Chinese National Extradited to U.S. for Silk Typhoon Cyberattacks on COVID-19 Research

TL;DR

Un ressortissant chinois, Xu Zewei, a été extradé d'Italie vers les États-Unis pour faire face à des accusations de cyberespionnage étatique au sein du groupe "Silk Typhoon". Entre 2020 et 2021, il aurait ciblé des recherches sur les vaccins COVID-19 et exploité des vulnérabilités zero-day dans Microsoft Exchange Server. Bien que Xu plaide non coupable en invoquant une erreur sur la personne, cette affaire souligne la portée mondiale des poursuites judiciaires contre les acteurs de menaces persistantes avancées (APT).

Introduction : De Milan à la Justice Américaine

Pour la communauté tech marocaine, l'actualité de la cybersécurité se résume souvent à des correctifs (patches) et des rapports techniques. Pourtant, l'arrestation de Xu Zewei nous rappelle que les cyberattaques ont des conséquences bien réelles dans le monde physique.

Arrêté en juillet 2025 alors qu'il était en vacances à Milan, Xu Zewei, 34 ans, vient d'être extradé vers les États-Unis en avril 2026. Il est accusé d'être un acteur clé de Silk Typhoon (également connu sous le nom de Hafnium), un groupe de hackers parrainé par l'État chinois, opérant sous la direction du ministère de la Sécurité d'État (MSS).

Les cibles : Espionnage scientifique en pleine pandémie

Selon l'acte d'accusation du Département de la Justice (DoJ) américain, les activités de Xu et de son co-accusé, Zhang Yu, ont débuté en février 2020. Leur mission initiale était particulièrement sensible : cibler les universités américaines, les immunologistes et les virologues travaillant sur les vaccins, les traitements et les tests liés au COVID-19.

L'une des intrusions les plus notables concerne une université au Texas, où le groupe aurait volé des informations critiques sur les vaccins. Pour les sysadmins au Maroc, cela illustre comment des infrastructures académiques, souvent moins sécurisées que les centres financiers, deviennent des cibles prioritaires lors de crises mondiales.

Vecteurs d'attaque : L'exploitation des vulnérabilités Microsoft Exchange

Le groupe Silk Typhoon n'est pas étranger aux experts en sécurité. Microsoft a suivi ce cluster d'activités sous le nom de Hafnium. Le mode opératoire décrit par les autorités américaines inclut :

L'exploitation de Zero-Days : Une vulnérabilité "zero-day" est une faille de sécurité inconnue de l'éditeur du logiciel au moment de son exploitation, ce qui signifie qu'aucun correctif n'existe encore.
Microsoft Exchange Server : Les attaquants ont exploité des vulnérabilités majeures dans ce serveur de messagerie entre fin 2020 et juin 2021.
Déploiement de Web Shells : Une fois la faille exploitée, les hackers installent un "web shell" (un script malveillant permettant un accès administratif à distance via une interface web). Cela permet de maintenir un accès persistant au réseau de la victime pour exfiltrer des données sur le long terme.

L'infrastructure derrière l'attaque : Shanghai Powerock

L'enquête révèle que Xu travaillait pour une entreprise nommée Shanghai Powerock Network Co. Ltd. Selon le DoJ, cette société n'était qu'une façade, l'une des nombreuses entreprises "facilitatrices" en Chine chargées de mener des opérations de piratage pour le compte du Bureau de la sécurité d'État de Shanghai (SSSB).

Xu fait face à neuf chefs d'accusation, notamment :

Fraude électronique (Wire fraud).
Conspiration pour causer des dommages et obtenir des informations par un accès non autorisé à des ordinateurs protégés.
Usurpation d'identité aggravée.

La défense de l'accusé : Erreur sur la personne ?

L'aspect intrigant de cette affaire réside dans la défense de Xu Zewei. Lors de son audience, son avocat a déclaré qu'il plaidait non coupable. Xu affirme qu'il s'agit d'un cas d'erreur sur la personne et nie tout lien avec les opérations de piratage du gouvernement chinois.

Pendant que Xu attend son procès, son co-accusé Zhang Yu est toujours en fuite.

Ce que cela signifie pour les professionnels de la sécurité au Maroc

Cette affaire met en lumière deux points cruciaux pour notre écosystème local :

La gestion des correctifs Exchange : Les vulnérabilités Exchange mentionnées (probablement liées à l'ère ProxyLogon de 2021, bien que les CVE spécifiques ne soient pas listées dans la source) restent un vecteur d'entrée majeur. La détection de web shells est une compétence vitale pour tout Incident Responder.
La coopération internationale : L'extradition de Xu montre que les traités de coopération entre les pays occidentaux facilitent désormais l'arrestation de suspects même lors de déplacements personnels (vacances), augmentant le risque pour les opérateurs de groupes APT.

Conclusion

L'extradition de Xu Zewei marque une étape importante dans la lutte contre le cyberespionnage étatique. Que Xu soit réellement un membre de Silk Typhoon ou une victime de méprise, le dossier technique souligne la nécessité d'une vigilance constante sur les services exposés comme Microsoft Exchange.

Pour les développeurs et sysadmins marocains, le message est clair : la sécurité des données de recherche et la gestion rigoureuse des vulnérabilités zero-day ne sont pas des options, mais des nécessités de souveraineté et de protection.

Source : The Hacker News - Chinese Silk Typhoon Hacker Extradited to U.S. Over COVID Research Cyberattacks