Les chercheurs d’Arctic Wolf ont découvert qu’un redoutable virus chinois opère un retour en force. Intitulé LightSpy, le logiciel malveillant est apparu pour la première fois il y a huit ans, en 2018. À l’époque, le malware s’est montré plutôt discret et s’est surtout distingué par des fonctions rudimentaires. Deux ans plus tard, LightSpy a attiré l’attention des chercheurs de Trend Micro en s’attaquant aux iPhone de militants pro-démocratie à Hong Kong.
Au fil des ans, le virus a élargi son champ d’action. Dès 2023, la Chine se sert massivement de LightSpy pour surveiller des communautés ouïghoures et tibétaines. La même année, les chercheurs de ThreatFabric découvrent que le virus est lié de près à un gang chinois proche de Pékin, APT41. Le groupuscule est connu pour avoir orchestré une montagne de campagnes d’espionnage à la demande du pouvoir chinois. Le virus est alors à l’origine d’une alerte émise par Apple à destination d’une poignée d’utilisateurs. Quelques mois plus tard, le malware passe de l’iPhone au Mac. Le virus est désormais en mesure de cibler macOS, en plus d’iOS.
À lire aussi : Un kit d’espionnage pour iPhone se retrouve sur Internet, n’importe qui peut s’en servir
Une plateforme de surveillance
Le retour en force de LightSpy a été enregistré dès le début de l’été 2026. LightSpy n’est plus un simple logiciel espion, ciblant occasionnellement des militants ou des journalistes en Asie. Le virus est devenu une véritable plateforme de surveillance commerciale. Exploitée par un unique acteur, elle est revendue à des clients variés, incluant des gouvernements, des entreprises et des organisations militaires. Ces entités peuvent payer pour que LightSpy lance une opération de vol de données et d’espionnage à leur place.
« Le défi n’est plus seulement de se défendre contre les acteurs étatiques, mais contre un écosystème croissant d’organisations, de cybercriminels et de gouvernements ayant accès à des capacités similaires », souligne Justin Moore, directeur de la recherche chez Artic Wolf.
Les chercheurs comparent la nouvelle approche des créateurs de LightSpy à celle de NSO, le groupe israélien à l’origine du malware espion Pegasus. L’infrastructure de LightSpy s’appuie désormais sur au moins 117 serveurs répartis dans plusieurs pays du monde.
De plus en plus de cibles potentielles
De plus en plus modulaire, le virus est désormais capable de s’attaquer à un large éventail d’appareils, en plus des iPhone et des Mac. Il peut en effet s’en prendre à des serveurs Linux et des ordinateurs sous Windows. Pour s’introduire discrètement dans les systèmes, il exploite des vulnérabilités propres à chacun des systèmes d’exploitation.
Pour la toute première fois de sa carrière, LightSpy s’est mis à infecter des routeurs internet. En piratant des routeurs, les cybercriminels obtiennent un accès à l’ensemble des appareils connectés à un même réseau, et non plus seulement à une machine isolée. Certains des routeurs compromis sont associés à des pays membres de l’OTAN, indique le rapport d’Arctic Wolf.
« LightSpy illustre une évolution de fond du marché des logiciels espions : la surveillance n’est plus une opération isolée ou un simple logiciel malveillant, elle devient un véritable produit commercial. Et lorsque des capacités d’espionnage aussi avancées peuvent être vendues et réutilisées à volonté, c’est le nombre d’acteurs malveillants capables de mener une surveillance sophistiquée qui explose », explique Justin Moore à Bloomberg.
À lire aussi : Censé masquer votre adresse IP, le relais privé d’Apple l’a laissée fuiter
Vol de données
Une fois installé sur le système visé, LightSpy permet de collecter une quantité impressionnante de données personnelles, dont la localisation précise, des conversations issues de messageries, des enregistrements audio, des mots de passe stockés et des captures d’écran. Bref, toute la vie personnelle et numérique d’un individu peut se faire siphonner par le malware. Ce n’est pas tout. La nouvelle mouture de LightSpy est aussi capable d’effacer entièrement le contenu d’un appareil infecté à distance, ce qui permet aux pirates d’effacer d’éventuelles preuves numériques.
À lire aussi : avec 1 500 appareils infectés, le botnet JDY prépare le terrain pour des opérations d’espionnage
L’erreur de sécurité d’un pirate
Pour remonter jusqu’aux pirates responsables de la dernière campagne LightSpy, les chercheurs ont pu relier l’activité récente du virus à un individu basé en Chine. Celui-ci s’est en effet servi du panneau d’administration du logiciel pour passer une commande chez KFC… en y indiquant son véritable nom ainsi que l’adresse de ses bureaux. Les chercheurs ont ainsi mis la main sur l’identité du cybercriminel.
Devenu un outil à la disposition de n’importe quel pirate, LightSpy a été repéré dans plus d’une douzaine de pays, dont les États-Unis, l’Europe et des membres de l’OTAN.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
