Un faux avertissement de certificat Chrome sur des sites piratés installait des outils d’espionnage

Check Point Research a publié une enquête d’un an (en anglais) sur trois campagnes d’espionnage visant des entreprises de télécommunications, des gouvernements, des forces armées, des instituts de recherche et des infrastructures essentielles en Amérique latine, en Asie et en Europe. Elles semblaient d’abord distinctes, avec des outils et des méthodes différents. Check Point dit qu’elles partagent des infrastructures et du code d’une même famille de maliciels, Sparrow, et appelle l’entité derrière cette trousse d’outils CopperDragon.

Ce sont des opérations d’espionnage ciblées, pas des attaques contre des particuliers. Une technique vaut quand même d’être connue, parce qu’elle fonctionne sur quiconque visite le mauvais site au mauvais moment : un faux avertissement du navigateur qui vous dit d’installer un « correctif ».

Le faux avertissement de certificat

Dans une campagne que Check Point appelle SilentDelivery, active depuis le début de 2026, les attaquants ont d’abord piraté des sites légitimes que leurs cibles étaient susceptibles de visiter. Check Point dit que les sites confirmés étaient liés à des organisations gouvernementales, du transport maritime, des TI et de la recherche, et que la campagne visait surtout des organisations en République tchèque, en Allemagne, en France, à Taïwan, au Népal, à Hong Kong et en Indonésie.

Du code caché sur ces sites examinait chaque visiteur. Si le visiteur était sous Windows et ressemblait à une cible, la page était remplacée par ce qui ressemblait à une erreur de certificat de Google Chrome, traduite dans la langue du site, avec un bouton « Install certificate » pour un utilitaire « Certificate Fix ». Un clic téléchargeait un programme d’installation qui posait une porte dérobée, soit une nouvelle que Check Point appelle SquadC, soit une version de SparrowDoor. Une fois le programme lancé, le faux avertissement cessait d’apparaître, et le site semblait normal à la visite suivante.

Check Point a aussi trouvé SquadC envoyé par courriel d’hameçonnage à des organisations en Indonésie, caché dans une archive avec un fichier raccourci déguisé en PDF.

Les deux autres campagnes

• OceanGate (2025 à 2026) a surtout touché des organisations en Asie. Les attaquants sont entrés par des serveurs Linux exposés à Internet, ont récolté des mots de passe, puis sont passés aux réseaux Windows en devinant des mots de passe d’administrateur par bureau à distance. Check Point a trouvé de nouveaux outils d’enregistrement des frappes, de surveillance du presse-papiers et de vol de secrets de connexion Windows, et dit que certaines portes dérobées Sparrow intègrent maintenant des fonctions de rootkit au niveau du noyau pour se cacher.
• DarkWire (depuis le milieu de 2025) vise des fournisseurs de télécommunications et des organisations gouvernementales en Amérique latine avec des portes dérobées que Check Point appelle CopperDoor et CopperDNS.

Qui est derrière

Check Point décrit CopperDragon comme un possible « intendant numérique » : un développeur et fournisseur d’outils utilisés par plusieurs groupes liés à la Chine, dont FamousSparrow, Earth Estries, Tropic Trooper et UAT-9244. Il note que FamousSparrow a déjà été relié à Salt Typhoon, mais que la nature exacte de ce lien reste floue. C’est une évaluation fondée sur des outils et des infrastructures partagés, pas une identité confirmée.

Ce que vous pouvez faire

1. Une vraie erreur de certificat ne vous demande jamais d’installer quoi que ce soit. Chrome, Edge, Firefox et Safari affichent des avertissements de certificat avec un moyen de revenir en arrière, pas un téléchargement. Si une page vous dit d’installer un « correctif de certificat », fermez l’onglet.
2. N’exécutez pas un programme d’installation qu’un site vous pousse, même sur un site de confiance. Prenez vos logiciels sur le site de l’éditeur ou auprès de l’équipe TI de votre organisation.
3. Méfiez-vous des raccourcis déguisés en documents. Un « PDF » qui se termine par .lnk, ou qui ouvre une fenêtre de commande, n’est pas un PDF.
4. Si vous gérez un site web, gardez son logiciel et ses extensions à jour. Check Point dit qu’un site a été compromis par une faille de script intersite (XSS) dans un champ de formulaire.
5. Si vous avez cliqué sur « Install certificate » sur une telle page, débranchez l’ordinateur du réseau et contactez votre équipe TI ou de sécurité. Changez vos mots de passe importants depuis un autre appareil, sain.

Comment Frame peut aider

Cette campagne installe des outils d’espionnage sur des ordinateurs d’organisations. Elle ne fait pas fuir de renseignements personnels d’une base de données d’entreprise, donc il n’y a pas de fuite à ajouter. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame n’analyse pas les appareils à la recherche de maliciels.

À lire aussi

• Des sites piégés ont livré des exploits voleurs de données à des iPhone et Android non à jour : une autre campagne par point d’eau, où des sites piratés servaient à atteindre des visiteurs choisis.
• Le nouveau maliciel Cereal de Turla copiait en silence des courriels gouvernementaux sur des serveurs Exchange : une autre trousse d’espionnage liée à un État, documentée cette semaine.

Sources

• Check Point Research, Not All That Glitters Is Gold: Tracking CopperDragon’s Sparrow Framework Around the Globe (en anglais), 10 novembre 2026
• The Hacker News, Three China-Nexus Espionage Campaigns Linked Through Sparrow Malware Ecosystem (en anglais), 10 novembre 2026