Un implant réseau capable de manipuler le trafic en profondeur
Les chercheurs d’ESET viennent d’identifier EdgeStepper, un implant réseau inédit attribué au groupe PlushDaemon, un acteur APT aligné sur les intérêts chinois. Cet outil permet d’exécuter des attaques « adversary-in-the-middle » (AitM) à grande échelle en prenant le contrôle de routeurs compromis.
Une fois déployé, EdgeStepper redirige l’intégralité des requêtes DNS vers un serveur malveillant géré par les attaquants. Ce serveur évalue chaque domaine demandé et renvoie, lorsque cela concerne une mise à jour logicielle, l’adresse d’un nœud spécialement conçu pour intercepter et modifier les fichiers téléchargés.
Des mises à jour détournées pour installer des implants malveillants
PlushDaemon exploite cette redirection pour compromettre plusieurs logiciels chinois populaires. Au lieu d’obtenir des mises à jour légitimes, les victimes téléchargent des téléchargeurs malveillants comme LittleDaemon et DaemonicLogistics.
Ces derniers préparent ensuite l’installation de SlowStepper, la porte dérobée modulaire du groupe. SlowStepper comprend plusieurs dizaines de modules orientés espionnage : collecte de données, surveillance, extraction, communication chiffrée et persistance avancée.
Cette chaîne d’infection révèle une stratégie particulièrement évolutive : manipuler les mises à jour logicielles permet d’installer des implants sans éveiller de suspicion.
Une campagne internationale aux cibles multiples
PlushDaemon est actif depuis au moins 2019 et cible des régions stratégiques. ESET a répertorié des attaques dans :
• les États-Unis
• la Nouvelle-Zélande
• Hong Kong
• Taïwan
• le Cambodge
• la Chine continentale
Les victimes incluent une université pékinoise, un fabricant taïwanais d’électronique, une entreprise automobile et une filiale japonaise de production industrielle.
Cette diversité confirme l’intérêt du groupe pour les secteurs critiques : recherche, électronique, industrie et innovation.
Une compromission qui commence par le routeur
L’un des points forts de la campagne est sa méthode de pénétration. PlushDaemon commence par prendre la main sur un routeur ou un équipement réseau associé à la cible. L’accès initial repose très probablement sur l’exploitation d’une faille logicielle ou sur des identifiants administratifs faibles ou réutilisés.
Selon Facundo Muñoz, le chercheur d’ESET qui a analysé la campagne, le serveur malveillant utilisé par les attaquants peut également jouer le rôle de nœud alternatif pour les mises à jour. Dans certains cas, il renvoie directement sa propre adresse IP, simplifiant l’attaque tout en maximisant le contrôle.
Un acteur APT déjà observé dans d’autres attaques complexes
PlushDaemon est actif depuis 2018 et se distingue par l’usage systématique de SlowStepper, son implant personnalisé. ESET a déjà observé des compromissions via des vulnérabilités de serveurs web et, en 2023, le groupe a été impliqué dans une attaque sur une chaîne d’approvisionnement — une méthode particulièrement prisée des groupes APT sophistiqués.
Rapport complet
L’analyse détaillée d’ESET est disponible dans leur publication « PlushDaemon compromet les dispositifs réseau pour des attaques adversaries-in-the-middle » sur WeLiveSecurity.com.
