Introduction
Les cyberopérations iraniennes de MuddyWater atteignent un niveau d’intensité inédit en 2026. Depuis février 2026, ce groupe APT lié au ministère iranien du Renseignement et de la Sécurité — MOIS — maintient un accès non autorisé à des réseaux américains et canadiens. En effet, les secteurs ciblés incluent la banque, l’aviation, les chaînes d’approvisionnement de la défense et des organisations à but non lucratif. En parallèle, des infrastructures liées à l’Iran lancent une vague de scans contre des caméras de surveillance connectées à Internet au Moyen-Orient. Par conséquent, ces opérations combinent espionnage stratégique à long terme et renseignement de champ de bataille en temps réel. Ainsi, pour les organisations africaines et mondiales actives dans ces secteurs, comprendre et détecter ces menaces est devenu une priorité opérationnelle urgente.
Cyberopérations iraniennes MuddyWater : infiltration silencieuse des réseaux américains
Symantec et Carbon Black ont mis au jour l’activité de MuddyWater sur les réseaux américains et canadiens. En effet, leurs enquêteurs ont détecté des logiciels malveillants non documentés dans plusieurs environnements d’entreprise. La campagne vise la collecte de renseignements à long terme plutôt que la perturbation immédiate. Ce positionnement est caractéristique de l’espionnage d’État — s’installer discrètement, collecter, exfiltrer, et rester invisible le plus longtemps possible.
Les analystes de PolySwarm ont identifié quatre familles de logiciels malveillants dans cette campagne. En effet, Dindoor, Fakeset, Stagecomp et Darkcomp constituent l’arsenal technique déployé par MuddyWater contre ses cibles américaines. Par conséquent, les équipes de sécurité de ces secteurs doivent traiter la détection de ces outils comme une priorité absolue.
Dindoor — porte dérobée dans une entreprise de logiciels de défense
MuddyWater a déployé la porte dérobée Dindoor au sein d’une société de logiciels américaine. Cette société sert des clients dans les secteurs de la défense et de l’aérospatiale. En effet, Dindoor utilise l’environnement d’exécution Deno — un outil JavaScript et TypeScript — pour exécuter des commandes à distance et maintenir un accès durable. De ce fait, la détection de processus Deno inhabituels sur un réseau d’entreprise doit immédiatement déclencher une investigation.
Fakeset — porte dérobée Python sur un aéroport américain
La porte dérobée Fakeset, basée sur Python, a été découverte sur les réseaux d’un aéroport américain et d’une organisation à but non lucratif. En effet, Fakeset est conçu pour rester caché tout en assurant une présence durable dans les systèmes compromis. Par conséquent, tout processus Python inattendu lancé depuis un emplacement inhabituel mérite une analyse immédiate dans les environnements à risque.
La surveillance des caméras IP : une plateforme de renseignement à faible coût
En parallèle de l’infiltration des réseaux, les cyberopérations iraniennes ont ciblé des caméras de surveillance dans toute la région. Depuis le 28 février 2026, Check Point Research observe une forte augmentation des tentatives d’exploitation de caméras connectées à Internet. Ces scans ciblent des caméras Hikvision et Dahua dans des environnements commerciaux, gouvernementaux et municipaux. En effet, sept pays sont concernés : Israël, le Qatar, Bahreïn, le Koweït, les Émirats arabes unis, le Liban et Chypre.
Cette vague de scans coïncide avec le début d’hostilités régionales majeures. Par conséquent, il ne s’agit pas d’une activité opportuniste. C’est une tactique calculée qui transforme les infrastructures de sécurité du quotidien en outils d’observation du champ de bataille en temps réel.
Pourquoi les caméras IP sont des cibles idéales
Les caméras connectées à Internet présentent trois caractéristiques qui en font des cibles parfaites. Premièrement, elles fonctionnent souvent avec des micrologiciels obsolètes jamais mis à jour. Deuxièmement, les équipes de sécurité ne les surveillent pas avec la même rigueur que les serveurs ou les postes de travail. Troisièmement, elles offrent une valeur opérationnelle élevée — surveiller des emplacements, suivre les mouvements des équipes d’intervention et évaluer les dégâts après des frappes de missiles ou de drones.
En outre, les vulnérabilités exploitées dans cette campagne sont connues depuis plusieurs années. CVE-2017-7921 touche le firmware Hikvision via une faille d’authentification incorrecte. CVE-2021-33044 permet un contournement d’authentification sur les appareils Dahua. De ce fait, des organisations qui n’ont pas appliqué ces correctifs depuis 2017 et 2021 exposent leurs caméras à une exploitation triviale. Par ailleurs, cette même tactique a été observée lors du conflit irano-israélien de juin 2025. Cela confirme que MuddyWater considère l’exploitation des caméras IP comme un outil de renseignement fiable et reproductible.
Handala : le groupe supplétif iranien derrière l’attaque contre Stryker
Les cyberopérations iraniennes s’appuient aussi sur des groupes supplétifs pour les attaques les plus destructrices. Le groupe hacktiviste Handala, proche de l’Iran, a revendiqué une cyberattaque contre Stryker — entreprise de technologies médicales classée au Fortune 500.
Les attaquants ont exfiltré environ 50 téraoctets de données. Ils ont ensuite déployé un logiciel malveillant de type « wiper » sur le réseau mondial de l’entreprise. Ce wiper a effacé à distance les ordinateurs portables et appareils mobiles enregistrés dans les systèmes de gestion d’entreprise. Certains sites ont alors dû revenir à des processus manuels pour continuer à fonctionner. En effet, cette attaque illustre comment l’Iran combine espionnage discret via MuddyWater et opérations destructrices via des groupes supplétifs. Par conséquent, ces deux niveaux d’opérations se complètent et se renforcent mutuellement dans une stratégie cybernétique cohérente.
Ce que ces cyberopérations iraniennes signifient pour l’Afrique
Les cyberopérations iraniennes concernent directement les organisations africaines dans plusieurs secteurs. En effet, MuddyWater cible prioritairement la banque, l’aviation, les chaînes d’approvisionnement de la défense et les organisations à but non lucratif. Ces quatre secteurs sont très actifs sur le continent africain. Par ailleurs, de nombreuses banques africaines, compagnies aériennes et organisations non gouvernementales utilisent des infrastructures Microsoft 365 et des outils cloud similaires à ceux compromis dans cette campagne.
En outre, la présence de caméras Hikvision et Dahua dans les installations commerciales, gouvernementales et aéroportuaires africaines est très répandue. En effet, ces marques dominent le marché africain des caméras de surveillance en raison de leur faible coût. De ce fait, les vulnérabilités CVE-2017-7921 et CVE-2021-33044 exploitées au Moyen-Orient peuvent tout aussi bien cibler des installations africaines si les correctifs n’ont pas été appliqués.
Les actions de protection à mettre en œuvre immédiatement
Face à ces cyberopérations iraniennes, les équipes IT et sécurité doivent agir selon deux priorités distinctes.
Pour les organisations des secteurs ciblés par MuddyWater :
Surveiller tout processus Deno inhabituel sur les postes de travail et les serveurs. En effet, Dindoor utilise cet environnement d’exécution comme vecteur de persistance. Par conséquent, une alerte sur l’exécution de Deno dans des contextes inhabituels peut révéler une compromission en cours.
Surveiller les processus Python inattendus. En outre, Fakeset repose entièrement sur Python pour ses communications avec les serveurs de commande et de contrôle. De ce fait, toute instance Python lancée depuis un répertoire système inhabituel mérite investigation.
Surveiller le trafic sortant de Rclone. En effet, MuddyWater utilise cet outil open source pour exfiltrer des données vers des services cloud. Par conséquent, bloquer ou alerter sur l’exécution de Rclone non autorisée réduit directement le risque d’exfiltration.
Vérifier les certificats numériques des processus en cours. En outre, les échantillons de logiciels malveillants de MuddyWater utilisent des certificats précédemment associés au groupe. Ainsi, une détection basée sur les certificats constitue un signal d’alerte fiable.
Pour les organisations utilisant des caméras Hikvision et Dahua :
Appliquer immédiatement tous les correctifs de firmware disponibles. Les cinq CVE prioritaires sont CVE-2017-7921, CVE-2021-36260, CVE-2023-6895, CVE-2025-34067 et CVE-2021-33044. De ce fait, tout équipement non corrigé reste exploitable en quelques minutes par un attaquant déterminé.
Isoler les systèmes de caméras des réseaux d’entreprise principaux. En effet, une compromission de caméra ne doit pas ouvrir un chemin vers les serveurs ou les postes de travail du réseau central. Par conséquent, placer les caméras dans un VLAN dédié et limiter leurs accès réseau constitue une mesure de segmentation essentielle.
Désactiver les accès distants inutiles. En outre, activer une authentification forte sur tous les appareils connectés réduit directement la surface d’exploitation disponible pour un attaquant.
Surveiller le trafic sortant des systèmes de caméras. Tout flux de données inhabituellement élevé ou toute connexion vers des adresses IP externes inconnues peut indiquer une exploitation active en cours.
Conclusion
Les cyberopérations iraniennes MuddyWater confirment une tendance lourde : les États utilisent le cyberespace comme terrain d’opérations permanentes, bien au-delà des seuls contextes de conflit ouvert. En effet, maintenir un accès discret dans des réseaux bancaires ou aéronautiques pendant des mois, transformer des caméras de surveillance en outils de renseignement militaire et frapper via des groupes supplétifs — tout cela témoigne d’une stratégie cyber cohérente et multi-niveaux. Par conséquent, pour les organisations africaines et mondiales actives dans les secteurs ciblés, la question n’est plus de savoir si elles peuvent être visées. C’est de savoir si elles disposent des outils pour détecter une intrusion qui dure peut-être depuis des semaines sans déclencher la moindre alerte.
Source : cybersecuritynews
