MirrorFace, un acteur majeur dans le domaine cyber, lié à la Chine et ciblant habituellement des entités japonaises. Cet acteur a récemment élargi son champ d’action en attaquant une institution diplomatique en Europe centrale, utilisant l’Expo 2025 d’Osaka comme leurre.
Tribune – ESET a collaboré avec l’institution diplomatique concernée et a mené une enquête approfondie. Les résultats de cette investigation ont permis de mieux comprendre les méthodes utilisées par MirrorFace. Quels sont les enseignements notables ? MirrorFace a renouvelé ses tactiques, techniques, procédures (TTP) et ses outils. Le groupe a notamment commencé à utiliser ANEL, un logiciel malveillant de type « porte dérobée » auparavant associé exclusivement au groupe APT10. MirrorFace a également déployé une version hautement personnalisée d’AsyncRAT, utilisant une chaîne d’exécution complexe pour l’activer à l’intérieur de Windows Sandbox.
MirrorFace est actif depuis au moins 2019 et aurait ciblé de nombreux secteurs : médias, entreprises liées à la défense, groupes de réflexion, organisations diplomatiques, institutions financières, établissements universitaires et entreprises manufacturières. Comme détaillé dans cet article, ESET considère désormais MirrorFace comme un sous-groupe opérant sous la direction d’APT10 (actif depuis 2009).
Benoit Grunemwald, expert en Cybersécurité chez ESET France réagit :
De nouveaux indicateurs suggèrent que MirrorFace opère comme un sous-groupe d’APT10, un groupe avancé (APT) lié à la Chine, mettant en évidence leurs objectifs géopolitiques communs. Habituellement, MirrorFace cible des entités politiques japonaises, tandis qu’APT10 est connu pour ses cyberattaques contre des organisations de services publics et des institutions diplomatiques, à la fois américaines, au Moyen-Orient et en Afrique.
La porte dérobée ANEL, un outil auparavant associé exclusivement à APT10, est maintenant utilisée par MirrorFace, ce qui suggère une coordination des deux groupes dans le cadre de campagnes mondiales de cyber-espionnage alignées avec les intérêts chinois.
La cyber-résilience est devenue un élément fondamental des stratégies de défense nationale. Mais plus encore, la récente proposition du Japon d’adopter un projet de loi sur la « cyberdéfense active » illustre une posture posant encore un pas en avant. Ainsi, cette législation se distingue par sa composante « active », qui vise à neutraliser préventivement l’infrastructure des acteurs malveillants avant qu’ils ne puissent causer des dommages. En prenant en compte l’activité cybercriminelle et son envergure mondiale, prévenir plutôt que guérir semble correspondre à la doctrine japonaise.
