Cato Networks analyse une cyberattaque en France capable de survivre à la disparition de son serveur C2

Une PME automobile française et plusieurs particuliers ont été ciblés par une attaque restée active malgré la mise hors ligne du serveur de commande et contrôle de l’attaquant.

Cato Networks publie une analyse détaillée d’une cyberattaque ayant visé une PME française du secteur automobile et plusieurs particuliers entre le 30 mars et le 1er mai 2026. Menée par Cato CTRL, le laboratoire de recherche en cybermenaces de l’éditeur, l’investigation montre qu’une intrusion peut rester active même après la neutralisation de son infrastructure de commande et contrôle.

L’analyse repose sur l’observation complète de l’activité de l’attaquant, identifié sous le pseudonyme « Poisson ». Au total, 339 commandes ont été exécutées sur une période de 33 jours. Cette visibilité a permis de reconstituer les étapes de l’opération, depuis la compromission initiale jusqu’à la mise en place de mécanismes de persistance capables de survivre à l’arrêt du serveur C2.

L’objectif principal de l’attaque était le vol d’identifiants. L’attaquant a installé un keylogger Python d’environ 70 lignes afin d’enregistrer les frappes clavier des victimes. Les données visées étaient très concrètes : accès bancaires, mots de passe de messagerie, comptes administratifs ou portails utilisés au quotidien. L’opération ne cherchait pas à déployer un ransomware ni à voler massivement des fichiers, mais à capter ce que les utilisateurs saisissaient.

« Ce que nous observons ici, c’est une évolution très concrète des attaques, y compris en France », explique Vitaly Simonovich, Senior Security Researcher chez Cato CTRL. « La mise hors ligne d’un serveur de commande et contrôle ne suffit plus à stopper une attaque. Les cybercriminels installent désormais des accès persistants directement sur les machines, leur permettant de rester actifs pendant des semaines, même après la disparition de leur infrastructure. »

Le point le plus marquant concerne la mise en place d’un accès indépendant du C2. Le 7 avril, l’attaquant a installé OpenSSH et Tailscale sur l’une des machines compromises, afin de créer un accès via un réseau VPN maillé. Le lendemain, le serveur de commande et contrôle est devenu indisponible. Pourtant, l’accès aux systèmes compromis a continué de fonctionner.

Dix-huit jours plus tard, lorsque le serveur C2 est revenu en ligne, les agents se sont reconnectés automatiquement. Aucune nouvelle compromission n’a été nécessaire. Les tâches planifiées, le serveur SSH et le réseau Tailscale étaient toujours actifs sur les machines compromises, permettant à l’attaquant de reprendre ses opérations.

Cette attaque montre que les cybercriminels n’ont pas nécessairement besoin de moyens sophistiqués pour obtenir des résultats durables. Poisson s’est appuyé sur des outils gratuits ou peu coûteux, a commis plusieurs erreurs opérationnelles, mais a tout de même réussi à compromettre plusieurs machines et à maintenir ses accès dans le temps.

Pour les équipes sécurité, l’enseignement est clair, la remédiation ne peut plus se limiter à couper un serveur C2 ou à supprimer un malware visible. Il faut aussi rechercher les accès alternatifs laissés sur les postes, surveiller l’installation d’outils d’accès distant, détecter les tunnels SSH, contrôler les tâches planifiées et vérifier les connexions sortantes inhabituelles.

Avec cette analyse, Cato Networks rappelle que la persistance devient un enjeu central de la défense. Une intrusion peut continuer à produire des effets même lorsque l’infrastructure principale de l’attaquant semble neutralisée.