Le groupe Overcast Panda a infiltré des ordinates de dirigeants via des accès physiques en hôtel. Analyse d'une attaque par USB et des risques pour les entreprises.

Le scénario semble tout droit sorti d'un thriller d'espionnage, mais il s'agit d'une réalité technique documentée. Lors d'une conférence sur l'industrie agricole sur l'île de Hainan, au printemps 2026, plusieurs dirigeants d'entreprise ont vu leurs ordinateurs portables compromis. L'originalité de l'attaque ne réside pas dans la sophistication du code, mais dans le mode de livraison : une intrusion physique dans les chambres d'hôtel.

L'intrusion physique comme vecteur d'attaque

Loin des campagnes de phishing massives ou des failles de serveurs distants, le groupe de hackers lié à l'État chinois, identifié par CrowdStrike sous le nom d'OVERCAST PANDA, a opté pour une approche directe. Entre mars et mai 2026, des agents se sont introduits dans les chambres d'hôtel alors que les cibles étaient absentes, probablement lors de dîners professionnels.

Les données temporelles révélées par Adam Meyers, vice-président senior des opérations de lutte contre les adversaires chez CrowdStrike, sont précises. Un intrus a pénétré dans une première chambre vers 20h00, heure locale, suivi d'une seconde intrusion à 21h57. L'objectif était simple : accéder physiquement à la machine pour y installer une porte dérobée, ou backdoor, nommée FlowCloud.

Le mécanisme technique de la backdoor FlowCloud

L'attaque ne s'est pas appuyée sur l'exécution d'un fichier par l'utilisateur, une erreur humaine classique que recherchent souvent les cybercriminels. Au lieu de cela, les attaquants ont utilisé une clé USB bootable. En démarrant l'ordinateur directement depuis le support USB, ils ont pu écrire le malware FlowCloud directement dans le stockage de la machine, contournant ainsi les protections du système d'exploitation actif.

Une fois l'opération terminée, les machines ont été redémarrées normalement. Le lendemain, lorsque les dirigeants ont allumé leurs ordinateurs, un déclencheur, tel qu'une clé de registre, a activé FlowCloud. Le malware a alors commencé ses activités d'espionnage : capture d'écran, enregistrement des frappes au clavier (keylogging), collecte de fichiers et vol d'identifiants. Comme l'explique Adam Meyers dans un entretien avec VentureBeat, la visibilité des systèmes de sécurité ne s'active qu'une fois que la machine a booté, laissant l'installation initiale dans un angle mort.

L'attaque de la femme de chambre ou "Evil Maid"

Ce mode opératoire porte un nom dans le milieu de la cybersécurité : l'attaque de la femme de chambre (evil maid attack). Ce terme désigne toute manipulation physique d'un ordinateur laissé sans surveillance. Le concept n'est pas nouveau, Joanna Rutkowska ayant démontré la faisabilité d'une telle intrusion via USB dès 2009.

Toutefois, l'opération d'OVERCAST PANDA se distingue par son exécution. Alors que d'autres groupes, comme MUSTANG PANDA, comptent sur la curiosité de la victime qui branche une clé USB trouvée par hasard, OVERCAST PANDA utilise les services de renseignement pour s'introduire physiquement dans des espaces privés. Cette combinaison entre espionnage traditionnel et déploiement de malware rend l'attaque particulièrement redoutable pour les cadres en déplacement.

Un malware connu mais réutilisé

Il est intéressant de noter que FlowCloud n'est pas une création récente. Le malware a été documenté dès 2020 par Proofpoint, à l'époque diffusé via phishing contre des services publics américains. Plus récemment, NTT Security a suivi des infections similaires transmises par USB dans des succursales japonaises à l'étranger depuis début 2022.

Le danger réside ici dans la mutation du vecteur de propagation. Un outil dont les signatures sont connues peut redevenir efficace s'il est injecté via un canal que les entreprises négligent : l'accès physique. L'absence d'intrusion réseau, d'e-mail suspect ou de page de connexion frauduleuse rend la détection initiale quasi impossible pour les équipes de sécurité basées au siège social.

La rareté des opérations physiques

Parmi les 290 adversaires suivis par CrowdStrike, les opérations basées sur l'accès physique restent rares. La plupart des groupes préfèrent le passage à l'échelle offert par le numérique. Cependant, pour des cibles de haute valeur, comme des dirigeants d'industries stratégiques (ici l'agriculture), le risque d'une intrusion physique est un prix acceptable pour les services de renseignement pour garantir un accès total et discret à des données sensibles.

L'originalité réside dans la combinaison d'une entrée en chambre d'hôtel par un service de renseignement d'État et le déploiement d'un malware en bootant la machine depuis l'USB.

L'impact pour les entreprises et dirigeants français

Pour le tissu entrepreneurial français, cette nouvelle rappelle que la sécurité informatique ne s'arrête pas aux pare-feu. Dans le cadre de France 2030, où l'innovation dans les secteurs stratégiques (agritech, santé, énergie) est accélérée, les dirigeants français deviennent des cibles privilégiées lors de salons internationaux ou de missions diplomatiques.

L'application du AI Act et le renforcement des normes de cybersécurité européennes poussent les entreprises vers une meilleure gestion des données, mais elles ne protègent pas contre un agent physique dans une chambre d'hôtel. Pour les PME et ETI françaises, souvent moins équipées en solutions de monitoring avancé que les grands groupes, le risque est accru.

La protection contre ce type d'attaque repose sur des mesures simples mais souvent ignorées : le chiffrement intégral du disque, l'activation du Secure Boot pour empêcher le démarrage sur des supports non autorisés, et l'utilisation de coffres-forts pour le matériel sensible en voyage. La vigilance doit désormais s'étendre au-delà du clic sur un lien suspect pour englober la sécurité physique des actifs numériques.

Questions fréquentes

---

Sources: Venturebeat, Novalogiq, Aventure ·