Porte dérobée MarsSnake : un outil cybernétique furtif pour l'espionnage mondial

Une autre menace numérique émerge

En matière de cyberespionnage mondial, une nouvelle porte dérobée, baptisée MarsSnake , attire l'attention des analystes en sécurité. MarsSnake a été lié à un groupe de cybermenaces insaisissable baptisé UnsolicitedBooker , soupçonné d'opérer en lien avec la Chine. Cette porte dérobée est apparue lors d'une série de cyberattaques visant une organisation internationale basée en Arabie saoudite.

UnsolicitedBooker, bien que relativement discret, aurait utilisé des campagnes d'hameçonnage très ciblées pour obtenir un accès initial. Ces e-mails sont conçus pour paraître légitimes – souvent en utilisant des réservations de vols comme appât – et ont été envoyés à des organisations partout en Asie, en Afrique et au Moyen-Orient. La persistance de ces attaques, avec des incidents documentés en 2023, 2024, puis début 2025, suggère un intérêt persistant pour des cibles géopolitiques spécifiques.

L'anatomie de l'attaque

La méthode d'infiltration utilisée dans la campagne MarsSnake témoigne d'une opération minutieusement planifiée. Les attaquants ont envoyé des courriels déguisés en communications de Saudia Airlines, accompagnés d'une pièce jointe Microsoft Word contenant ce qui semblait être un itinéraire de vol. Bien qu'apparemment anodin, le document était piraté à l'aide d'une macro qui, une fois activée, déployait un fichier exécutable nommé smssdrvhost.exe sur l'ordinateur de la victime.

Ce fichier fonctionne comme un chargeur, installant finalement la porte dérobée MarsSnake. Une fois activé, MarsSnake établit le contact avec un serveur de commande et de contrôle (C&C) externe, permettant aux attaquants d'interagir avec le système compromis. Le niveau d'accès fourni par MarsSnake inclut l'exécution de commandes, la manipulation de fichiers et l'installation potentielle de nouveaux logiciels malveillants, le tout contrôlé à distance via l'infrastructure de l'attaquant.

Qu'est-ce que MarsSnake et pourquoi est-ce important ?

MarsSnake se distingue non seulement comme une porte dérobée, mais aussi comme un outil de cyberespionnage hautement performant et flexible. Sa capacité à effectuer un large éventail d'opérations en fait un atout majeur pour tout groupe de menaces persistantes avancées (APT). MarsSnake est actuellement une exclusivité d'UnsolicitedBooker, ce qui témoigne d'un degré de spécialisation dans son développement et son déploiement.

Cette exclusivité soulève également des questions quant aux objectifs stratégiques de son utilisation. Les experts en cybersécurité estiment que MarsSnake n'est pas un outil destiné aux attaques de masse, mais plutôt un outil conçu pour un ciblage précis visant à infiltrer des institutions spécifiques et de grande valeur. Les attaques répétées contre une seule organisation en Arabie saoudite suggèrent que l'objectif est la collecte de renseignements à long terme plutôt que des gains financiers rapides ou des perturbations.

Connexions avec d'autres acteurs de la menace

Bien qu'UnsolicitedBooker soit un nom relativement nouveau dans l'écosystème APT, ses tactiques et ses outils ressemblent à ceux d'autres groupes liés à la Chine. L'utilisation de portes dérobées connues comme Chinoxy, DeedRAT , Poison Ivy et BeRAT correspond aux comportements observés lors d'opérations attribuées à des groupes de menaces tels que Space Pirates et APT15 .

Des campagnes similaires ont également été observées auprès de groupes comme DigitalRecyclers , une autre entité opérant sous l'égide d'APT15. DigitalRecyclers a ciblé des organismes gouvernementaux européens en utilisant sa propre suite de logiciels malveillants, dont une porte dérobée nommée HydroRShell . Comme MarsSnake, HydroRShell est conçu pour l'exécution de commandes à distance et utilise des méthodes sophistiquées pour communiquer avec son serveur de contrôle, notamment les Protocol Buffers de Google (Protobuf).

La situation dans son ensemble : quelles sont les implications ?

La découverte de MarsSnake et des campagnes qui lui sont associées met en lumière l'évolution des cybermenaces, où les portes dérobées sont de plus en plus sophistiquées et adaptées à leurs cibles. Pour les organisations internationales, notamment celles œuvrant dans les secteurs public, diplomatique ou des infrastructures critiques, l'existence d'outils comme MarsSnake souligne l'importance de pratiques de cybersécurité robustes.

Ces attaques reflètent également des tensions géopolitiques plus larges qui se jouent dans le monde numérique. Alors que les nations rivalisent pour des avantages stratégiques, le cyberespionnage est devenu une tactique privilégiée. Des outils comme MarsSnake s'inscrivent dans une tendance plus large où des groupes alliés à des États mènent des opérations de surveillance prolongées pour recueillir des renseignements sensibles.

Aller de l'avant

Même si MarsSnake ne concerne pas l'utilisateur lambda, sa présence témoigne d'un besoin croissant de coopération internationale en matière de cybersécurité. Les organisations doivent se montrer vigilantes face aux campagnes de spear-phishing et investir dans des outils de détection des menaces capables d'identifier les intrusions subtiles et durables.

Pour les chercheurs et les défenseurs, le suivi des familles de logiciels malveillants comme MarsSnake fournit des informations précieuses sur les capacités et les intentions des acteurs malveillants. L'analyse et le partage continus des renseignements sur les menaces sont essentiels pour garder une longueur d'avance sur ces campagnes sophistiquées.

MarsSnake n’est peut-être qu’une pièce d’un puzzle cybernétique plus vaste, mais son émergence rappelle clairement que la bataille pour la domination numérique est bien vivante et en constante évolution.