B041
L'entreprise belge NVISO, spécialisée en cybersécurité, a récemment révélé avoir découvert un logiciel malveillant de type backdoor, dénommé "VShell", sur plus de 1.500 serveurs dans le monde, dont plusieurs situés en Europe, notamment en Belgique. Cette opération, qualifiée d'infiltration à grande échelle, aurait été orchestrée par des acteurs liés à l'État chinois, en particulier le groupe UNC5174, déjà soupçonné d'agir pour le compte du Ministère de la Sécurité d'État de la République populaire de Chine. VShell, à l'origine un outil destiné à tester la robustesse des systèmes informatiques, a été détourné de sa finalité légitime et transformé en un outil de cyber-espionnage, permettant le contrôle à distance de systèmes informatiques, l'exfiltration de données, la capture d'écrans et la cartographie de réseaux. Ce malware cible tant les entreprises que les infrastructures publiques, y compris dans les secteurs critiques tels que la santé, la recherche ou encore l'énergie. Selon NVISO, certaines des infections détectées ont été localisées dans le secteur public européen, sans qu'il ne soit possible d'identifier précisément les entités touchées pour des raisons de confidentialité. Cependant, la présence de serveurs infectés sur le territoire belge soulève de graves préoccupations en matière de cybersécurité nationale, de souveraineté numérique et de protection des infrastructures critiques. 1. Les autorités belges ont-elles été officiellement informées, par NVISO ou par tout autre canal, de la présence de serveurs infectés par le malware VShell sur le territoire national? 2. Des entités publiques belges, qu'elles soient fédérales, régionales ou locales, ont-elles été identifiées parmi les victimes de cette cyberattaque? 3. Le Centre pour la Cybersécurité Belgique (CCB) a-t-il été impliqué dans l'analyse ou la réponse à cette menace spécifique? Dispose-t-il d'une évaluation précise de la portée de cette infection sur le territoire belge? 4. Des mesures ont-elles été prises pour alerter et accompagner les potentiels organismes (publics ou privés) victimes dans la neutralisation de la menace et le renforcement de leur sécurité informatique? 5. Quelle coopération existe actuellement entre les services de renseignement belges, le CCB et les partenaires européens ou internationaux pour répondre à des menaces d'origine étatique telles que celle associée à VShell? 6. Cette affaire suscite-t-elle, au sein de vos départements respectifs, une réévaluation de la stratégie nationale de cybersécurité, notamment en ce qui concerne les infrastructures critiques, les partenariats industriels européens en cybersécurité, et la réduction de la dépendance technologique vis-à-vis de puissances étrangères?
B042
1. Le Centre pour la Cybersécurité Belgique (CCB)confirme avoir identifié une compromission impliquant le malware VShell lors d'une action de réponse à incident menée dans le cadre du système d'alerte précoce (Early Warning System - EWS). Cette intervention concernait un incident distinct et a permis de constater l'utilisation de VShell. Le CCB précise que VShell est un outil d'accès à distance ayant été longuement disponible publiquement, notamment via des plateformes de développement, et pouvant dès lors être utilisé par différents acteurs, dont des acteurs malveillants. NVISO est intervenu en appui du CCB dans le cadre de cet incident. Les résultats de l'analyse spécifique de NVISO concernant VShell ont été communiqués en premier lieu au CCB avant leur publication. Les indicateurs de compromission liés à VShell ont ensuite été partagés par le CCB avec ses constituants et des avertissements ciblés ont été adressés aux organisations présentant des vulnérabilités similaires. L'ensemble des services de renseignement et de sécurité ont été informés et impliqués via les canaux établis. Le CCB a ainsi assuré la coordination, le partage d'informations, ainsi que des activités de détection et de monitoring, dans le but d'identifier et d'avertir rapidement d'éventuelles organisations concernées. Ce dossier faisant actuellement l'objet d'une enquête du parquet fédéral, le CCB ne peut fournir à ce stade aucune information complémentaire. 2. Le CCB confirme avoir reçu notification d'une seule victime en Belgique, à savoir une entité relevant d'une autorité publique régionale. Ce dossier faisant actuellement l'objet d'une enquête du parquet fédéral, le CCB ne peut à ce stade fournir aucune information complémentaire. 3. Le CCB a collecté et analysé des informations afin de détecter d'éventuelles victimes du malware VShell sur le territoire belge. À ce stade, aucune autre infection par VShell n'a été identifiée en Belgique. 4. Le CCB surveille en permanence le cyberespace belge afin de détecter d'éventuelles nouvelles victimes et de les informer rapidement. Dans ce cadre, des dispositifs tels que l'Active Cyber Protection, les spear warnings et le cadre CyberFundamentals sont utilisés pour renforcer la cyberrésilience des organisations. Dans le cas concerné, le CCB est intervenu sur site afin de contenir l'incident, d'identifier les systèmes infectés ainsi que le point d'accès initial, et de mettre en place une surveillance renforcée sur les systèmes concernés. Les opérations de récupération ont été menées par l'entité victime avec l'appui de leurs services de réponse à incident. Ce dossier faisant partie d'une enquête judiciaire en cours, toute information complémentaire relève du ministère public. 5. Le CCB collabore étroitement avec les services de renseignement belges pour garantir la cybersécurité du pays. Cette collaboration s'exerce au sein de différents réseaux et plateformes nationaux. Grâce à ces interactions régulières, les organisations peuvent agir de manière coordonnée et échanger des informations sur les cybermenaces et incidents actuels. Le Comité stratégique du renseignement et de la sécurité (CSRS) constitue un espace de coordination stratégique où sont établies des orientations communes, notamment pour renforcer la position cyber du pays. Le CCB est également membre du Comité de coordination du renseignement et de la sécurité (CCRS), aux côtés de la Sûreté de l'État (VSSE), du Service général du Renseignement et de la Sécurité, de l'Organe de coördination pour l'analyse de la menace (OCAM), de la police fédérale, du Centre National de Crise (NCCN), du SPF Affaires étrangères et du Collège des procureurs généraux. Le CCRS émet des avis à destination du Conseil national de sécurité sur les questions de sécurité nationale. La Plateforme Cybersecurity du CSRS permet aux services de renseignement et de sécurité de discuter de la politique en matière de cybersécurité et d'échanger des informations. Les membres de cette plateforme sont: le CCB, le SPF Affaires étrangères, la VSSE, l'OCAM, le ministère public, les collèges des procureurs fédéraux, la police fédérale, la Federal Computer Crime Unit, le NCCN, la Défense et le Cyber Command. Le National Cybersecurity Council Belgium est quant à lui une plateforme qui rassemble tous les services fédéraux et entités fédérées contribuant à la mise en oeuvre de la Stratégie nationale de cybersécurité, chacun dans son domaine de compétence. Le CCB participe également à plusieurs coopérations européennes et internationales qui permettent de mieux détecter et comprendre l'activité des groupes de cybercriminels.?? Le CCB est membre du CSIRT Network, le réseau européen qui réunit toutes les équipes nationales de réponse aux incidents de cybersécurité. Ce cadre facilite un échange rapide d'informations techniques entre États membres et renforce la coordination en cas d'attaques transfrontalières.?? Le CCB prend également part au EU CyCLONe (Cyber Crisis Liaison Organisation Network). ?Le règlement de l'UE sur la cybersolidarité (2024) prévoit notamment une réserve cyber européenne et un système d'alerte à l'échelle de l'Union Européenne reposant sur des réseaux de hubs transfrontaliers (ECAS). Le CCB a adhéré récemment à l'un des consortiums au sein de ce système.? Enfin, en juin 2025 l'UE a adopté un schéma directeur pour une meilleure gestion des crises et incidents de cybersécurité en Europe. 6. Cette situation ne conduit pas à une réévaluation formelle de la stratégie nationale de cybersécurité, dans la mesure où aucune enveloppe budgétaire supplémentaire n'est prévue pour le moment pour la période 2026-2030 et qu'aucune nouvelle stratégie nationale de cybersécurité opérationnelle ne pourra être élaborée pour cette période sans enveloppe budgétaire supplémentaire. Cela étant dit, les enjeux soulevés par ce cas, notamment la protection des infrastructures critiques, la coopération industrielle européenne en cybersécurité et la réduction des dépendances technologiques vis-à-vis de puissances étrangères, font l'objet d'une attention continue au sein du CCB, dans le cadre des moyens actuellement disponibles.