Un groupe soupçonné d’être lié à la Chine cible des universités via des vulnérabilités de Roundcube

Des chercheurs en sécurité affirment qu’un groupe de menaces soupçonné d’être aligné sur la Chine exploite des failles de Roundcube pour cibler les départements de physique et d’ingénierie d’universités aux États-Unis et au Canada. L’activité, suivie par Proofpoint sous le nom d’UNK_MassTraction, a commencé à apparaître en mai 2026 et semble se concentrer sur les administrateurs et les enseignants d’établissements ayant des liens de recherche avec la sécurité nationale, l’astrophysique et la physique des particules.

La campagne s’appuyait sur des e-mails d’hameçonnage envoyés depuis des comptes compromis et des domaines dotés de faibles protections d’authentification des e-mails. Selon Proofpoint, les opérateurs semblaient savoir à l’avance quelles organisations utilisaient des installations Roundcube vulnérables, ce qui suggère une reconnaissance préalable avant l’envoi des e-mails.

Déroulement de l’attaque

La phase initiale exploite une faille de script intersite (XSS) dans Roundcube, notamment la vulnérabilité CVE-2024-42009, qui a été corrigée. Si la cible ouvre le message dans le client Roundcube, du code JavaScript malveillant s’exécute dans le navigateur et lance une charge utile appelée IceCube. Ce code est conçu pour voler les identifiants enregistrés, les cookies de session et les données d’authentification à deux facteurs, tout en recueillant des informations de base sur le navigateur, telles que les paramètres de langue et la taille de l’écran.

IceCube tente ensuite d’exploiter une deuxième faille de Roundcube, CVE-2025-49113, afin d’obtenir une exécution de code à distance après l’authentification. En cas de réussite, les attaquants peuvent installer soit un web shell connu sous le nom de SquareShell, soit un outil d’administration à distance basé sur Go appelé VShell. Dans certains cas, la chaîne utilise également un script shell qui télécharge SNOWLIGHT, un chargeur ELF déjà observé lors d’intrusions liées à des acteurs chinois.

• Vol d’identifiants via les données de session stockées dans le navigateur
• Exploitation post-authentification pour obtenir un accès côté serveur
• Déploiement d’un web shell ou de VShell à des fins de persistance
• Livraison de secours de SNOWLIGHT lorsque la méthode principale échoue

Proofpoint a indiqué que la charge utile JavaScript comprenait également des déclencheurs dits différés, qui surveillent des actions de l’utilisateur telles que la fermeture de la page, le changement d’onglet ou l’éloignement du curseur de la souris. Si ces événements se produisent, le logiciel malveillant tente de relancer l’exploit et signale au serveur de commande et de contrôle que l’utilisateur a quitté la session. Il efface ensuite les traces en mettant fin aux sessions sur le serveur et en forçant la déconnexion.

Les chercheurs ont indiqué qu’il s’agissait de la première fois qu’un groupe lié à la Chine était publiquement associé à l’exploitation de Roundcube. Auparavant, des abus similaires de Roundcube étaient plus souvent attribués à des acteurs soutenus par l’État russe. Proofpoint a déclaré que cette campagne montre que les serveurs de messagerie sont de plus en plus considérés comme des points d’entrée à forte valeur, au même titre que les équipements VPN et autres systèmes exposés sur Internet.