Mis à jour le 4 décembre 2025 à 17h25. Un groupe de cybercriminels, surnommé « Renard argenté », mène une campagne sophistiquée d’empoisonnement du référencement ciblant des organisations en Chine, en se faisant passer à tort pour un groupe de hackers russe.
- Le groupe utilise des leurres Microsoft Teams pour diffuser le malware ValleyRAT (Winos 4.0).
- Les attaquants tentent de masquer leur origine en utilisant des éléments cyrilliques dans leurs outils.
- Une nouvelle technique, exploitant des pilotes vulnérables signés par Microsoft, est également employée.
Des chercheurs en cybersécurité ont mis en évidence une campagne d’attaque complexe menée par le groupe « Renard argenté ». Cette opération, qui a débuté en novembre 2025, vise des utilisateurs sinophones, y compris ceux travaillant pour des entreprises occidentales basées en Chine. Les attaquants exploitent une faille dans l’optimisation pour les moteurs de recherche (SEO) afin de diffuser un logiciel malveillant.
La méthode employée consiste à rediriger les victimes vers un faux site web proposant un logiciel Microsoft Teams. En réalité, le téléchargement conduit à l’installation d’une archive ZIP nommée « MSTчamsSetup.zip », hébergée sur un serveur Alibaba Cloud. L’utilisation de caractères cyrilliques dans le nom du fichier est une tentative délibérée de brouiller les pistes et de faire croire à une attribution erronée à un groupe de hackers russe, selon Hayden Evans, chercheur chez ReliaQuest.
« Cette campagne cible les utilisateurs sinophones, y compris ceux des organisations occidentales opérant en Chine, en utilisant un chargeur ‘ValleyRAT’ modifié contenant des éléments cyrilliques – probablement une démarche intentionnelle visant à induire en erreur l’attribution. »
Hayden Evans, chercheur chez ReliaQuest
Une fois exécuté, le fichier installe une version trojanisée de Microsoft Teams qui analyse le système à la recherche de logiciels de sécurité, notamment 360 Total Security. Il désactive également les protections de Microsoft Defender Antivirus et installe discrètement le malware ValleyRAT, une variante du RAT Gh0st, connu pour permettre le contrôle à distance des systèmes infectés, l’exfiltration de données sensibles et le maintien d’une présence persistante sur les réseaux ciblés. L’utilisation de Gh0st RAT est généralement associée à des groupes de cybercriminels chinois.
La campagne d’empoisonnement du référencement représente une évolution des tactiques de « Renard argenté », qui avait précédemment exploité d’autres logiciels populaires tels que Google Chrome, Telegram, WPS Office et DeepSeek pour propager ses logiciels malveillants.
Parallèlement, Nextron Systems a découvert une autre chaîne d’attaque utilisant ValleyRAT, cette fois-ci via un programme d’installation de Telegram compromis. Cette attaque utilise une technique appelée « Bring Your Own Vulnerable Driver » (BYOVD) pour charger un pilote vulnérable signé par Microsoft, « NSecKrnl64.sys », et désactiver les solutions de sécurité.
« Cet orchestrateur de deuxième étape, men.exe, déploie des composants supplémentaires dans un dossier sous le profil utilisateur public, manipule les autorisations de fichiers pour résister au nettoyage et configure la persistance via une tâche planifiée qui exécute un script VBE codé. Ce script lance à son tour un chargeur de pilote vulnérable et un binaire signé qui charge la DLL ValleyRAT. »
Maurice Fielenbach, chercheur en sécurité chez Nextron Systems
Selon ReliaQuest, les motivations de « Renard argenté » sont à la fois financières – vol, escroqueries, fraude – et géopolitiques, avec une collecte de renseignements sensibles. Les cibles sont exposées à des risques de violation de données, de pertes financières et de compromission de leurs systèmes, tout en permettant au groupe de maintenir un déni plausible et d’opérer discrètement.
Les chercheurs soulignent que les victimes voient initialement un installateur normal, mais en arrière-plan, le malware manipule les fichiers, déploie des pilotes, désactive les défenses et lance finalement une balise ValleyRat pour assurer un accès à long terme au système.
Pour aller plus loin
