Hackerii legați de China au compromis laptopurile unor executivi prin acces fizic în camere de hotel. Află cum funcționează atacul FlowCloud și riscurile actuale.

Securitatea cibernetică este adesea percepută ca o bătălie pur digitală, desfășurată în spațiul virtual, unde zidurile de foc și protocoalele de criptare reprezintă singurele linii de apărare. Totuși, o recentă campanie de spionaj orchestrată de un grup legat de statul chinez demonstrează că cel mai vulnerabil punct al unei infrastructuri digitale poate fi, paradoxal, ușa unei camere de hotel. În timp ce majoritatea companiilor își concentrează resursele pe prevenirea atacurilor de tip phishing sau pe securizarea serverelor, atacatorii au ales o rută mult mai directă și fizică.

Metoda discretă a grupului OVERCAST PANDA

Conform raportului de Threat Hunting pentru anul 2026 publicat de CrowdStrike, grupul de hackeri identificat sub numele de OVERCAST PANDA a executat o serie de intrusiuni extrem de precise pe insula Hainan. Țintele au fost laptopurile unor executivi care participau la o conferință din industria agricolă în primăvara anului 2026. Spre deosebire de atacurile convenționale, nu a existat nicio tentativă de pătrundere în rețeaua locală, niciun e-mail suspect trimis victimelor și nicio pagină de login falsă pentru furtul de credențiale.

Strategia a fost una de forță brută, dar executată cu precizie chirurgicală. Atacatorii au intrat fizic în camerele de hotel în timp ce executivii erau la cină. Datele furnizate de Adam Meyers, vicepreședinte senior pentru operațiuni de contra-adversari la CrowdStrike, indică o cronologie alarmantă: un intrus a accesat prima cameră în jurul orei 20:00 ora locală, iar o a doua cameră a fost compromisă la ora 21:57. În acest interval scurt, hackerii au bootat laptopurile folosind stick-uri USB, instalând direct pe stocarea dispozitivelor un backdoor numit FlowCloud, înainte de a reporni mașinile și de a părăsi locația.

Anatomia malware-ului FlowCloud și impactul său

FlowCloud nu este o creație nouă, ci o unealtă rafinată de-a lungul timpului. VentureBeat a detaliat faptul că acest malware a fost documentat încă din 2020 de Proofpoint, fiind utilizat atunci prin phishing împotriva unor utilități din Statele Unite. De asemenea, NTT Security a monitorizat infecții distribuite prin USB în sucursalele japoneze ale unor organizații începând cu începutul anului 2022.

În cazul atacurilor de pe insula Hainan, FlowCloud a fost implementat astfel încât să rămână latent până în dimineața următoare. În momentul în care executivii au pornit laptopurile, un trigger (posibil o cheie de regiștri) a activat malware-ul. Odată activat, FlowCloud a început să execute operațiuni critice de spionaj:

• Capturarea în timp real a ecranului (screen capture).
• Înregistrarea tastelor apăsate (keylogging).
• Colectarea sistematică de fișiere confidențiale.
• Recoltarea de credențiale de acces.

Conceptul de Evil Maid Attack în context modern

În comunitatea de securitate, acest tip de compromitere prin acces fizic la un dispozitiv nelăsat sub supraveghere este cunoscut sub numele de evil maid attack. Termenul a fost popularizat încă din 2009 de Joanna Rutkowska, care a demonstrat cum un stick USB bootabil poate fi folosit pentru a manipula un sistem fără ca utilizatorul să observe nicio schimbare vizibilă la prima pornire.

Adam Meyers a subliniat că operațiunile cu acces fizic sunt rare printre cele 290 de adversari monitorizați de CrowdStrike. De exemplu, grupul MUSTANG PANDA folosește tot USB-uri, dar depinde de faptul că victima găsește un stick abandonat și decide să îl introducă în computer. Noutatea în cazul OVERCAST PANDA constă în combinația dintre infiltrarea fizică a unei camere de hotel de către un serviciu de informații statal și bootarea forțată a mașinii, eliminând complet nevoia de interacțiune a utilizatorului cu fișierele infectate.

Accesul fizic anulează multe dintre barierele software pe care companiile le consideră impenetrabile, transformând un laptop închis într-o poartă deschisă către întreaga rețea corporativă.

Riscurile persistente și eșecul implementării soluțiilor

Un aspect critic al acestei povești este faptul că multe dintre companiile vizate aveau deja la dispoziție patch-uri sau configurații de securitate care ar fi putut preveni bootarea de pe dispozitive externe, însă acestea nu au fost implementate. Aceasta evidențiază o problemă sistemică în managementul riscurilor: existența unei soluții tehnice nu garantează securitatea dacă aceasta nu este aplicată riguros pe toate dispozitivele de tip endpoint.

Echipa OverWatch de la CrowdStrike a reușit să perturbe aceste intrusiuni, însă concluzia experților este sumbră: este aproape cert că OVERCAST PANDA va continua să utilizeze tactici similare. Atacatorii au demonstrat că pot trece peste orice firewall dacă pot pune mâna pe hardware-ul fizic, transformând deplasările de business în oportunități de spionaj industrial de înaltă precizie.

Implicatii pentru mediul de afaceri din Romania

Pentru antreprenorii și managerii din România, acest caz servește ca un avertisment necesar în contextul accelerării digitalizării. România se află într-un moment critic de tranziție, unde fondurile din PNRR sunt direcționate masiv către modernizarea infrastructurii IT și digitalizarea proceselor administrative. Totuși, investiția în software nu este suficientă dacă nu este însoțită de o cultură a securității fizice.

Implementarea AI Act la nivel european va impune standarde mai stricte de guvernanță a datelor și de securitate pentru sistemele de inteligență artificială, însă aceste reglementări nu pot opri un atac de tip evil maid. Companiile romene care colaborează cu parteneri internaționali sau care trimit executivi în misiuni externe trebuie să realizeze că laptopul de serviciu este un vector de atac fizic. În România, unde multe IMM-uri adoptă soluții cloud fără a securiza endpoint-urile fizice, riscul este amplificat.

Este esențial ca firmele locale să implementeze politici stricte de Full Disk Encryption (FDE) și să dezactiveze bootarea de pe USB în BIOS/UEFI, protejând aceste setări cu parole robuste. Într-o economie digitală, unde proprietatea intelectuală și datele clienților reprezintă cele mai valoroase active, securitatea nu mai poate fi delegată doar departamentului IT, ci trebuie să devină o componentă a strategiei de management de risc pentru orice lider de business.

Întrebări frecvente

---

Surse: Venturebeat, Novalogiq, Aventure ·