Une nouvelle campagne d’espionnage a été identifiée contre le Myanmar. Baptisée Operation QUICSILVER, l’opération vise notamment des secteurs gouvernementaux et des équipes informatiques, tout en s’appuyant sur une chaîne d’infection en plusieurs étapes. Au cœur du dispositif : une backdoor appelée QUICAgent, conçue pour se connecter à des serveurs de contrôle et exécuter des actions à distance.
Selon les informations rapportées par des laboratoires d’analyse, l’activité a d’abord été observée en avril 2026, puis a réapparu en juin et en juillet de la même année sous une forme reposant sur des composants différents, mais avec une logique d’infection similaire. Les chercheurs estiment avec un niveau de confiance modéré qu’un acteur lié à la Chine pourrait être à l’origine de ces opérations.
Un leurre d’invitation pour attirer des cibles
Le point d’entrée commence avec des fichiers piégeux, conçus pour tromper la victime au moment de l’ouverture. La campagne a notamment utilisé une idée de “liste de calendrier” fictive liée à un jour férié public Belgique–Myanmar, intégrée dans un artefact présenté comme un document. Dans un cas observé, le nom du fichier a été associé à HolidayNotice.pdf.exe, un élément qui combine une apparence de document et la réalité d’un exécutable.
Par la suite, la méthode a évolué : deux artefacts repérés en juin et juillet 2026 ont exploité un fichier Virtual Hard Disk (VHD) afin de démarrer le chemin menant à l’infection. À l’intérieur du VHD se trouvait un raccourci Windows (LNK) qui imitait un document PDF.
Lorsque l’utilisateur ouvre ce “PDF”, il ne voit pas le document attendu. Il reçoit plutôt un faux PDF présentant une invitation officielle à une cérémonie de remise de diplômes, rédigée en birman et présentée comme provenant d’un service relevant du ministère compétent au Myanmar : le ITCSD (Information Technology and Cyber Security Department), rattaché au Ministry of Transport and Communications.
La distraction à l’écran masque le lancement silencieux
Le leurre ne sert qu’à occuper la victime. Tandis que le contenu trompeur s’affiche, le raccourci lance en arrière-plan un binaire Windows légitime, ftp.exe, signé par Microsoft. Cette utilisation s’inscrit dans une pratique connue sous le nom de LOLBAS (Living Off The Land Binaries), qui consiste à exploiter des outils systèmes existants pour réduire la suspicion.
Le mécanisme ne s’arrête pas au simple lancement : le raccourci utilise une option permettant d’exécuter des commandes présentes dans un script local. L’objectif est de démarrer une reconstruction de charge utile à partir de contenus dissimulés.
Reconstruction de la charge utile via deux “fichiers document”
Une étape critique de l’attaque consiste à reconstituer le “vrai” contenu à partir de deux composants. Les chercheurs indiquent que, pendant que la victime est maintenue dans la distraction visuelle, le script recherche deux fichiers nommés header.doc et body.doc, placés dans un dossier caché, plus précisément dans la structure _rels.
Ensuite, la chaîne d’infection assemble ces éléments en s’appuyant sur une commande Windows native, copy /b, qui combine deux morceaux pour produire l’étape suivante. Cette approche permet d’éviter d’avoir un seul fichier final “clairement” identifié au premier coup d’œil.
QUICAgent : backdoor Go et techniques pour échapper à l’analyse
Une fois la charge reconstituée, l’attaque déploie le composant principal : QUICAgent. Il s’agit d’un implant écrit en Go, conçu pour franchir des étapes de préparation avant de contacter le serveur de commande et contrôle (C2).
Les chercheurs ont noté des mécanismes dédiés à l’évasion face aux environnements d’analyse automatisés et aux sandboxes. Le code intègre notamment :
- un délai aléatoire compris entre 100 et 600 millisecondes ;
- la réalisation de 1 000 itérations de calculs SHA-256 afin de consommer un temps d’exécution disponible dans certains systèmes automatisés.
Après cette phase, l’implant se prépare à établir une communication avec le C2.
Contact C2 : récupération dynamique depuis Cloudflare Workers
Le serveur de destination n’est pas câblé “en dur” dans l’ensemble du code. La backdoor récupère l’adresse du C2 en envoyant une requête HTTP GET vers deux domaines Cloudflare Workers. Une fois l’adresse obtenue, l’implant ajoute le port 443 pour constituer l’emplacement final.
D’après l’analyse, l’adresse détectée a notamment été associée à 104.64.211[.]22. Pour la communication, la backdoor utilise QUIC sur le port UDP 443, ce qui contribue à rendre les échanges moins “attendus” que du trafic web classique basé sur TCP.
Le premier “beacon” transmis au serveur inclut aussi des informations de base sur la machine compromise. La fréquence de contact est rapportée comme étant d’environ toutes les 5 secondes. Chaque hôte infecté reçoit un identifiant unique nommé X-Agent-ID afin d’individualiser la victime côté attaquant.
Fonctions de commande et persistance
QUICAgent reste relativement “compact” dans ses capacités de base. Les chercheurs citent cinq commandes principales permettant notamment d’exécuter des actions système, de transférer des fichiers, de naviguer dans des répertoires et de modifier l’intervalle des signaux de présence.
Pour maintenir l’accès dans le temps, la campagne met en place une persistance via un fichier LNK placé dans le dossier de démarrage de Windows (Startup) pour l’utilisateur courant. Ainsi, le composant est exécuté automatiquement lors de la prochaine connexion de la victime.
Un écosystème plus large : liens avec Mustang Panda
Les révélations autour de QUICSILVER s’inscrivent dans un contexte plus large d’activités attribuées à des groupes liés à la Chine. En particulier, il est fait mention de l’acteur Mustang Panda, qui aurait été observé avec une version mise à jour d’une backdoor connue : COOLCLIENT.
Dans ce cas, le groupe pourrait déployer un pilote signé en mode noyau, référencé comme Msagent.sys. L’approche est rapprochée de mécanismes de furtivité déjà identifiés dans d’autres familles, et des éléments suggèrent un déploiement via PlugX avec une technique de DLL sideloading (chargement détourné de DLL).
Selon les rapports cités, la backdoor COOLCLIENT propose un éventail de capacités : keylogging, vol du presse-papiers, collecte d’identifiants, gestion de fichiers, reconnaissance système et extensions via plugins. Elle aurait été repérée dans la nature dès 2022, et des analyses de sécurité ont signalé des variantes accompagnées d’un pilote en mode noyau sur plusieurs pays, dont le Myanmar, la Mongolie, le Pakistan et la Russie.
Pourquoi cette campagne est préoccupante
Le schéma observé dans l’Operation QUICSILVER combine plusieurs facteurs qui rendent l’attaque difficile à détecter : des leurres crédibles (invitations de cérémonie), des transitions silencieuses via des binaires légitimes, une reconstruction de charge utile à partir de fragments “disguisés”, puis une communication C2 structurée autour d’adresses obtenues dynamiquement.
En plus, la présence de mécanismes d’évasion visant les environnements d’analyse automatisés suggère que les opérateurs ont anticipé des scénarios de détection et d’expertise rapide.
Conclusion
L’Operation QUICSILVER illustre la manière dont les campagnes d’espionnage modernes peuvent orchestrer des chaînes d’infection multi-étapes : tromper d’abord l’utilisateur avec un document d’apparence légitime, déclencher ensuite une exécution discrète, reconstituer la charge utile et, enfin, maintenir la communication via une backdoor comme QUICAgent.
Pour les organisations ciblées ou susceptibles de l’être, la meilleure défense passe généralement par la vigilance sur les pièces jointes, le durcissement des postes, et la capacité à repérer les comportements anormaux (exécution via raccourcis, schémas de persistance, trafic réseau atypique et tentatives d’évasion).
Source: https://thehackernews.com/2026/08/operation-quicsilver-targets-myanmar.html
