Menée par Cato CTRL, le laboratoire de recherche en cybermenaces de l’éditeur, l’analyse repose sur l’observation complète de l’activité de l’attaquant, soit 339 commandes exécutées sur une période de 33 jours. Elle offre une visibilité détaillée sur le déroulement de l’attaque et met en évidence sa capacité à maintenir un accès actif aux systèmes compromis pendant plus de deux semaines malgré l’interruption de son infrastructure.
Le 7 avril 2026, l’attaquant a déployé sur l’un des postes compromis des outils d’accès distant reposant sur un réseau VPN maillé. Lorsque ce point d’accès est devenu indisponible dès le lendemain, l’accès aux systèmes est resté pleinement opérationnel. Dix-huit jours plus tard, lors du redémarrage du serveur, les connexions malveillantes se sont rétablies automatiquement, sans nouvelle compromission.
L’analyse montre également que ce type d’attaque est désormais accessible à des profils peu expérimentés. Identifié sous le pseudonyme « Poisson » et s’exprimant en français, l’attaquant s’est appuyé sur des services gratuits ou peu coûteux. Malgré plusieurs erreurs, il est parvenu à compromettre plusieurs systèmes, à collecter des identifiants sensibles et à maintenir ses accès dans la durée.
Pour les entreprises et les équipes de sécurité, ces travaux mettent en évidence une évolution importante, la neutralisation de l’infrastructure d’un attaquant ne suffit plus à mettre fin à une intrusion. Des accès persistants installés directement sur les postes peuvent permettre une reprise de contrôle plusieurs semaines plus tard.
« Ce que nous observons ici, c’est une évolution très concrète des attaques, y compris en France », explique Vitaly Simonovich, Senior Security Researcher chez Cato CTRL. « La mise hors ligne d’un serveur de commande et contrôle ne suffit plus à stopper une attaque. Les cybercriminels installent désormais des accès persistants directement sur les machines, leur permettant de rester actifs pendant des semaines, même après la disparition de leur infrastructure. »
L’attaque repose sur une chaîne d’intrusion en plusieurs étapes, incluant notamment le déploiement d’un chargeur VBScript chiffré, l’exécution d’un malware basé sur le framework Havoc, une élévation de privilèges, la mise en place de mécanismes de persistance, ainsi que l’installation d’outils d’accès distant et de collecte de données.
Cette analyse souligne enfin l’importance de surveiller certains signaux faibles sur les environnements utilisateurs, comme l’installation inhabituelle d’outils d’accès distant, l’apparition de connexions sortantes non légitimes ou encore l’exécution de tâches planifiées avec des privilèges élevés.
Plus d’informations sont disponibles dans l’article de blog correspondant via ce lien.
https://www.catonetworks.com/blog/cato-ctrl-operation-poisson-analyzing-a-cybercriminals-entire-operation/
À propos de Cato CTRL
Cato CTRL (Cyber Threats Research Lab) est le premier groupe de cyber threat intelligence au monde à fusionner les renseignements sur les menaces et les informations granulaires sur le réseau, grâce à la plateforme mondiale SASE de Cato. En réunissant des dizaines d’anciens analystes du renseignement militaire, des chercheurs, des scientifiques des données, des universitaires et des professionnels de la sécurité reconnus par l’industrie, Cato CTRL utilise des données de réseau, des données de pile de sécurité, des centaines de flux de sécurité, des opérations d’intelligence humaine, l’IA et le Machine Learning pour faire la lumière sur les dernières cybermenaces et les acteurs de la menace.
À propos de Cato Networks
Cato Networks, éditeur de la principale plateforme de sécurité réseau pour l’ère de l’IA, fournit un accès sécurisé zero trust partout à des milliers de clients dans le monde. Conçue pour les organisations opérant dans tous les environnements cloud et hybrides, la plateforme Cato SASE unifie les réseaux, la sécurité et les accès, en les proposant sous forme de capacités élastiques et modulaires que les organisations peuvent adopter facilement et faire évoluer au fil du temps. Cato Networks associe le Cato Cloud, un réseau mondial conçu à cet effet, à une expérience opérationnelle simplifiée, le tout au sein d’une plateforme robuste pilotée par l’IA. Avec Cato, les organisations modernisent en toute confiance, gagnent en résilience et innovent plus rapidement, sans complexité ni risques supplémentaires.
