CopperDragon : APT chinois cible l'Europe avec Sparrow

Les faits

Le 11 novembre 2026, Check Point Research a publié un rapport de recherche majeur intitulé Not All That Glitters Is Gold : Tracking CopperDragon's Sparrow Framework Around the Globe. Ce rapport documente trois campagnes d'espionnage distinctes mais liées par leur outillage technique commun : un framework malveillant appelé Sparrow, attribué à un acteur étatique chinois baptisé CopperDragon par Check Point, et présentant des chevauchements significatifs avec FamousSparrow, un groupe APT documenté par ESET pour la première fois en 2021.

Les trois clusters d'activité identifiés sont dénommés SilentDelivery, OceanGate et DarkWire. SilentDelivery est actif depuis début 2026 et cible principalement les administrations publiques européennes et les organisations gouvernementales en Asie du Sud-Est. OceanGate se concentre sur le secteur maritime, avec des cibles dans les ports, les armateurs et les compagnies de logistique en Europe et en Amérique latine. DarkWire, le cluster le plus récent, vise les entreprises technologiques et les instituts de recherche, notamment à Taïwan et en Europe centrale.

Le vecteur d'infection primaire repose sur une technique d'ingénierie sociale sophistiquée : l'injection de JavaScript malveillant dans des sites web légitimes préalablement compromis. Lorsqu'une victime visite l'un de ces sites infectés, le script remplace intégralement le contenu de la page par une contrefaçon convaincante d'une alerte d'erreur de certificat SSL de Google Chrome. Cette fausse alerte est adaptée à la langue du navigateur de la victime — français, allemand, tchèque — et invite l'utilisateur à télécharger et installer un utilitaire de correction de certificat pour accéder au site.

L'utilitaire en question est un installateur MSI (Windows Installer) qui déploie l'une des deux charges utiles du framework Sparrow : SquadC (également désigné SquawkDoor) ou une variante de SparrowDoor, le backdoor historique associé à FamousSparrow. Une fois installé, le backdoor établit une communication chiffrée avec l'infrastructure de commande et contrôle (C2) de CopperDragon, permettant aux opérateurs d'exécuter des commandes à distance, d'exfiltrer des fichiers et de déployer des outils d'escalade de privilèges.

L'une des innovations techniques du framework Sparrow identifiée par Check Point est sa capacité à dissimuler ses communications C2 derrière des services cloud légitimes — notamment des APIs de partage de fichiers et des services de messagerie — pour contourner les solutions de filtrage réseau et de détection d'intrusion. Cette technique, dite living-off-the-cloud, rend la détection particulièrement difficile pour les outils de supervision réseau qui autorisent par défaut le trafic vers les grandes plateformes cloud.

L'attribution à un acteur étatique chinois repose sur plusieurs éléments convergents : des artefacts de code identiques à ceux observés dans des campagnes FamousSparrow de 2022 et 2023, des patterns de timing opérationnel cohérents avec les horaires de travail en Chine continentale (UTC+8), et des cibles géopolitiquement cohérentes avec les intérêts de renseignement chinois. Les installations portuaires en Europe et en Amérique latine sont particulièrement visées dans le contexte de l'initiative des Routes de la Soie maritime, et les administrations de gouvernements ayant des relations diplomatiques avec Taïwan constituent une autre priorité manifeste.

Les pays européens touchés incluent la France, l'Allemagne et la République tchèque. La France est ciblée via plusieurs entités gouvernementales que Check Point n'a pas nommées pour des raisons opérationnelles. Cette présence en France s'inscrit dans une tendance documentée par l'ANSSI dans son rapport annuel 2026 : les APT chinois ont intensifié leurs opérations de cyberespionnage contre les administrations et entreprises stratégiques françaises depuis 2024, notamment dans les secteurs de l'énergie, de l'aéronautique et des technologies de défense.

À la date du 11 novembre 2026, aucun éditeur de cybersécurité n'a identifié de vulnérabilité logicielle exploitée dans cette campagne : le vecteur est exclusivement de l'ingénierie sociale. La mitigation passe donc par la sensibilisation des utilisateurs et le renforcement des politiques de sécurité sur les endpoints. Check Point a publié les indicateurs de compromission (IOC) associés — hashes SHA256 des installateurs MSI et domaines C2 — dans son rapport technique du 11 novembre 2026.

Impact et exposition

CopperDragon cible en priorité les organisations avec un accès à des informations sensibles à valeur géopolitique ou économique : administrations publiques, organisations de défense, secteur maritime et logistique, entreprises technologiques. Les PME ne constituent pas la cible principale, sauf si elles se trouvent dans la chaîne d'approvisionnement d'une organisation stratégique.

La technique des fausses alertes Chrome est particulièrement efficace contre les utilisateurs non sensibilisés : l'alerte ressemble à une vraie erreur de certificat, dans la langue de l'utilisateur, sur un site qu'il visiterait normalement. Les profils les plus à risque sont les cadres administratifs et les assistants qui traitent des documents sensibles mais ne suivent pas nécessairement des formations cybersécurité régulières.

Recommandations

• Sensibiliser immédiatement vos équipes : Chrome ne demande JAMAIS d'installer un utilitaire externe pour corriger une erreur de certificat SSL — tout message de ce type est une tentative d'intrusion
• Bloquer l'exécution des fichiers MSI par les utilisateurs non administrateurs via les stratégies de groupe (GPO) et les solutions de contrôle applicatif (AppLocker, Windows Defender Application Control)
• Renforcer la détection comportementale sur les endpoints : configurer votre EDR pour alerter sur l'exécution de MSI téléchargés depuis un navigateur web et sur les connexions sortantes inhabituelles vers des services cloud depuis de nouveaux processus
• Intégrer les IOC publiés par Check Point Research dans vos solutions de filtrage réseau et EDR : hashes SHA256 des installateurs MSI et domaines C2 associés aux clusters SilentDelivery, OceanGate et DarkWire
• Auditer vos sites web pour détecter toute injection JavaScript non autorisée — les sites compromis servent de watering hole ; un scan régulier avec des outils de détection d'intégrité est recommandé