Un acteur menaçant parrainé par l’État russe a été observé ciblant des entités diplomatiques et gouvernementales dans le cadre d’une série de campagnes de phishing commençant le 17 janvier 2022.
La société de renseignement sur les menaces et de réponse aux incidents Mandiant a attribué les attaques à un groupe de piratage informatique suivi sous le nom d’APT29 (alias Cozy Bear), avec un ensemble d’activités associées à l’équipage sous le nom de Nobelium (alias UNC2452/2652).
« Cette dernière vague de spear phishing met en évidence les intérêts durables d’APT29 à obtenir des informations diplomatiques et de politique étrangère auprès des gouvernements du monde entier », a déclaré le Mandiant. mentionné dans un rapport publié la semaine dernière.
L’accès initial aurait été facilité par des e-mails de harponnage se faisant passer pour des avis administratifs, utilisant des adresses e-mail légitimes mais compromises d’autres entités diplomatiques.
Ces e-mails contiennent une pièce jointe HTML appelée ROOTSAW (alias EnvyScout) qui, lorsqu’elle est ouverte, déclenche une séquence d’infection qui délivre et exécute un téléchargeur appelé BEATDROP sur un système cible.
Écrit en C, BEATDROP est conçu pour récupérer les logiciels malveillants de niveau supérieur à partir d’un serveur de commande et de contrôle (C2) distant. Il y parvient en abusant du service Trello d’Atlassian pour stocker les informations sur les victimes et récupérer les charges utiles de shellcode cryptées AES à exécuter.
APT29 utilise également un outil nommé BOOMMIC (alias VaporRage) pour établir un pied dans l’environnement, suivi d’une escalade de leurs privilèges au sein du réseau compromis pour un mouvement latéral et une reconnaissance approfondie des hôtes.
De plus, un changement opérationnel ultérieur observé en février 2022 a vu l’acteur menaçant s’éloigner de BEATDROP en faveur d’un chargeur basé sur C++ appelé BEACON, reflétant potentiellement la capacité du groupe à modifier périodiquement ses TTP pour rester sous le radar.
BEACON, programmé en C ou C++, fait partie du framework Cobalt Strike qui facilite l’exécution de commandes arbitraires, le transfert de fichiers et d’autres fonctions de porte dérobée telles que la capture de captures d’écran et l’enregistrement de frappe.
Le développement suit la stratégie de la société de cybersécurité décision de fusionner le cluster non catégorisé UNC2452 dans APT29, tout en notant la propension du groupe hautement sophistiqué à faire évoluer et à affiner son métier technique pour obscurcir l’activité et limiter son empreinte numérique pour éviter la détection.
Nobelium, notamment, a violé plusieurs entreprises au moyen d’une attaque de la chaîne d’approvisionnement au cours de laquelle l’adversaire a accédé au code source de SolarWinds et l’a falsifié, et a utilisé les mises à jour logicielles légitimes du fournisseur pour diffuser le logiciel malveillant sur les systèmes des clients.
« L’avancement constant et régulier des TTP témoigne de sa nature disciplinée et de son engagement envers des opérations furtives et sa persistance », a déclaré Mandiant, qualifiant APT29 d' »acteur de menace évolutif, discipliné et hautement qualifié qui opère avec un niveau accru de sécurité opérationnelle (OPSEC ) aux fins de la collecte de renseignements. »
Les conclusions coïncident également avec un rapport spécial de Microsoft, qui a observé que Nobelium tentait de violer des entreprises informatiques desservant des clients gouvernementaux dans les États membres de l’OTAN, en utilisant l’accès aux données de siphon des organisations occidentales de politique étrangère.