Depuis janvier 2025, des organisations gouvernementales situées principalement en Asie centrale (ainsi que certaines entités à l’étranger) font l’objet d’une vague d’attaques suspectées d’être menées par un acteur parlant chinois. Selon les analyses relayées, la campagne toucherait des secteurs variés, avec un point commun : des outils malveillants conçus pour s’exécuter discrètement et conserver le contrôle sur des machines compromises.
Au cœur de cette activité figurent OctLurk et SilkLurk, deux backdoors récentes et “obscurcies”, complétées par une brique dédiée au routage du trafic réseau : LurkProxy. L’ensemble formerait un cadre multi-outils capable de télécharger des modules supplémentaires, d’exécuter des commandes et de collecter une grande quantité d’informations.
Une campagne ciblée depuis janvier 2025
D’après les informations disponibles, l’activité a débuté en janvier 2025 et vise des entités gouvernementales, notamment en Afghanistan, au Kirghizistan, au Tadjikistan, en Ouzbékistan, au Kazakhstan et dans la République arabe syrienne. Les cibles ne se limitent pas aux ministères : des organismes impliqués dans la recherche, la santé, la logistique, l’application de la loi, l’urbanisme et la gestion d’installations seraient également concernés.
Les chercheurs indiquent que, pour l’instant, la campagne n’a pas été rattachée à un groupe d’attaquants déjà connu. L’une des zones d’ombre reste l’accès initial : on ne sait pas encore par quel vecteur les attaquants ont pu pénétrer ces environnements.
OctLurk et SilkLurk : des backdoors centrées sur la mémoire
Les deux familles d’outils malveillants OctLurk et SilkLurk se distinguent par leur approche orientée mémoire. L’idée générale est de réduire les traces au disque : les charges utiles seraient déployées via des chargeurs, puis les modules nécessaires seraient chargés ou injectés en mémoire afin d’effectuer les actions malveillantes.
Dans le cas d’OctLurk, les analyses mentionnent un déploiement à l’aide d’un loader et une phase préalable de vérification de connectivité Internet à un domaine spécifique avant l’exécution d’un script batch responsable du lancement de LurkProxy. Ensuite, OctLurk établirait une communication avec une infrastructure distante de type command-and-control (C2), avec des mécanismes de collecte puis d’exécution de plugins.
Une caractéristique importante : les attaquants tireraient parti d’un encodage lié à la machine pour rendre l’analyse et la détection automatisée plus difficiles. OctLurk s’appuierait sur le numéro de série du disque, tandis que SilkLurk utiliserait le nom de l’ordinateur.
Ce que permet OctLurk : exécution, collecte et mouvement
Une fois en place, OctLurk mènerait une première étape de collecte d’informations système, suivie d’un chiffrement des données avant leur envoi au serveur C2. L’outil serait ensuite capable de charger des plugins reçus directement en mémoire.
Les fonctions décrites couvrent un large spectre d’activités typiques d’un scénario d’intrusion avancée :
- Exécution de commandes via un command shell (interpréteur de commandes).
- Activités sur le système de fichiers (lecture/interaction selon le plugin).
- Collecte et modification de contenu depuis le presse-papiers.
- Capture d’images (captures d’écran) et suivi des mouvements de la souris.
- Analyse réseau (reconnaissance et balayage de services).
- Vol d’identifiants : récupération d’informations liées aux mots de passe, hachages et événements d’authentification.
- Keylogging et vol de mots de passe depuis des navigateurs (Chrome et Firefox).
- Accès distant via un agent de type Pandora RC.
- Récupération d’éléments liés au courrier en s’authentifiant sur un serveur email.
Les chercheurs détaillent aussi des actions précises exécutées par le plugin de shell :
- Empreinte de l’hôte et collecte de données étendues sur le système compromis.
- Export d’événements de connexion et interrogation de ces événements pour des utilisateurs ciblés.
- Extraction de hachages depuis des contrôleurs de domaine à l’aide d’un outil de la suite Impacket (mentionné : secretsdump.py).
- Déploiement d’un enregistreur de frappe déguisé en “AnyDesk” afin de limiter les signaux de détection.
- Décryptage et extraction de mots de passe depuis Chrome et Firefox.
- Scan des réseaux internes et externes avec Fscan, puis tentative d’accès à des services identifiés (par exemple SSH sur le port 22, MySQL sur le port 3306) à l’aide d’un fichier de mots de passe nommé pp.txt.
- Interaction avec un serveur email : authentification puis collecte ou manipulation de messages.
Autrement dit, OctLurk et SilkLurk ne semblent pas se limiter à un simple accès initial : ils s’inscrivent dans une logique de persistance, d’escalade et d’exploitation des comptes.
LurkProxy : un outil pour router le trafic
Outre les backdoors, la campagne s’appuierait sur une utilité appelée LurkProxy. Son rôle serait de faire transiter le trafic réseau via l’équipement compromis, ce qui facilite l’anonymisation fonctionnelle et la progression latérale.
LurkProxy pourrait fonctionner en deux modes : en proxy SOCKS5 ou en proxy transparent. À un moment donné, le malware ne serait capable que d’un mode de routage, ce qui implique une configuration et une sélection selon les besoins de l’opération.
SilkLurk : déploiement via side-loading et pilotage C2
La troisième brique de la chaîne est SilkLurk. Les analyses décrivent un lancement à partir d’une DLL exécutée via une séquence de DLL side-loading. Une fois actif, SilkLurk créerait une connexion réseau basée sur un socket TCP vers un serveur C2 défini dans sa configuration, puis enverrait des informations sur la victime.
Le serveur C2 renverrait ensuite des instructions. Celles-ci pourraient inclure :
- l’obtention de l’heure locale du système ;
- la définition d’un intervalle de sleep, influençant la fréquence de requête au C2 ;
- l’envoi ou la mise à jour de la configuration de la backdoor ;
- le chargement d’extensions (plugins) injectées en mémoire.
En activité post-compromission, SilkLurk chercherait à interagir avec des ressources réseau partagées en utilisant des informations d’identification administratives, tout en préparant et archivant des documents jugés sensibles.
Chaîne d’exécution et outils associés
Les chercheurs signalent que SilkLurk utilise cmd.exe pour démarrer PowerShell et déclencher des opérations de découverte, de collecte puis d’archivage. Les outils d’archivage cités incluent WinRAR et 7-Zip afin de compresser les données volées.
Dans une autre étape, SilkLurk lancerait une nouvelle chaîne via cmd.exe afin d’installer PlugX, une backdoor connue associée à des groupes d’attaque chinois. Cette information renforce l’idée d’une stratégie modulaire, où l’environnement compromis peut servir de plateforme pour déployer d’autres composants.
Recoupements d’infrastructure avec une campagne antérieure
Les analyses rapportent également des recoupements d’infrastructure entre cette campagne et des attaques antérieures impliquant un implant C++ nommé SilentRaid (mentionné aussi sous les alias MystRodX et TrustFall). Toutefois, les chercheurs précisent qu’il n’est pas clair si ces activités ont eu lieu en même temps ou à des périodes distinctes.
Ce type de recoupement n’implique pas nécessairement une continuité directe, mais il suggère des éléments techniques réutilisés : serveurs, schémas d’attaque, ou infrastructures de pilotage.
Pourquoi ces techniques compliquent la détection
La combinaison de OctLurk et SilkLurk avec un modèle d’exécution en mémoire vise à réduire les artefacts observables. Les chargeurs présents sur disque seraient minimalistes et reposeraient sur des données spécifiques à la machine pour décoder la localisation et le contenu des charges utiles.
En parallèle, les fonctions avancées (collecte de secrets, keylogging, extraction de mots de passe navigateur, pivot via proxy) augmentent l’impact potentiel. Sur un réseau gouvernemental ou institutionnel, même une compromission discrète peut faciliter l’accès à des systèmes plus critiques via la reconnaissance et l’utilisation de crédentiels.
Ce que les organisations peuvent retenir
Sans prétendre à une solution unique, l’histoire derrière OctLurk et SilkLurk met en lumière des priorités concrètes : surveiller les comportements liés au chargement en mémoire, renforcer la protection des postes et serveurs qui stockent des secrets, et durcir les contrôles d’accès aux services exposés.
Les signatures exactes ne sont pas détaillées ici, mais la nature multi-étapes (collecte, exécution de commandes, vol d’identifiants, proxy réseau) indique que les équipes de sécurité doivent penser en termes de chaîne d’attaque : de la première anomalie observée à l’escalade, puis à la persistance.
Conclusion
Les analyses attribuées à des activités suspectées d’avoir été menées par un acteur parlant chinois décrivent une campagne qui, depuis janvier 2025, vise des organisations d’Asie centrale. Les backdoors OctLurk et SilkLurk, associées à LurkProxy, formeraient un cadre d’attaque centré sur l’exécution en mémoire, l’injection de plugins et le pilotage par serveur C2.
Avec des capacités allant de l’extraction d’identifiants à la collecte de données sensibles et au routage du trafic, la campagne souligne l’importance d’une détection robuste et d’une approche orientée comportements, afin de limiter l’impact d’intrusions sophistiquées.
Source: https://thehackernews.com/2026/08/suspected-chinese-speaking-hackers.html
