Le groupe identifié par Microsoft sous le nom de code « Marbled Dust », dont l'activité recoupe ce que d'autres éditeurs de sécurité suivent sous les désignations Sea Turtle ou UNC1326, a exploité une vulnérabilité de traversée de répertoire référencée CVE-2025-27920, affectant toutes les versions de l'application Output Messenger antérieures à la version 2.0.63. En s'appuyant sur des comptes utilisateurs non corrigés, le groupe a déployé une porte dérobée développée en langage Go, lui permettant d'intercepter des communications, d'usurper l'identité d'utilisateurs et de dérober des données au sein des réseaux ciblés. Microsoft a évalué avec un haut degré de confiance que les cibles de cette campagne, active depuis au moins avril 2024, étaient associées aux forces militaires kurdes opérant en Irak.
Compromettre la messagerie partagée plutôt que chaque utilisateur isolément
En ciblant une plateforme de messagerie d'entreprise partagée par l'ensemble d'une organisation plutôt que les appareils ou les comptes de ses utilisateurs pris individuellement, l'opération a obtenu, à partir d'un point d'entrée unique, la capacité d'intercepter simultanément les communications de nombreux utilisateurs et d'usurper l'identité de n'importe lequel d'entre eux au sein de la plateforme. Cette approche permet d'atteindre, avec l'exploitation d'une seule vulnérabilité, un résultat qui aurait autrement exigé de compromettre séparément chaque dispositif individuel, une logique d'efficacité de collecte comparable, à une échelle technique bien plus modeste, à celle de la subversion du fabricant opérée dans le cadre de l'opération Rubicon : substituer une dépendance logicielle partagée à une dépendance matérielle partagée comme point de levier unique sur une population entière d'utilisateurs.
Une continuité opérationnelle que l'exposition publique n'interrompt pas
Le fait que ce groupe soit suivi sous plusieurs désignations distinctes par différents éditeurs de cybersécurité, à travers plusieurs années et plusieurs campagnes antérieures visant des cibles gouvernementales et d'opposition en Europe et au Proche-Orient, illustre que l'attribution publique et la divulgation technique par un éditeur majeur ne mettent pas nécessairement fin à une opération. La capacité organisationnelle, le personnel et la mission stratégique sous-jacents subsistent indépendamment de l'exposition d'un outil ou de l'exploitation d'une vulnérabilité donnée, le groupe n'ayant besoin, pour sa campagne suivante, que de basculer vers une nouvelle vulnérabilité ou une nouvelle technique.
Une attribution formulée en termes de confiance plutôt que de certitude
L'évaluation de Microsoft selon laquelle ce groupe serait aligné sur les intérêts du gouvernement turc est formulée en termes de « haut degré de confiance » plutôt que de certitude absolue, une nuance de langage courante dans le renseignement sur les cybermenaces qui traduit une inférence tirée d'indicateurs techniques, de schémas de ciblage récurrents et d'un historique d'activité, plutôt qu'une preuve directe de contrôle étatique formel. Cette distinction mérite d'être préservée dans tout compte rendu de ce type de campagne attribuée par un acteur privé plutôt que par une procédure judiciaire ou diplomatique formelle.
Un complément électronique à une présence militaire déjà revendiquée en Irak
Cette campagne d'interception ne se déroule pas dans un vide stratégique. La Turquie maintient depuis plusieurs années, de manière publique et revendiquée, une présence militaire dans le nord de l'Irak — bases avancées, frappes de drones et opérations terrestres régulières regroupées sous le nom d'« Opération Griffes » — visant le PKK et les groupes qu'Ankara considère comme lui étant affiliés, au nom d'un droit à l'autodéfense contre une organisation qu'elle qualifie de terroriste. Le gouvernement fédéral irakien a régulièrement protesté contre cette présence comme une atteinte à sa souveraineté, sans parvenir à y mettre un terme durable. Le dossier public sur la campagne Marbled Dust ne permet pas d'établir de lien opérationnel direct entre elle et ces opérations militaires ; les deux relèvent d'instruments distincts et de chaînes de décision qui ne sont pas nécessairement coordonnées au jour le jour.
Ce qui peut néanmoins se dire, sans franchir cette limite, est que les deux logiques occupent un même espace stratégique et se complètent structurellement. Une frappe ou une incursion terrestre exige une présence physique, un préavis logistique et une exposition politique immédiate. Une collecte électronique contre la même population de cibles ne demande aucune des trois : elle peut se poursuivre indépendamment des cycles d'engagement militaire, y compris dans les phases où l'activité au sol se réduit sous l'effet de la pression diplomatique irakienne ou internationale. Le renseignement électronique offre ainsi une capacité de suivi qui ne dépend pas du maintien d'une empreinte militaire visible, ce qui explique pourquoi une telle campagne peut rester active pendant plus d'un an sans qu'aucune escalade correspondante ne soit observée sur le terrain.
Sources documentaires
- The Record from Recorded Future News — Microsoft spots zero-day use in spy campaign against Kurdish military in Iraq.
- The Hacker News — Türkiye Hackers Exploited Output Messenger Zero-Day to Drop Golang Backdoors on Kurdish Servers.
- Infosecurity Magazine — Turkey-Aligned Hackers Targeted Iraq-Based Kurds with Zero-Day Exploit.
MIT
Le versant humain du renseignement turc, illustré par un cas de contre-espionnage face au Mossad.
Lire l'analyseOpérations extérieures turques
Le versant offensif humain, en miroir de ce versant électronique.
Lire l'analyseCYBINT
Un autre cas de compromission d'infrastructure de communication partagée.
Lire l'analyseContre-terrorisme turc
Le contexte kurde plus large dans lequel s'inscrit cette campagne de renseignement.
Lire l'analyse
Analyste en géopolitique, anthropologie politique et relations internationales.