NorForge a repéré plus de 20 panneaux Cairn exposés qu’elle estime probablement associés à une activité malveillante. Dans son enquête publiée le 19 octobre 2026, l’organisation décrit aussi des tableaux de bord liés à des opérations de red team apparemment légitimes, ainsi qu’un cas où elle dit avoir vérifié une webshell active.

Des panneaux opérateurs exposés

NorForge décrit Cairn comme un système de résolution de problèmes à états : les agents consignent leurs découvertes sur un tableau de projet partagé et s’en servent pour orienter les étapes suivantes. L’organisation a repéré plus de 20 panneaux exposés qu’elle juge probablement associés à une activité malveillante.

NorForge a également trouvé des panneaux exposés liés à des opérations de red team apparemment légitimes. Leur exposition peut mettre en risque les clients de ces équipes.

Les projets AIA0001 et les secrets repérés

NorForge attribue au cluster d’activité sinophone AIA0001 plus de 1 100 projets répartis sur 14 tableaux de bord. Son analyse a relevé des centaines de secrets dans les données de ces panneaux. L’outil Trufflehog en a confirmé la validité pour 11 % d’entre eux. Ce résultat porte sur les données des panneaux Cairn examinés par NorForge.

Pour les projets observés qui ont atteint leur objectif, notamment ceux associés à AIA0001, NorForge estime la durée moyenne à un peu moins de 23 heures entre le lancement et l’objectif atteint. Un projet a duré plus de cinq jours. L’organisation évalue à environ 10 % le taux de réussite moyen sur les dispositifs observés, dont les groupes poursuivaient des objectifs différents.

Une webshell active vérifiée dans un cas

NorForge rapporte avoir contrôlé une URL de shell indiquée dans une tâche Cairn achevée chez un grand fournisseur de pièces de matériel informatique. Lors de ce contrôle, l’organisation dit avoir trouvé une webshell d’envoi active.

Les chiffres rapportés pour la campagne

Reuters a fait état de plus de 1 200 tentatives d’intrusion sur des sites web et de plus de 100 compromissions signalées. Le premier chiffre correspond aux tentatives ; le second compte les compromissions rapportées.