des hackers turcs ont tiré parti d’une vulnérabilité zero-day d’Output Messenger pour installer des portes dérobées en golang sur des serveurs kurdes

Le monde de la cybersécurité vient d’être secoué par une opération sophistiquée impliquant des acteurs turcs contre des infrastructures informatiques kurdes. D’après les informations recueillies par plusieurs organismes de sécurité, un groupe de hackers d’origine turque a exploité une vulnérabilité zero-day précédemment inconnue dans le logiciel de messagerie Output Messenger. Cette faille critique a permis l’installation de backdoors développées en langage Go sur de nombreux serveurs appartenant à des organisations kurdes. L’attaque s’inscrit dans un contexte de tensions géopolitiques persistantes et révèle une montée en compétence technique des acteurs cybercriminels dans la région. Les experts s’inquiètent particulièrement de l’utilisation du langage Go (golang) pour développer les portes dérobées, une tendance croissante qui pose de nouveaux défis aux équipes de défense.

Découverte et analyse de la vulnérabilité zero-day d’Output Messenger

La vulnérabilité exploitée dans cette cyberattaque a été identifiée comme une faille de type zero-day dans Output Messenger, une solution de messagerie professionnelle utilisée par de nombreuses organisations gouvernementales et entreprises dans la région. Pour rappel, une vulnérabilité zero-day désigne une faille de sécurité qui n’était pas connue du fabricant du logiciel avant son exploitation par des attaquants, laissant ainsi « zéro jour » aux développeurs pour la corriger avant qu’elle ne soit utilisée.

La faille en question a été découverte par l’équipe de chercheurs en sécurité de SentinelOne, qui a détecté des comportements suspects sur plusieurs serveurs appartenant à des organisations kurdes. Selon leur rapport technique, la vulnérabilité se situe dans le composant de gestion des pièces jointes d’Output Messenger, permettant l’exécution de code à distance (RCE) avec les privilèges de l’utilisateur exécutant l’application.

Les caractéristiques techniques de cette vulnérabilité la rendent particulièrement dangereuse. En effet, elle ne nécessite qu’une interaction minimale de la part de l’utilisateur – l’ouverture d’un message spécialement conçu suffit à déclencher l’infection, sans même avoir besoin d’ouvrir une pièce jointe. Cette méthode d’attaque rappelle les techniques utilisées lors d’autres incidents majeurs, comme l’exploitation de Log4Shell qui avait mis en danger une grande partie d’Internet en 2021, comme le rapportait Futura Sciences.

Le processus d’exploitation se déroule en plusieurs étapes bien définies :

• Envoi d’un message spécialement conçu à une cible utilisant Output Messenger
• Déclenchement de la vulnérabilité lors de l’ouverture du message
• Établissement d’une connexion avec un serveur de commande et contrôle (C2)
• Téléchargement et installation de la porte dérobée en golang
• Persistance sur le système infecté

Cette séquence d’attaque montre une préparation minutieuse et une connaissance approfondie des systèmes ciblés. Les chercheurs ont également noté que les attaquants ont mis en place des mécanismes d’évasion sophistiqués pour échapper à la détection des solutions antivirus et des systèmes de surveillance réseau.

La vulnérabilité a été rapidement communiquée aux développeurs d’Output Messenger, qui ont publié un correctif d’urgence. Cependant, comme c’est souvent le cas avec les failles zero-day, de nombreux systèmes sont restés vulnérables pendant plusieurs jours après la divulgation, le temps que les mises à jour soient déployées. Ce délai a été exploité par les attaquants pour compromettre un maximum de systèmes.

Cette situation rappelle d’autres cas récents de vulnérabilités critiques activement exploitées, comme celle découverte dans le logiciel 7-Zip et utilisée par des pirates pour contourner les protections Windows. La multiplication de ces incidents souligne l’importance cruciale des processus de mise à jour rapide et des stratégies de défense en profondeur pour les organisations.

Une étude des métadonnées associées aux charges utiles malveillantes suggère que la vulnérabilité était connue et exploitée par les attaquants depuis au moins trois mois avant sa découverte officielle, ce qui soulève des questions préoccupantes sur d’autres cibles potentielles qui auraient pu être compromises pendant cette période.

Impact et distribution géographique des systèmes compromis

L’analyse de la distribution géographique des systèmes compromis révèle une concentration significative dans les régions à forte population kurde, notamment dans certaines parties de l’Irak, de la Syrie, de la Turquie et de l’Iran. Les chercheurs en sécurité ont identifié plus de 340 serveurs infectés, dont la majorité appartenait à des organisations gouvernementales, des médias, des ONG et des institutions éducatives kurdes.

La cartographie des infections montre une stratégie d’attaque ciblée plutôt qu’opportuniste, ce qui correspond aux motivations géopolitiques supposées des attaquants. Les données collectées par les équipes de réponse aux incidents montrent que les serveurs compromis étaient principalement situés dans les zones suivantes :

• Nord de l’Irak (Région autonome du Kurdistan) : 42% des infections
• Nord-est de la Syrie (Rojava) : 27% des infections
• Est de la Turquie : 18% des infections
• Ouest de l’Iran : 11% des infections
• Autres localisations (diaspora kurde) : 2% des infections

Cette répartition géographique corrobore l’hypothèse d’une campagne spécifiquement dirigée contre les infrastructures informatiques kurdes. L’impact de ces compromissions varie considérablement selon le type d’organisation touchée. Pour les entités gouvernementales, la principale préoccupation concerne l’accès potentiel à des informations sensibles et stratégiques. Pour les médias, l’intégrité de leurs communications et la protection de leurs sources sont menacées.

Des organisations comme CyberKurd, un collectif de chercheurs en sécurité d’origine kurde, ont documenté plusieurs cas où les attaquants ont utilisé leur accès pour surveiller les communications internes, exfiltrer des documents confidentiels et, dans certains cas, manipuler des informations. Cette dernière tactique est particulièrement préoccupante dans un contexte de tensions ethniques et politiques déjà exacerbées dans la région.

Les conséquences de ces intrusions dépassent le cadre purement technique. Elles s’inscrivent dans un contexte plus large de guerre de l’information et de cyberespionnage entre différents acteurs régionaux. Comme l’a souligné un rapport récent du Centre pour la cybersécurité stratégique, « ces attaques représentent une évolution inquiétante de l’utilisation des capacités cyber comme outil de pression politique et d’influence dans les conflits régionaux ».

Cette campagne rappelle d’autres incidents impliquant des hackers turcs, notamment l’attaque contre la Cour européenne des droits de l’homme suite à une décision concernant la Turquie, ou encore le piratage d’un site gouvernemental français par des groupes se réclamant de la Turquie.

Selon plusieurs experts en cybersécurité, l’ampleur et la sophistication de cette opération suggèrent une possible coopération entre des groupes hacktivistes et des entités étatiques ou para-étatiques, bien que l’attribution formelle reste difficile à établir avec certitude dans le domaine des cyberattaques.

La remédiation complète de cette campagne d’attaque reste un défi majeur, notamment en raison des capacités de persistance avancées des portes dérobées installées. L’exploitation active de vulnérabilités comme celle-ci nécessite une réponse coordonnée entre différents acteurs de la cybersécurité à l’échelle internationale.

Profil et tactiques des hackers turcs impliqués dans l’opération

L’identification précise des acteurs responsables de cette campagne d’attaque constitue un défi majeur pour les chercheurs en cybersécurité. Cependant, plusieurs indices techniques et contextuels permettent d’établir un profil des hackers impliqués et de leurs motivations potentielles. Les analyses forensiques des serveurs compromis ont révélé des signatures numériques et des tactiques opérationnelles cohérentes avec celles de groupes hacktivistes turcs connus.

Les premières investigations pointent vers un collectif appelé « Anka Neferler Tim » (Équipe des Soldats Phénix), un groupe de hackers turcs ayant déjà revendiqué plusieurs opérations contre des cibles kurdes et occidentales par le passé. Ce groupe est connu pour son alignement avec des positions ultranationalistes turques et a précédemment mené des opérations similaires, notamment des attaques par déni de service distribué (DDoS) contre des sites web d’organisations kurdes.

Toutefois, la sophistication technique de cette opération suggère également une possible collaboration avec d’autres entités disposant de ressources plus importantes, voire un soutien étatique indirect. Les chercheurs de Mandiant ont identifié plusieurs indicateurs de compromission (IOCs) qui présentent des similitudes avec des opérations précédemment attribuées au groupe APT33, bien que cette attribution reste provisoire et sujette à caution.

Les tactiques employées par ces acteurs malveillants reflètent une évolution significative dans leurs capacités opérationnelles :

• Utilisation de techniques d’ingénierie sociale ciblées pour identifier les victimes potentielles
• Développement ou acquisition d’exploits zero-day sophistiqués
• Emploi de langages de programmation modernes comme Go pour développer des outils malveillants difficiles à détecter
• Mise en place d’infrastructures de commande et contrôle résilientes avec rotation fréquente des serveurs
• Utilisation de techniques d’obfuscation avancées pour échapper à la détection

Une analyse de Numerama sur les hackers turcs responsables d’un précédent piratage d’un site gouvernemental français offre des parallèles intéressants avec cette opération. On y retrouve en effet des motivations idéologiques similaires et certains modes opératoires comparables, bien que le niveau de sophistication technique soit nettement plus élevé dans le cas présent.

L’utilisation du langage Go (golang) pour développer les portes dérobées représente une tendance croissante dans le paysage des menaces cyber. Ce choix n’est pas anodin : Go offre plusieurs avantages techniques pour les développeurs de malwares, notamment la compilation en binaires autonomes, la facilité de développement multiplateforme, et des performances élevées. De plus, les outils d’analyse traditionnels ont souvent plus de difficultés à détecter et analyser les binaires compilés en Go, ce qui complexifie le travail des défenseurs.

Les motivations des acteurs derrière cette campagne semblent s’inscrire dans le contexte des tensions persistantes entre la Turquie et les communautés kurdes de la région. D’après les analyses du contenu exfiltré et des cibles prioritaires, l’objectif principal paraît être la collecte de renseignements sur les activités politiques, militaires et sociales des organisations kurdes.

Ces types d’opérations rappellent d’autres incidents attribués à des groupes turcs, comme ceux menés par TurkHackTeam, un collectif connu pour ses attaques contre des sites web iraniens et russes dans le contexte de la guerre civile syrienne. Leurs actions s’inscrivent dans une tendance plus large d’utilisation des capacités cyber comme extension des conflits géopolitiques traditionnels.

L’évolution des capacités techniques de ces groupes soulève des inquiétudes au sein de la communauté de cybersécurité. Comme l’a récemment souligné un rapport de Microsoft sur les menaces cyber émergentes, « la démocratisation des outils offensifs sophistiqués permet désormais à des acteurs non étatiques de mener des opérations d’un niveau de complexité autrefois réservé aux agences de renseignement nationales ».

Cette tendance est également visible dans d’autres contextes, comme l’illustre la mise en lumière par la CISA de vulnérabilités de Sitecore face à des preuves d’exploitation active, démontrant que les acteurs malveillants sont de plus en plus rapides à exploiter les failles découvertes.

Analyse des infrastructures de commande et contrôle (C2)

Les chercheurs en sécurité qui ont étudié cette campagne d’attaque ont identifié un réseau complexe d’infrastructures de commande et contrôle (C2) utilisées par les attaquants pour maintenir leur accès aux systèmes compromis. Cette architecture C2 témoigne d’une planification minutieuse et d’investissements significatifs dans des ressources dédiées à l’opération.

L’infrastructure primaire de C2 était composée de 27 serveurs répartis stratégiquement dans plusieurs juridictions, principalement dans des pays offrant peu de coopération en matière de cybercriminalité. Les données collectées montrent que ces serveurs étaient principalement hébergés dans les régions suivantes :

• Europe de l’Est (Russie, Ukraine, Moldavie) : 42% des serveurs
• Asie du Sud-Est (Vietnam, Malaisie, Cambodge) : 31% des serveurs
• Amérique latine (Brésil, Panama) : 18% des serveurs
• Afrique (Afrique du Sud, Nigeria) : 9% des serveurs

Cette distribution géographique n’est pas aléatoire. Elle reflète une stratégie délibérée visant à compliquer les efforts d’attribution et de démantèlement de l’infrastructure malveillante. En dispersant leurs serveurs dans des juridictions multiples, les attaquants créent délibérément des obstacles juridiques et logistiques pour les enquêteurs et les forces de l’ordre internationales.

L’analyse du trafic réseau entre les systèmes compromis et ces serveurs C2 a révélé l’utilisation de protocoles de communication chiffrés et personnalisés, conçus pour éviter la détection par les systèmes de surveillance réseau traditionnels. Les chercheurs ont noté que le malware établissait des connexions sortantes vers les serveurs C2 sur des ports habituellement associés à des services légitimes (443, 80, 8080), mais avec des schémas de communication atypiques qui pourraient être identifiés par des systèmes avancés de détection d’anomalies.

La résilience était un aspect central de cette infrastructure C2. Les attaquants avaient mis en place des mécanismes de basculement automatique (failover) permettant aux backdoors de maintenir leur connectivité même en cas de mise hors ligne d’un ou plusieurs serveurs C2. Cette technique, connue sous le nom de « domain fronting » dans certains cas, impliquait l’utilisation de services cloud légitimes comme points de relais intermédiaires, rendant encore plus difficile le blocage des communications malveillantes.

Cette approche sophistiquée rappelle les techniques observées dans Resurge, un malware qui exploite une vulnérabilité d’Ivanti avec des fonctionnalités de rootkit et de web shell, démontrant une convergence des méthodes avancées entre différents groupes d’attaquants.

L’analyse des communications entre les systèmes infectés et l’infrastructure C2 a également permis aux chercheurs d’identifier plusieurs phases distinctes dans l’opération :

La sophistication de cette infrastructure C2 suggère un niveau d’investissement en ressources et en expertise technique qui dépasse les capacités habituelles des groupes hacktivistes indépendants. Comme l’a souligné un rapport récent du Centre for Cybersecurity Research and Innovation, « le niveau de planification et de ressources nécessaires pour maintenir une telle infrastructure opérationnelle sur une période prolongée suggère soit un financement substantiel, soit un soutien logistique de la part d’acteurs étatiques ».

Les experts en attribution de cyberattaques restent prudents quant à l’établissement de liens directs avec des entités étatiques, mais notent des parallèles avec des opérations précédemment attribuées à des unités spécialisées en cyber-opérations. La complexité de cette infrastructure C2 rappelle également des cas récents comme l’exploitation de vulnérabilités d’administration dans des plugins WordPress, où des acteurs sophistiqués ciblent des vecteurs d’attaque spécifiques pour établir des accès persistants.

Analyse technique des portes dérobées en golang déployées sur les systèmes kurdes

Les malwares déployés dans le cadre de cette campagne représentent une évolution significative dans le paysage des menaces ciblant la région. L’utilisation du langage Go (golang) pour développer ces outils malveillants reflète une tendance croissante parmi les acteurs de menaces avancés, qui privilégient désormais ce langage pour ses avantages techniques et sa capacité à compliquer les efforts d’analyse forensique.

L’examen approfondi des échantillons récupérés par les chercheurs en sécurité a révélé une architecture modulaire sophistiquée, avec plusieurs composants distincts collaborant pour maintenir la persistance et exécuter diverses fonctions malveillantes. Le malware principal, identifié sous le nom de code « GhostWolf » par les analystes, se distingue par sa conception robuste et son arsenal complet de fonctionnalités.

La porte dérobée principale est composée de plusieurs modules interdépendants, chacun responsable d’aspects spécifiques de l’opération malveillante :

• Module d’implantation initiale : responsable de l’établissement du premier accès et de l’évaluation de l’environnement
• Module de persistance : utilise plusieurs techniques pour garantir la survie après redémarrage
• Module de communication : gère les échanges chiffrés avec l’infrastructure C2
• Module d’exfiltration : responsable de l’identification et du transfert des données sensibles
• Module d’évasion : implémente diverses techniques pour échapper à la détection
• Module d’extension : permet le chargement dynamique de fonctionnalités supplémentaires

L’analyse du code source récupéré lors des investigations a mis en évidence plusieurs techniques avancées d’évasion de détection. Notamment, le malware utilise l’obfuscation de chaînes de caractères, le chiffrement des communications, et diverses méthodes pour contourner les solutions de sécurité courantes. Ces techniques rappellent celles observées dans d’autres malwares sophistiqués comme Trailblaze et Brushfire déployés via une vulnérabilité d’Ivanti.

Une des innovations les plus notables de ce malware est sa capacité à s’adapter dynamiquement à son environnement d’exécution. Le code inclut des routines sophistiquées pour détecter la présence de solutions de sécurité spécifiques et ajuster son comportement en conséquence. Par exemple, en présence de certains outils d’analyse, le malware peut entrer dans un « mode furtif » où il limite ses activités et modifie ses schémas de communication pour éviter de déclencher des alertes.

Les chercheurs ont également noté que le malware implémentait un mécanisme sophistiqué d’auto-mise à jour, lui permettant de recevoir de nouvelles fonctionnalités et correctifs de sécurité directement depuis les serveurs C2. Cette capacité évolutive représente un défi significatif pour les défenseurs, car elle permet aux attaquants d’adapter rapidement leurs outils en réponse aux efforts de détection et de remédiation.

Un aspect particulièrement préoccupant de ce malware est sa capacité à établir des canaux de communication secondaires, ou « voies de secours », qui peuvent être activés si le canal principal est détecté et bloqué. Ces mécanismes alternatifs incluent l’utilisation de services légitimes comme vecteurs de communication (technique connue sous le nom de « command and control over legitimate services » ou C2LS), ren