Pourquoi monter une infrastructure suspecte quand un service cloud bien sous tous rapports fait le travail ? Selon Acronis, le groupe Mustang Panda a transformé Zoho WorkDrive en relais de commande et de vol de données dans des campagnes visant des entités du gouvernement indien et des installations hydroélectriques. Le détail technique a été publié ce 29 juin 2026.
Points clés
- Mustang Panda utilise Zoho WorkDrive comme canal de commande (C2) et d’exfiltration de données, selon Acronis
- La campagne vise des entités du gouvernement indien et des installations hydroélectriques
- L’usage d’un service cloud légitime complique la détection et l’attribution
- Mustang Panda est un groupe d’espionnage lié à la Chine, suivi depuis des années par CrowdStrike
Zoho WorkDrive en relais C2
Acronis attribue à Mustang Panda une chaîne d’attaque bâtie sur un service de stockage et de collaboration en ligne, Zoho WorkDrive, employé à la fois pour le C2 (le canal de commande et de contrôle) et pour l’exfiltration de données. Ce choix complique la détection. Le trafic emprunte une plateforme grand public réputée plutôt qu’une infrastructure dédiée facile à mettre en liste noire.
Le groupe, traqué depuis des années comme un acteur d’espionnage lié à la Chine, s’attaque régulièrement aux administrations, aux diplomaties et aux organisations stratégiques en Asie-Pacifique et en Europe. Cette fois, les victimes citées par Acronis se trouvent en Inde, avec un ciblage assumé du secteur public et d’infrastructures hydroélectriques. Le scénario décrit par Mustang Panda coche toutes les cases de l’attaque à faible bruit : intrusion, communication via un service légitime, récupération de commandes, puis vol progressif de fichiers.
Un habitué du cyberespionnage
Mustang Panda figure parmi les noms les plus surveillés du paysage des groupes chinois. CrowdStrike le relie à des opérations contre des gouvernements, des organismes diplomatiques et des structures stratégiques. Plusieurs chercheurs ont déjà documenté ses penchants pour la furtivité, les chargeurs intermédiaires et les services de partage détournés.
Le passage par Zoho WorkDrive s’inscrit dans une tendance plus large : exploiter des services légitimes pour masquer les échanges de commande, contourner les filtres réseau et brouiller l’attribution. L’intérêt opérationnel est double. Piloter l’attaque et extraire les données par le même canal, sans multiplier les infrastructures exposées. Pour l’Inde, la séquence vient grossir une série d’opérations observées en 2026 contre des organismes publics et des secteurs sensibles. Acronis n’a précisé ni le nombre de victimes ni la période exacte des intrusions.
Ce que change un service cloud légitime
Le recours à Zoho WorkDrive complique surtout la riposte. Bloquer des domaines exotiques ou des adresses IP isolées ne suffit plus. Il faut surveiller les usages anormaux de plateformes courantes, contrôler les flux sortants et corréler les accès aux comptes avec le comportement des postes compromis.
Dans ce type de campagne, la défense se joue sur des signaux faibles : connexions inhabituelles à des espaces de stockage, téléchargements automatiques, volumes incohérents avec l’activité normale, fichiers exfiltrés en pleine nuit. Quand un groupe comme Mustang Panda vise des cibles gouvernementales ou énergétiques, l’enjeu n’est plus la compromission initiale mais la durée de sa présence dans le réseau et le volume de données sorties sans qu’aucune alarme ne sonne.
Zoho, éditeur indien très implanté dans les outils cloud pour entreprises, se retrouve au cœur d’une technique de camouflage bien malgré lui. La société n’est pas impliquée dans l’attaque. Sa plateforme a juste servi de salle d’attente aux assaillants.
