En février 2026, des chercheurs ont mis au jour une campagne malveillante active depuis fin 2025. L’activité a ciblé des entités gouvernementales et diplomatiques en Asie du Sud-Est, avec un niveau de sophistication qui a retenu l’attention. Au cœur de cette chaîne, on retrouve une GoSerpent porte dérobée basée sur le langage Go et conçue pour établir une présence durable tout en facilitant l’extraction d’informations sensibles.
Ce qui rend la menace particulièrement préoccupante, ce n’est pas seulement la présence d’un malware, mais la façon dont ses composants sont orchestrés. D’abord, les attaquants collectent des fichiers ciblés. Ensuite, ils récupèrent des identifiants. Enfin, ils exfiltrent les données via des chemins réseau préparés, en s’appuyant sur des outils de proxy et des chargeurs plus récents.
Une campagne qui démarre en plusieurs temps
Les premières phases de l’attaque consistent à déployer la GoSerpent porte dérobée, puis à installer des modules supplémentaires. L’objectif initial est de rassembler des documents sensibles et de les conserver pour une étape future. Cette collecte est assurée par un outil dédié, déployé dans l’écosystème GoSerpent.
Par ailleurs, l’équipe d’attaque a aussi besoin de crédentiels pour permettre l’accès aux partages réseau et la suite de l’opération. C’est à ce moment qu’interviennent plusieurs outils de dumping de secrets, introduits via la porte dérobée.
GoSerpent : comment fonctionne cette porte dérobée
La GoSerpent porte dérobée constitue l’élément principal de la campagne. Elle agit comme un RAT (Remote Access Trojan) avec des capacités de communication et de commande à distance. Les informations disponibles indiquent que le malware est actif depuis au moins 2021, avec une variante plus récente déployée en 2026.
La porte dérobée reçoit des arguments via la ligne de commande. Ces éléments sont chiffrés et aussi encodés en base64. Le déchiffrement s’appuie sur un schéma compatible AES-CBC avec une initialisation fixe, tandis que les clés sont dérivées de chaînes définies à l’avance.
Pour les échanges avec les serveurs de commande et contrôle, la communication s’appuie sur un chiffrement ChaCha20. La clé utilisée est liée au hachage SHA256 d’un mot de passe de communication.
Commandes C2 et capacités de proxy
La porte dérobée peut exécuter différents types de commandes à distance. Parmi les capacités notables, on trouve la possibilité d’ouvrir un proxy SOCKS5. Cette fonctionnalité permet aux attaquants de router le trafic via des hôtes compromis, masquant ainsi leur adresse et étendant leur accès vers d’autres réseaux.
En plus du proxy, GoSerpent peut déployer des outils additionnels, dont ceux dédiés :
- à la collecte de fichiers (ex. DLL de collecte via un service Windows),
- au dumping d’identifiants (ex. récupération de matériel depuis des processus et extraction d’hashes),
- à l’extraction d’informations locales permettant des attaques ultérieures.
La détection est aussi rendue plus difficile par des mécanismes de dissimulation. Les noms de fichiers peuvent imiter des éléments légitimes du système (par exemple des noms de type lass.exe ou updates.exe), afin de tromper les contrôles basés sur la simple visibilité des noms.
Des outils pour collecter les documents sensibles
Après le déploiement initial, l’attaque utilise un module conçu pour collecter des fichiers. Dans le cadre de cette campagne, cet outil est ThumbcacheService, une DLL malveillante déployée comme service Windows.
Le service emploie une obfuscation par XOR avec une clé d’un octet, permettant de masquer certaines chaînes. Il crée ensuite une base de données portant un nom de type thumbcache_605a.db située dans le répertoire C:\
Source: https://securelist.com/goserpent-backdoor-in-southeast-asia/120687/
