SideCopy : le groupe APT pakistanais étend ses attaques aux universités indiennes via ReverseRAT

Ce qui s'est passé

Le 15 octobre 2026, les autorités indiennes de cybersécurité ont diffusé un avis d'alerte contre SideCopy, connu aussi sous le label analytique TAG-140. Ce groupe APT (Advanced Persistent Threat), actif depuis au moins 2019 et attribué à des acteurs pakistanais, avait jusqu'à présent concentré ses opérations sur des cibles gouvernementales indiennes — ministères, forces de défense, agences de renseignement. L'advisory du 15 octobre documente un élargissement significatif du périmètre de ciblage : les institutions académiques, et notamment les universités liées aux programmes de recherche stratégique, font désormais partie des victimes identifiées.

SideCopy partage des chevauchements techniques et opérationnels documentés avec le cluster Transparent Tribe, également connu sous le nom APT36. Ce lien suggère une infrastructure commune ou une coordination entre plusieurs unités offensives. Transparent Tribe est lui-même attribué au Pakistan et a fait l'objet de rapports de plusieurs firmes de cybersécurité depuis 2016, notamment pour ses campagnes ciblant l'armée et le gouvernement indiens.

La chaîne d'attaque documentée dans l'advisory commence classiquement par un email de spear-phishing hautement ciblé. Le message contient une archive ZIP en pièce jointe. À l'intérieur du ZIP se trouvent deux fichiers : un leurre — généralement un document PDF authentique portant sur un sujet académique ou institutionnel pertinent pour la victime — et un fichier de raccourci Windows (LNK) nommé de façon trompeuse pour ressembler à un second document PDF, avec une icône PDF pour renforcer l'illusion.

Lorsque la victime ouvre le raccourci LNK, pensant ouvrir un document, le fichier exécute une commande dissimulée dans ses métadonnées. Cette commande utilise mshta.exe — un binaire légitime de Windows qui interprète les fichiers HTML Application (HTA) — pour récupérer et exécuter un script HTA hébergé sur l'infrastructure de commandement et contrôle des attaquants. Le recours à mshta.exe est une technique de Living-off-the-Land (LotL) bien établie : en abusant d'un outil système légitime et signé par Microsoft, les attaquants contournent de nombreuses solutions de détection basées sur la réputation des fichiers.

Le script HTA est intentionnellement obfusqué pour compliquer l'analyse automatisée. Une fois déobfusqué et exécuté, il procède à l'installation de ReverseRAT — un cheval de Troie d'accès à distance développé spécifiquement par le groupe SideCopy. ReverseRAT établit une connexion sortante vers le serveur C2 des attaquants, permettant l'exfiltration de données, la prise de capture d'écran, le keylogging, et l'exécution de commandes arbitraires. La communication sortante — et non entrante — permet de traverser plus facilement les pare-feux d'entreprise et les filtres réseaux traditionnels.

L'advisory indien classe la menace en « sévérité moyenne », une évaluation qui peut surprendre compte tenu du profil du groupe. Cette classification reflète vraisemblablement le fait que la chaîne d'attaque nécessite une interaction humaine (l'ouverture du LNK) et que l'infection n'est pas silencieuse sur les systèmes correctement configurés. Cependant, pour les institutions académiques qui ne disposent pas toujours des mêmes capacités de détection que les agences gouvernementales, le risque pratique est élevé.

L'extension aux universités est stratégiquement cohérente. Les établissements académiques indiens impliqués dans la recherche en défense, en aérospatial, en énergie atomique ou en technologies émergentes représentent des cibles de valeur pour un service de renseignement cherchant à collecter des données sur les programmes de R&D stratégiques. Ces institutions combinent souvent des informations sensibles avec des postures de sécurité moins matures que les ministères directement concernés par la sécurité nationale.

Plusieurs chercheurs en sécurité avaient documenté en septembre 2026 une première vague de l'élargissement vers l'académie, rapportée par The Hacker News. L'advisory du 15 octobre confirme et officialise ces observations, et signale que les tentatives d'intrusion se sont intensifiées dans les semaines suivantes. Des indicateurs de compromission (IOC) ont été partagés avec les institutions concernées : hashs de fichiers, domaines C2, et signatures réseau caractéristiques du trafic ReverseRAT.

Pourquoi c'est important

La campagne SideCopy illustre une évolution tactique que l'on observe chez plusieurs groupes APT en 2026 : le glissement des cibles gouvernementales directes vers l'écosystème périphérique — sous-traitants de défense, universités, think tanks, laboratoires de recherche partenaires. Ces organisations gravitent autour du même corpus d'informations sensibles que les cibles primaires, mais sans les mêmes investissements en cybersécurité. Elles constituent des points d'entrée idéaux pour une compromission indirecte.

Le choix de la technique LotL via mshta.exe mérite une attention particulière. Cette famille de techniques, qui abuse d'outils systèmes légitimes (mshta, wscript, powershell, certutil…), reste extrêmement difficile à bloquer sans introduire des perturbations opérationnelles. La plupart des antivirus traditionnels basés sur la signature ne détectent pas ces usages malveillants. Une détection efficace nécessite une surveillance comportementale — surveiller les processus parents inattendus de mshta.exe, les connexions réseau sortantes depuis des processus Windows légitimes inhabituels — ce qui requiert un EDR configuré et activement surveillé.

L'obfuscation du HTA représente également un défi pour les solutions de filtrage réseau qui tentent d'inspecter le trafic HTTP en transit. Un contenu HTA fortement obfusqué peut traverser des proxys d'entreprise sans déclencher d'alarme. Les équipes SOC doivent s'assurer que leurs règles de détection couvrent les patterns comportementaux post-infection de ReverseRAT : communications C2 régulières sur des ports standards (80, 443), exfiltration progressive de petites quantités de données, et activité de keylogging en arrière-plan.

Au-delà de l'Inde, la campagne SideCopy doit alerter toute institution européenne ou française qui collabore avec des partenaires académiques indiens. Les campagnes APT ciblant les réseaux universitaires peuvent se propager via des canaux de collaboration légitimes : partage de documents de recherche, participation à des conférences virtuelles, accès à des plateformes collaboratives communes. Une institution partenaire compromise peut devenir un vecteur d'attaque vers ses collaborateurs occidentaux, via des documents ou des liens envoyés depuis des adresses légitimes et compromises.

Ce qu'il faut retenir

• SideCopy (Pakistan/TAG-140) a élargi ses cibles aux universités indiennes à partir de fin septembre 2026 ; l'alerte officielle du 15 octobre confirme une intensification des attaques.
• La chaîne LNK → mshta.exe → HTA obfusqué → ReverseRAT contourne les antivirus traditionnels ; une détection efficace exige un EDR avec surveillance comportementale.
• Les institutions françaises collaborant avec des partenaires académiques indiens doivent appliquer le principe de défiance sur les pièces jointes et activer le sandbox d'analyse pour tout document reçu de ces partenaires.