Aucune des étapes décrites dans ce rapport ne déclenche un antivirus. Elles se déroulent sur des équipements que l’EDR ne couvre pas, et dont les journaux résident sur l’équipement lui-même — c’est-à-dire là où l’attaquant peut les effacer. Voici ce que cela change concrètement pour une PME française.
Ce que Sygnia a décrit
La société de sécurité Sygnia a documenté l’extension d’une campagne d’espionnage attribuée à un acteur lié à la Chine, suivi sous le nom de Fire Ant. Jusqu’ici centrée sur les hyperviseurs VMware, elle vise désormais des routeurs Cisco IOS XR, des serveurs TACACS et des hôtes Linux d’administration — c’est-à-dire les équipements qui routent, authentifient et administrent les réseaux.
L’acteur a transformé les routeurs compromis en plateformes de collecte : capture du trafic réseau, récolte d’identifiants, et suppression de la journalisation et de la télémétrie sur lesquelles les défenseurs s’appuient pour reconstituer une attaque.
Le détail le plus parlant est opérationnel. En s’appuyant sur son accès administrateur, Fire Ant a capturé le trafic de plusieurs interfaces de routeur et téléversé les fichiers PCAP obtenus vers des serveurs FTP externes. Un PCAP de bordure expose la topologie interne, les flux d’authentification, les relations de routage et les échanges avec les réseaux connectés.
Sygnia indique un fort recoupement avec les publications sur UNC3886, groupe lié à la Chine connu pour cibler les plateformes de virtualisation et les équipements de bordure, sans pour autant conclure formellement à une attribution.
Notre avis d’expert (1 sur 3)
Ce qui rend cette campagne instructive pour une PME française n’est pas le mode opératoire, qui est sophistiqué et hors de portée d’un attaquant ordinaire. C’est l’endroit. Nous avons passé cinq ans à couvrir les postes de travail et les serveurs avec de l’EDR, et à traiter le routeur comme de la plomberie. Or aucune des étapes décrites ici ne déclenche un antivirus, parce qu’elles se déroulent sur des équipements que l’EDR ne couvre pas et que la plupart des organisations ne journalisent pas ailleurs que sur l’équipement lui-même. Quand l’attaquant est aussi celui qui efface les journaux locaux, l’équation est perdue d’avance.
Pourquoi une PME française devrait s’y intéresser
L’objection est légitime : une campagne d’espionnage étatique qui vise des réseaux à haute valeur ne concerne pas une entreprise de quarante personnes. Sur la cible directe, c’est exact.
Trois raisons rendent pourtant le sujet pertinent.
D’abord, les techniques descendent. Ce qu’un acteur étatique fait aujourd’hui sur des équipements de bordure, des groupes financièrement motivés le reproduisent en général dans les dix-huit mois, parce que la méthode devient publique et outillée.
Ensuite, vous êtes peut-être un chemin. Sygnia précise que l’acteur a exploré des voies vers des environnements connectés à forte valeur, y compris des infrastructures critiques, l’activité s’étant limitée à du balayage et à des tentatives de connexion. Si vous êtes prestataire d’un grand compte, votre réseau est un chemin, indépendamment de votre propre taille.
Enfin, la lacune de visibilité est universelle. Elle ne dépend ni du secteur ni de la taille : presque personne ne surveille ses équipements réseau comme il surveille ses serveurs.
Savez-vous ce que font vos équipements de bordure ?
Nous auditons routeurs, pare-feu et serveurs d’authentification : sessions actives, continuité des journaux et flux sortants. Une demi-journée, un rapport exploitable.
Discutons-enLes 4 vérifications à faire cette semaine
Aucune ne demande d’outil supplémentaire. L’ensemble tient en une demi-journée.
1. Listez les sessions administratives actives sur vos routeurs, pare-feu et commutateurs. Vous cherchez une session que personne dans l’équipe ne revendique. Comptez trente minutes.
2. Vérifiez la continuité de vos journaux réseau. Vous ne cherchez pas une alerte, vous cherchez un silence : un trou dans l’horodatage, un redémarrage de service non expliqué, une période sans événement sur un équipement qui en produit habituellement. La suppression de la journalisation est décrite explicitement dans le rapport, et un journal absent est un signal, pas une absence de signal.
3. Examinez les flux sortants de vos équipements réseau. Un routeur ne doit jamais initier de connexion FTP vers l’extérieur. Toute sortie non prévue depuis un équipement d’infrastructure mérite une explication écrite. Comptez une heure.
4. Auditez les comptes de votre serveur TACACS ou RADIUS, ainsi que la date du dernier changement de secret partagé. Vous cherchez des comptes de service créés pour une migration et jamais supprimés. Comptez quarante-cinq minutes.
Notre avis d’expert (2 sur 3)
La vérification numéro deux est celle que les équipes escamotent, et c’est la plus importante. Chercher une alerte est confortable parce que c’est actif ; chercher un trou dans un journal est fastidieux et ne produit rien la plupart du temps. Mais un attaquant compétent ne génère pas d’alerte, il génère du silence. Dans nos audits, la découverte qui débloque le budget n’est presque jamais une détection : c’est une période de trois semaines sans aucun événement sur un équipement qui en produit normalement deux cents par jour, et que personne n’avait remarquée parce que personne ne regarde l’absence.
La mesure structurelle : sortir les journaux de l’équipement
Les quatre vérifications ci-dessus sont ponctuelles. Une seule mesure change durablement la situation : expédier les journaux des équipements réseau vers un système externe, en temps réel.
Tant que le journal réside sur l’équipement, quiconque obtient un accès administrateur peut le modifier. Dès qu’il est copié ailleurs au fil de l’eau, l’effacement local devient lui-même une trace — et une trace détectable.
Cette mesure n’exige pas un SIEM. Un serveur de journalisation centralisé, avec une rétention de quatre-vingt-dix jours et un accès distinct des identifiants d’administration réseau, couvre l’essentiel du besoin pour un coût modeste. La marche à suivre rejoint directement notre méthode de journalisation et de conservation des logs avant SIEM.
Ajoutez une contrainte simple : les comptes qui administrent les équipements ne doivent pas pouvoir effacer les journaux centralisés. Cette séparation est ce qui distingue une journalisation décorative d’une journalisation opposable.
Notre avis d’expert (3 sur 3)
Il y a une leçon plus large que le cas Fire Ant, et elle vaut pour toute organisation quelle que soit sa taille. Nous avons construit nos défenses autour de la donnée et des postes, et nous avons laissé la couche qui transporte et authentifie tout le reste largement hors du périmètre. Un attaquant qui tient le routeur et le serveur d’authentification n’a pas besoin de compromettre vos serveurs : il voit passer les échanges et récolte les identifiants au fil de l’eau. La question que nous posons désormais en ouverture de chaque audit n’est plus « qu’est-ce qui protège vos serveurs ? » mais « qui a un accès administrateur à votre réseau, et qu’est-ce qui l’enregistre ? ». Elle met mal à l’aise, et c’est précisément pourquoi elle est utile.
Ce que cela change dans un plan de sécurité 2026
Concrètement, trois arbitrages méritent d’être rejoués. L’inventaire des équipements réseau doit exister au même titre que l’inventaire des serveurs, avec version de firmware et date de dernière mise à jour.
La gestion des accès d’administration réseau doit rejoindre le périmètre des accès privilégiés, avec authentification forte, plutôt que rester un secret partagé documenté dans un fichier.
Et la supervision doit inclure les équipements de bordure. Une organisation qui journalise parfaitement ses serveurs et pas ses routeurs a une visibilité qui s’arrête exactement là où l’attaquant a choisi de s’installer.
Ces questions recoupent celles que se posent les équipes de développement sur la sécurité de leur outillage, documentées côté écosystème open source, et les enjeux d’architecture de données traités côté intégration IA en entreprise. Pour les organisations soumises à NIS2, la revue de périmètre est le point de départ : voir notre page audit de périmètre NIS2.
Questions fréquentes
Qu’est-ce que la campagne Fire Ant et qui vise-t-elle ?
Fire Ant est le nom donné par la société de sécurité Sygnia à un acteur d’espionnage lié à la Chine, dont la campagne, jusqu’ici centrée sur les hyperviseurs VMware, s’est étendue aux routeurs Cisco IOS XR, aux serveurs TACACS et aux hôtes Linux d’administration, c’est-à-dire aux équipements qui routent, authentifient et administrent des réseaux à forte valeur. L’acteur a transformé les routeurs compromis en plateformes de collecte, capturant le trafic, récoltant des identifiants et supprimant la journalisation et la télémétrie utilisées par les défenseurs. Sygnia signale un fort recoupement avec les publications concernant UNC3886, groupe lié à la Chine connu pour cibler les plateformes de virtualisation et les équipements de bordure, sans conclure formellement à une attribution.
Pourquoi une PME devrait-elle se sentir concernée par une campagne étatique ?
Sur la cible directe, elle ne l’est généralement pas, mais trois raisons rendent le sujet pertinent. D’abord les techniques descendent : ce qu’un acteur étatique pratique aujourd’hui sur des équipements de bordure est en général reproduit par des groupes financièrement motivés dans les dix-huit mois, une fois la méthode publique et outillée. Ensuite, votre réseau peut être un chemin plutôt qu’une cible, ce que Sygnia évoque en indiquant que l’acteur a exploré des voies vers des environnements connectés à forte valeur, y compris des infrastructures critiques. Enfin, la lacune de visibilité est universelle et ne dépend ni du secteur ni de la taille : presque aucune organisation ne surveille ses équipements réseau comme elle surveille ses serveurs.
Quelles vérifications concrètes peut-on faire cette semaine ?
Quatre, sans outil supplémentaire et pour environ une demi-journée au total. Listez les sessions administratives actives sur les routeurs, pare-feu et commutateurs, en cherchant une session que personne ne revendique, soit environ trente minutes. Vérifiez la continuité des journaux réseau en cherchant un silence plutôt qu’une alerte : un trou dans l’horodatage ou une période sans événement sur un équipement qui en produit habituellement, soit une heure. Examinez les flux sortants des équipements réseau, sachant qu’un routeur ne doit jamais initier de connexion FTP vers l’extérieur, soit une heure. Auditez enfin les comptes du serveur TACACS ou RADIUS et la date du dernier changement de secret partagé, soit quarante-cinq minutes.
Quelle mesure protège durablement contre ce type de compromission ?
Une seule change durablement la situation : expédier les journaux des équipements réseau vers un système externe, en temps réel. Tant que le journal réside sur l’équipement, toute personne disposant d’un accès administrateur peut le modifier, ce que la campagne exploite explicitement en supprimant la journalisation. Dès que les événements sont copiés ailleurs au fil de l’eau, l’effacement local devient lui-même une trace détectable. Cette mesure n’exige pas un SIEM : un serveur de journalisation centralisé avec quatre-vingt-dix jours de rétention suffit, à condition d’ajouter une contrainte déterminante, à savoir que les comptes qui administrent les équipements ne doivent pas pouvoir effacer les journaux centralisés.
Vos équipements réseau sont-ils dans votre périmètre de surveillance ?
Nous auditons routeurs, pare-feu et serveurs d’authentification, vérifions la continuité de vos journaux et vous remettons un plan d’action chiffré.
Discutons-en — audit réseau