des mécanismes de mise à jour qui permettent aux opérateurs de déployer de nouvelles fonctionnalités à la volée.

Les capacités d’exploitation du SuperShell ne se limitent pas au mouvement latéral. Le malware inclut également des fonctionnalités avancées pour l’exfiltration discrète de données sensibles. Contrairement à d’autres malwares qui transfèrent rapidement de grandes quantités de données, le SuperShell adopte une approche plus subtile, en fragmentant les exfiltrations sur de longues périodes et en dissimulant les communications dans des protocoles légitimes comme DNS ou HTTPS. Cette méthode réduit considérablement les chances de détection par les systèmes de surveillance du trafic réseau.

Une analyse publiée par VoteInutile.fr a également révélé que le SuperShell comporte des capacités spécifiques pour manipuler les journaux d’événements et les traces d’audit sur les systèmes compromis. En effaçant systématiquement ses traces, le malware peut maintenir une présence prolongée dans les environnements infectés, parfois pendant plusieurs mois avant d’être détecté. Cette caractéristique est particulièrement préoccupante pour les équipes de réponse aux incidents, qui peinent à reconstituer la chronologie complète des compromissions.

Attribution et profil des acteurs de la menace

L’attribution des cyberattaques exploitant la vulnérabilité CVE-2025-31324 dans SAP et déployant le SuperShell a fait l’objet d’analyses approfondies par plusieurs organismes de cybersécurité gouvernementaux et privés. Les éléments techniques et contextuels convergent vers une attribution à un groupe d’acteurs avancés opérant depuis la Chine, bien que l’identification précise reste sujette à débat parmi les experts.

Les premières analyses des indicateurs de compromission (IoC) associés à ces attaques ont révélé plusieurs éléments distinctifs pointant vers des acteurs chinois. Selon un rapport conjoint publié par plusieurs CERT nationaux, l’infrastructure de commande et contrôle (C2) utilisée pour orchestrer les attaques présente des caractéristiques techniques et des schémas de communication similaires à ceux observés dans des campagnes précédentes attribuées à des groupes APT (Advanced Persistent Threat) chinois.

Les Chinese hackers impliqués dans cette campagne semblent appartenir à un groupe que certains chercheurs ont provisoirement désigné sous le nom de « Jade Viper » ou « APT41 », bien que les chevauchements avec d’autres groupes connus compliquent l’attribution définitive. Ce groupe se caractérise par :

• Une expertise technique avancée, particulièrement dans le développement de malwares personnalisés
• Un intérêt marqué pour l’espionnage industriel et le vol de propriété intellectuelle
• Des campagnes ciblant principalement les secteurs des hautes technologies, de la manufacture et de la finance
• Une persistance opérationnelle sur de longues périodes
• L’utilisation de techniques sophistiquées d’obscurcissement et d’anti-analyse

L’analyse linguistique du code source du SuperShell a également révélé des indices significatifs. Plusieurs commentaires en chinois simplifié ont été découverts dans certaines portions du code, suggérant que les développeurs principaux du malware sont probablement des locuteurs natifs du chinois. De plus, les heures d’activité observées dans les opérations d’attaque correspondent majoritairement aux heures de bureau dans les fuseaux horaires de l’Asie de l’Est, renforçant l’hypothèse d’acteurs basés en Chine.

Selon un rapport d’analyse publié par VoteInutile.fr, les tactiques, techniques et procédures (TTP) employées dans ces attaques présentent des similitudes frappantes avec celles documentées dans le cadre d’opérations attribuées à des unités spécialisées en cyberopérations du Ministère de la Sécurité d’État chinois (MSS). Ces similitudes incluent des méthodes spécifiques de persistance, des techniques de mouvement latéral et des stratégies d’exfiltration de données.

Une analyse approfondie des objectifs de ces attaques renforce également l’hypothèse d’acteurs chinois. Les secteurs ciblés correspondent étroitement aux priorités définies dans les plans quinquennaux et les initiatives stratégiques du gouvernement chinois, notamment « Made in China 2025 ». Les industries les plus touchées sont celles où la Chine cherche activement à combler des écarts technologiques ou à acquérir des avantages compétitifs, comme les semi-conducteurs, les biotechnologies et les technologies de pointe.

Il convient de noter que, malgré la solidité des preuves techniques, l’attribution formelle des cyberattaques reste un exercice délicat, impliquant souvent des considérations diplomatiques et géopolitiques qui dépassent le cadre purement technique. Comme le souligne IT Daily dans son analyse de la situation, plusieurs gouvernements occidentaux ont toutefois publiquement attribué ces attaques à des acteurs soutenus par l’État chinois, sur la base de renseignements confidentiels et d’analyses techniques détaillées.

Motivations stratégiques et objectifs des attaques

Les motivations sous-jacentes aux campagnes d’attaques exploitant la vulnérabilité SAP CVE-2025-31324 s’inscrivent dans un contexte plus large d’espionnage économique et de concurrence géopolitique. L’analyse des cibles et des données exfiltrées permet d’identifier plusieurs objectifs stratégiques poursuivis par les acteurs chinois derrière ces opérations.

Selon les experts en menaces cyber qui ont étudié ces campagnes, l’objectif primaire semble être l’acquisition de propriété intellectuelle et de secrets industriels. Les systèmes SAP constituent des cibles particulièrement attractives car ils centralisent souvent les données les plus sensibles des entreprises, notamment les informations relatives à la recherche et développement, aux processus de fabrication propriétaires et aux stratégies commerciales.

Une analyse publiée par VoteInutile.fr concernant le programme CVE du MITRE souligne que les vulnérabilités dans des systèmes d’entreprise comme SAP représentent des opportunités particulièrement précieuses pour les acteurs étatiques engagés dans l’espionnage économique. Le retour sur investissement potentiel de telles opérations est considérable, justifiant l’allocation de ressources importantes pour le développement d’outils sophistiqués comme le SuperShell.

Les secteurs ciblés par ces attaques reflètent clairement des priorités stratégiques nationales chinoises :

• Semi-conducteurs et électronique avancée (priorité majeure dans le plan « Made in China 2025 »)
• Biotechnologies et pharmaceutique (sect