Windows zero-day actively exploited to spy on European diplomats

Espionnage Diplomatique Européen : Une Failles Windows Exploité

Un groupe de pirates informatiques lié à la Chine utilise une vulnérabilité “zero-day” sur Windows pour mener des opérations d’espionnage ciblées sur des diplomates européens, notamment en Hongrie, Belgique, Serbie, Italie et aux Pays-Bas. Les attaques débutent par des courriels de “spearphishing” contenant des fichiers LNK malveillants. Ces fichiers exploitent la faille CVE-2025-9491 pour déployer le cheval de Troie d’accès à distance PlugX. L’objectif est d’obtenir une persistance sur les systèmes compromis afin de surveiller les communications et de dérober des données sensibles.

Cette campagne est attribuée au groupe de menace étatique chinois UNC6384 (également connu sous le nom de Mustang Panda), déjà identifié pour ses opérations d’espionnage alignées sur les intérêts stratégiques de la Chine.

Points Clés :

• Cible : Diplomates et organisations gouvernementales européennes.
• Acteur de la menace : Groupe chinois UNC6384 (Mustang Panda).
• Technique d’attaque initiale : Spearphishing avec des fichiers LNK malveillants.
• Malware déployé : PlugX RAT.
• Objectif : Espionnage, surveillance, vol de données sensibles.

Vulnérabilité :

• Nom : Failles LNK Windows.
• Identifiant CVE : CVE-2025-9491.
• Description : Permet l’exécution de code arbitraire à distance sur les systèmes Windows vulnérables via la manipulation des fichiers raccourcis (.LNK). L’exploitation nécessite une interaction de l’utilisateur, comme l’ouverture d’un fichier malveillant. Cette faille est largement exploitée par de nombreux groupes, y compris des acteurs étatiques et des cybercriminels.

Recommandations :

• Restreindre ou bloquer l’utilisation des fichiers .LNK sous Windows.
• Bloquer les connexions vers les infrastructures de commande et de contrôle (C2) identifiées par les chercheurs en cybersécurité.
• Bien que Microsoft ait été informé, aucune mise à jour de sécurité officielle pour corriger CVE-2025-9491 n’a encore été publiée au moment de la rédaction.

Source