Microsoft Threat Intelligence a averti qu'un acteur de menace basé en Chine, qu'il suit sous le nom de NeedyMantis, a ciblé des organisations dans divers secteurs. Selon la couverture du rapport, le groupe s'appuie sur un malware conçu pour l'accès réseau persistant du malware NeedyMantis, ce qui signifie que l'objectif n'est pas un vol rapide, mais une présence prolongée dans l'environnement d'une victime.

Le résumé public est pauvre en détails techniques, donc cet article s'en tient à ce qui a été rapporté et explique pourquoi ce schéma est important pour les personnes dont les données se trouvent au sein d'organisations ciblées.

Ce que Microsoft dit que NeedyMantis fait

Microsoft Threat Intelligence décrit NeedyMantis comme un acteur de menace originaire de Chine. L'entreprise indique que le groupe a ciblé des organisations dans divers secteurs, plutôt qu'un seul. Le malware associé au groupe est décrit comme permettant un accès persistant aux réseaux des victimes.

Accès persistant est une expression clé. Cela signifie qu'un intrus établit un point d'ancrage qui survit aux redémarrages, aux changements de mots de passe ou aux nettoyages de routine, afin de pouvoir revenir quand il le souhaite. Le matériel source ne liste pas de victimes spécifiques, de capacités du malware, de dates ou d'indicateurs techniques, et nous ne les devinerons pas. Les organisations qui souhaitent ces détails doivent consulter directement l'avis de Microsoft.

Pourquoi l'accès persistant importe pour les données personnelles

Un attaquant qui peut rester discrètement à l'intérieur d'un réseau a le temps pour lui. Au lieu de prendre tout ce qui est disponible dès le premier jour, il peut observer le fonctionnement des systèmes, trouver où se trouvent les dossiers sensibles et collecter des informations progressivement. Ce type d'accès peut être difficile à repérer car il peut ne pas déclencher les symptômes bruyants que les gens associent aux rançongiciels ou à la défiguration.

Pour les individus, le risque est indirect. Vous n'installez peut-être jamais rien de suspect et ne cliquez jamais sur un mauvais lien, mais vos informations peuvent quand même être exposées parce qu'un employeur, un fournisseur de services ou une institution avec laquelle vous traitez a été compromis. Des dossiers tels que les coordonnées, les informations de compte ou les données d'emploi sont le type de matériel que les organisations détiennent régulièrement, et un intrus à long terme peut être en position de les atteindre.

Rien dans les rapports n'indique que des données personnelles ont été volées dans cette campagne. Le point est structurel : lorsque des acteurs soutenus par un État s'installent dans les réseaux, les données à l'intérieur de ces réseaux deviennent accessibles.

Quels secteurs mettent en danger les informations des consommateurs

Microsoft indique que NeedyMantis a frappé divers secteurs, ce qui suggère qu'aucune catégorie ne peut être ignorée. En termes généraux, toute organisation qui stocke des informations sur les clients, les patients, les employés ou les membres est une source potentielle de données personnelles. Pensez aux entreprises et institutions avec lesquelles la plupart des gens interagissent régulièrement : employeurs, fournisseurs de services, cabinets professionnels et fournisseurs qui se connectent à des organisations plus grandes.

Parce que la source ne nomme pas les secteurs affectés, il serait inexact de pointer des secteurs spécifiques comme cibles confirmées. Un enseignement pratique consiste simplement à supposer que les organisations qui détiennent vos informations sont des cibles potentielles, et à planifier en conséquence.

Ce que cela signifie pour vous

Vous ne pouvez pas corriger le réseau de quelqu'un d'autre, mais vous pouvez réduire l'impact qu'une violation ailleurs vous cause. Voici ce qui est réaliste :

  • Utilisez des mots de passe uniques et un gestionnaire de mots de passe. Si une organisation est compromise, des identifiants réutilisés permettent aux attaquants de les essayer ailleurs.
  • Activez l'authentification multifacteur pour l'e-mail, les comptes bancaires et professionnels, idéalement avec une application d'authentification ou une clé de sécurité plutôt que par SMS.
  • Partagez moins. Ne donnez aux organisations que les données personnelles dont elles ont vraiment besoin, car les données qui ne sont jamais collectées ne peuvent pas être volées.
  • Surveillez le phishing de suivi. Les détails volés alimentent souvent des messages convaincants qui font référence à de vrais comptes ou employeurs.
  • Maintenez vos appareils à jour afin que vos propres systèmes ne soient pas un point d'entrée secondaire facile.

Il est également utile d'être clair sur les limites des outils grand public. Un VPN chiffre le trafic entre votre appareil et le serveur VPN, ce qui est utile sur les réseaux non fiables. Il ne protège pas les données qu'une organisation stocke sur ses propres serveurs, et il ne peut pas arrêter un intrus déjà à l'intérieur du réseau d'une entreprise.

Un exemple parallèle : les acteurs liés à un État et les réseaux du quotidien

Les acteurs liés à un État qui s'en prennent aux utilisateurs ordinaires, ce n'est pas nouveau. Microsoft a déjà attiré l'attention sur l'activité russe sur les réseaux publics, et notre couverture de la façon dont Microsoft a lié les attaques de malware sur le Wi-Fi des hôtels à l'APT29 russe montre comment les voyageurs peuvent devenir des cibles. Nous avons également rapporté l'avertissement de Microsoft concernant les hackers russes sur les réseaux Wi-Fi des hôtels, qui impliquait des identifiants Microsoft 365 volés et un malware poussé vers des PC Windows. Une autre alerte couvrait l'attaque Storm-2945 par faux Wi-Fi sur les voyageurs.

Ces cas montrent où un tunnel chiffré peut aider : sur un Wi-Fi partagé ou non fiable, il rend plus difficile pour les autres sur le réseau d'espionner votre trafic. Ils montrent aussi où il est insuffisant. Si vous saisissez des identifiants sur une page de connexion falsifiée convaincante ou si vous installez un malware, le chiffrement en transit ne vous sauvera pas.

Points clés à retenir

L'avertissement NeedyMantis rappelle que l'accès persistant est la véritable menace : discret, patient et difficile à détecter. Renforcez ce que vous contrôlez. Utilisez des mots de passe forts et uniques, activez l'authentification multifacteur, soyez prudent sur les réseaux publics et utilisez une connexion chiffrée lorsque vous ne pouvez pas faire confiance au Wi-Fi. Combinez ces habitudes avec du scepticisme envers les messages inattendus, et vous serez bien mieux placé si une organisation détenant vos données est un jour compromise.