Une campagne de cyberattaques à grande échelle cible routeurs et serveurs
Les chercheurs de CloudSEK ont découvert une campagne de cyberattaques baptisée Doorway, visant des routeurs, des caméras de surveillance et des serveurs d'entreprise. L'analyse de 41 Go de données exposées révèle une infrastructure automatisée destinée à compromettre des appareils et à constituer un réseau de proxys.
CloudSEK a découvert 41 Go de données exposées permettant de retracer le fonctionnement de Doorway, une campagne de cyberattaques visant des routeurs, des caméras de surveillance, des équipements de réseaux télécoms et des serveurs d'entreprise. En octobre, l'équipe a identifié deux répertoires accessibles publiquement contenant le code source de l'opération, des identifiants de connexion, des journaux d'activité et des outils de déploiement de logiciels malveillants. Leur contenu était identique, ce qui indique, selon l’analyse, qu'ils appartenaient à une même opération disposant d'une infrastructure redondante.
Développé en Rust, le moteur d'attaque comprend 59 modules d'exploitation ciblant différentes catégories d'équipements et de services. Il combine notamment l'utilisation d'identifiants par défaut ou déjà exposés, l'exploitation de vulnérabilités et l'injection de commandes. Une fois l'accès obtenu, plusieurs mécanismes permettent de télécharger puis d'exécuter des charges malveillantes adaptées à l'architecture du système ciblé.
Les journaux récupérés font notamment apparaître 4'217 adresses IP distinctes et 7'369 authentifications réussies sur des équipements MikroTik, correspondant à 4'923 identités d'appareils. Un registre interne fait également état de 11'363 appareils compromis et de 58'920 téléchargements de charges malveillantes au cours d'une période de 60 minutes. Ces données concernent notamment un moteur de scan qui a fonctionné du 19 septembre au 19 octobre 2026 afin d'identifier de nouvelles victimes. L'opération était toujours active pendant l'enquête, selon CloudSEK.
L'opération ne se limite pas aux équipements connectés. Les chercheurs indiquent avoir confirmé l'exécution de code à distance sur 20 serveurs Jenkins et identifié 16 téléchargements de plugins sur des serveurs Openfire, un logiciel de messagerie instantanée.
Des opérations supervisées avec des outils LLM
Parmi les données exposées, les chercheurs ont également retrouvé un document décrivant cinq sessions d'agents chargées de superviser différents aspects de la campagne. Le système suit les résultats des scans et des tentatives d'exploitation et peut réorienter les efforts vers d'autres catégories de cibles lorsque leur efficacité diminue. Selon CloudSEK, ces sessions sont liées à des outils reposant sur des modèles de langage, sans que les chercheurs aient pu identifier le système d'IA utilisé par les opérateurs.
Les appareils compromis semblent notamment servir à constituer une infrastructure de proxys. CloudSEK a relevé des configurations SOCKS sur les équipements MikroTik ainsi que des informations concernant 1'060 abonnés PPPoE d'un même fournisseur d'accès à Internet. Les chercheurs n'ont toutefois pas pu confirmer si cette infrastructure était commercialisée ni déterminer l'ensemble des objectifs poursuivis par les opérateurs.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
