Un sous-groupe au sein du fameux groupe de piratage parrainé par l’État russe connu sous le nom Ver de sabot a été attribué à une opération d’accès initiale pluriannuelle surnommée Badpilot qui s’est étendue à travers le monde.
“Ce sous-groupe a mené des compromis diversifiés à l’échelle mondiale de l’infrastructure orientée sur Internet pour permettre à Seashell Blizzard de persister sur des cibles de grande valeur et de supporter les opérations de réseau sur mesure”, l’équipe Microsoft Threat Intelligence Intelligence dit Dans un nouveau rapport partagé avec le Hacker News avant la publication.
La propagation géographique des objectifs du sous-groupe d’accès initial comprend l’ensemble de l’Amérique du Nord, de plusieurs pays d’Europe, ainsi que d’autres, notamment l’Angola, l’Argentine, l’Australie, la Chine, l’Égypte, l’Inde, le Kazakhstan, le Myanmar, le Nigéria, le Pakistan, la Turquie et Ouzbékistan.
Le développement marque une expansion importante de l’empreinte de victime du groupe de piratage au cours des trois dernières années, qui est autrement connue pour être concentrée autour de l’Europe de l’Est –
- 2022: secteurs de l’énergie, de la vente au détail, de l’éducation, du conseil et de l’agriculture en Ukraine
- 2023: Secteurs aux États-Unis, en Europe, en Asie centrale et au Moyen-Orient qui ont fourni un soutien matériel à la guerre en Ukraine ou étaient géopolitiquement
- 2024: Entités aux États-Unis, au Canada, en Australie et au Royaume-Uni
Sandworm est suivi par Microsoft sous le surnom blizzard Seashell (anciennement Iridium), et par la communauté de cybersécurité plus large sous les noms APT44, Blue Echidna, FrozenBarents, Grey Tornado, Iron Viking, Razing Ursa, Telebots, UAC-0002 et vododoo Bear. Actif depuis au moins 2013, le groupe est évalué pour être affilié à l’unité 74455 au sein de la direction principale de l’état-major général des forces armées de la Fédération de Russie (GRU).
Le collectif contradictoire a été décrit par Mandiant appartenant à Google comme un acteur de menace “très adaptatif” et “d’opération” qui s’engage dans des opérations d’espionnage, d’attaque et d’influence. Il a également des antécédents d’attaques perturbatrices et destructrices contre l’Ukraine au cours de la dernière décennie.
Les campagnes montées par ver de sable à la suite de la guerre de Russo-Ukrainien ont des essuie-glaces de données (Killdisk alias HermeticWiper), du pseudo-ransomware (Prestige aka Presstea) et des arrière Accès à distance persistant aux hôtes infectés via un rat DarkCrystal (AKA DCRAT).
Il a également été observé en s’appuyant sur une variété d’entreprises russes et de marchés criminels pour s’approvisionner et maintenir ses capacités offensives, mettant en évidence un tendance de la cybercriminalité facilitant le piratage soutenu par l’État.
“Le groupe a utilisé des outils et des infrastructures d’origine pénale comme source de capacités jetables qui peuvent être opérationnalisées à court terme sans liens immédiats vers ses opérations passées”, le Google Threat Intelligence Group (GTIG) dit dans une analyse.
“Depuis l’invasion à grande échelle de l’Ukraine par la Russie, l’APT44 a augmenté son utilisation de ces outils, y compris des logiciels malveillants tels que DarkCrystal Rat (DCRAT), Warzone et Radthief (` `Rhadamanthys Stealer ‘) et infrastructure d’hébergement à l’épreuve des bullets comme celle fournie par la L’acteur russophone «Yalishanda», qui fait de la publicité dans les communautés souterraines cybercriminales ».
Microsoft a déclaré que le sous-groupe Sandworm était opérationnel depuis au moins la fin 2021, exploitant divers défauts de sécurité connus pour obtenir un accès initial, suivi d’une série d’actions post-exploitation visant à collecter des informations d’identification, à réaliser l’exécution de la commande et à soutenir les mouvements latéraux.
“Les opérations observées après un accès initial indiquent que cette campagne a permis à Seashell Blizzard d’obtenir l’accès à des cibles mondiales dans des secteurs sensibles, notamment l’énergie, le pétrole et le gaz, les télécommunications, l’expédition, la fabrication d’armes, en plus des gouvernements internationaux”, a noté le géant de la technologie.
“Ce sous-groupe a été activé par une capacité évolutive horizontalement renforcée par des exploits publiés qui permettaient à la blizzard Seashell de découvrir et de compromettre de nombreux systèmes orientés Internet dans un large éventail de régions et de secteurs géographiques.”
Depuis le début de l’année dernière, le sous-cluster aurait des vulnérabilités armées dans ConnectWise ScreenConnect (CVE-2024-1709) et Fortinet Forticlient EMS (CVE-2023-48788) pour infiltrer des cibles au Royaume-Uni et aux États-Unis.
Les attaques menées par le sous-groupe impliquent une combinaison à la fois d’attaques «pulvérisation et de prière» opportunistes et d’intrusions ciblées conçues pour maintenir un accès aveugle et effectuer des actions de suivi pour étendre l’accès au réseau ou obtenir des informations confidentielles.
On pense que le large éventail de compromis offre à la blizzard de coquille de mer un moyen de atteindre les objectifs stratégiques en constante évolution du Kremlin, permettant à la tenue de piratage de faire évoluer horizontalement leurs opérations sur divers secteurs à mesure que de nouveaux exploits sont divulgués.
Jusqu’à huit vulnérabilités de sécurité connues différentes ont été exploitées par le sous-groupe à ce jour,
Un avant-pied est succédé par l’acteur de menace qui établit de la persistance à travers trois méthodes différentes –
- 24 février 2024 – Présent: Deployment of legitimate remote access software such as Atera Agent and Splashtop Remote Services, in some cases abusing the access to drop additional payloads for credential acquisition, data exfiltration, and other tools for maintaining access like OpenSSH and a bespoke utility dubbed ShadowLink that allows the compromised Système à être accessible via le réseau d’anonymat Tor
- Fin 2021 – Présent: Déploiement d’un shell web nommé localolive qui permet la commande et le contrôle et sert de conduit pour plus de charges utiles, telles que les utilitaires de tunneling (par exemple, Chisel, Plink et Rsockstun)
- Fin 2021 – 2024: Modifications malveillantes pour Outlook Web Access (OWA) Pages de connexion pour injecter le code JavaScript qui peut récolter et exfiltrer services
“Ce sous-groupe, caractérisé au sein de l’organisation plus large de Blizzard par sa portée presque globale, représente une expansion à la fois dans le ciblage géographique mené par le blizzard Seashell et dans la portée de ses opérations”, a déclaré Microsoft.
“Dans le même temps, les méthodes d’accès de grande envergure et opportuniste de Sehell Blizzard offrent probablement des opportunités étendues en Russie pour les opérations et les activités de niche qui continueront d’être précieuses à moyen terme.”
Le développement intervient alors que la société de cybersécurité néerlandaise Eclecticiq a lié le Sandworm Group à une autre campagne qui exploite les activateurs piratés de Microsoft Key Management Service (KMS) et les fausses mises à jour Windows pour livrer une nouvelle version de Brework Télélée utile de deuxième étape d’un serveur distant.
Backorder, par mandiant, est généralement livré dans des fichiers d’installation transmissible et est codé dur pour exécuter l’exécutable de configuration d’origine. L’objectif final de la campagne est de livrer Rat de cristal noir.
“La forte dépendance de l’Ukraine à l’égard des logiciels fissurés, y compris dans les institutions gouvernementales, crée une surface d’attaque majeure”, la chercheuse en sécurité Arda Büyükkaya dit. “De nombreux utilisateurs, y compris les entreprises et les entités critiques, se sont tournés vers des logiciels piratés à partir de sources non fiables, donnant aux adversaires comme Sandworm (APT44) une opportunité de premier plan d’incorporer des logiciels malveillants dans des programmes largement utilisés.”
Une autre analyse des infrastructures a découvert un code de porte dérobée RDP précédemment sans papiers Kalambur qui est déguisé en une mise à jour Windows, et qui utilise le réseau Tor pour la commande et le contrôle, ainsi que pour déployer OpenSSH et activer l’accès à distance via le protocole de bureau distant (RDP) sur le port 3389.
“En tirant parti des logiciels transmissibles pour infiltrer les environnements ICS, Sandworm (APT44) continue de démontrer son objectif stratégique de déstabilisation de l’infrastructure critique de l’Ukraine à l’appui des ambitions géopolitiques russes”, a déclaré Büyükkaya.