Publié le 2025-12-05 21:13:00. Les agences de cybersécurité américaine et canadienne mettent en garde les opérateurs d’infrastructures critiques contre une nouvelle porte dérobée sophistiquée, nommée Brickstorm, attribuée à des acteurs soutenus par l’État chinois. Cette menace permet un accès furtif et persistant aux systèmes, avec des risques de perturbation et de sabotage.
- La CISA, la NSA et le Centre canadien de cybersécurité recommandent des évaluations immédiates des systèmes et une application rapide des mesures d’atténuation.
- Brickstorm cible principalement les environnements VMware vSphere et Windows, avec une capacité à se réinstaller et à dissimuler son activité grâce à un cryptage multicouche.
- Les attaquants utilisent Brickstorm pour voler des informations d’identification et créer des machines virtuelles malveillantes, échappant ainsi à la détection.
Une nouvelle campagne de cyberespionnage ciblant les infrastructures critiques a été révélée par la Cybersecurity and Infrastructure Security Agency (CISA) américaine, la National Security Agency (NSA) et le Centre canadien de cybersécurité. Les trois agences ont publié un avis conjoint concernant Brickstorm, une porte dérobée sophistiquée utilisée par des acteurs liés à la République populaire de Chine. Cette menace représente un risque sérieux pour la sécurité des réseaux et des données sensibles.
Brickstorm, basée sur le langage de programmation ELF Go, est conçue pour établir et maintenir un accès discret et durable aux systèmes compromis. Les différentes variantes analysées partagent des fonctionnalités communes, notamment la capacité à initier une connexion, à persister dans le système et à établir un canal de commande et de contrôle chiffré. Bien que les versions actuellement connues ciblent principalement les environnements VMware vSphere, des rapports indiquent l’existence de variantes fonctionnant sous Windows.
Une fois déployée, Brickstorm met en œuvre une série de vérifications pour assurer son fonctionnement continu. Elle dispose d’une routine d’auto-surveillance qui lui permet de se réinstaller ou de se redémarrer en cas d’interférence. Cette capacité de résilience rend la détection et l’élimination de la porte dérobée particulièrement difficiles.
Pour dissimuler ses communications, Brickstorm utilise plusieurs couches de cryptage, notamment le protocole HTTPS, les WebSockets et le TLS imbriqué. Elle exploite également le DNS sur HTTPS et imite le comportement légitime des serveurs web pour se fondre dans le trafic réseau normal. La porte dérobée offre un accès interactif au shell, permettant aux attaquants de parcourir, de modifier ou de déplacer des fichiers sur le système compromis. Certaines variantes intègrent également un proxy SOCKS, facilitant le mouvement latéral au sein du réseau et l’accès à des systèmes supplémentaires.
Les secteurs les plus touchés par Brickstorm sont les services et installations gouvernementales, ainsi que le secteur de l’informatique. Les attaquants ciblent spécifiquement les serveurs VMware vSphere, notamment les serveurs vCenter, ainsi que les systèmes Windows. Après avoir obtenu un accès initial, ils cherchent à voler des informations d’identification légitimes en effectuant des sauvegardes du système ou en capturant des données de la base de données Active Directory. Ils utilisent également les instantanés de machines virtuelles pour extraire des informations d’identification et créer des machines virtuelles malveillantes cachées.
« Cet avis souligne les graves menaces posées par la République populaire de Chine qui créent des risques et des coûts continus en matière de cybersécurité pour les États-Unis, nos alliés et les infrastructures critiques dont nous dépendons tous »,
Madhu Gottumukkala, directeur par intérim de la CISA
Madhu Gottumukkala a également souligné que les acteurs soutenus par l’État ne se contentent pas de pénétrer les réseaux, mais s’implantent durablement pour permettre un accès à long terme, des perturbations et un sabotage potentiel.
Les agences de cybersécurité recommandent aux organisations d’infrastructures critiques d’examiner attentivement le rapport complet sur Brickstorm et de mettre en œuvre immédiatement les mesures d’atténuation recommandées. Elles conseillent également de signaler toute activité suspecte. Il est crucial d’utiliser les indicateurs de compromission (IOC), les signatures de détection et les règles YARA et SIGMA développées par la CISA pour identifier et contrer cette menace.
En parallèle, la CISA et l’Australian Cyber Security Centre (ACSC) ont publié des directives communes en matière de cybersécurité pour aider les propriétaires et les opérateurs d’infrastructures critiques à intégrer l’intelligence artificielle (IA) dans leurs systèmes de technologie opérationnelle (OT), tout en minimisant les risques.
