Des acteurs parrain\u00e9s par l\u2019\u00c9tat russe ont organis\u00e9 des attaques par relais de hachage NT LAN Manager (NTLM) v2 par diverses m\u00e9thodes entre avril 2022 et novembre 2023, ciblant des cibles de grande valeur dans le monde entier.<\/p>\n
Les attaques, attribu\u00e9es \u00e0 une \u00e9quipe de hackers “agressive” appel\u00e9e APT28<\/strong>ont jet\u00e9 leur d\u00e9volu sur les organisations s’occupant des affaires \u00e9trang\u00e8res, de l’\u00e9nergie, de la d\u00e9fense et des transports, ainsi que sur celles impliqu\u00e9es dans le travail, la protection sociale, les finances, la parentalit\u00e9 et les conseils municipaux locaux.<\/p>\n Entreprise de cybers\u00e9curit\u00e9 Trend Micro \u00e9valu\u00e9<\/a> ces intrusions comme une \u00ab m\u00e9thode rentable d’automatisation des tentatives de p\u00e9n\u00e9tration brutale dans les r\u00e9seaux \u00bb de ses cibles, notant que l’adversaire a pu compromettre des milliers de comptes de messagerie au fil du temps.<\/p>\n APT28 est \u00e9galement suivi par la communaut\u00e9 de cybers\u00e9curit\u00e9 au sens large sous les noms Blue Athena, BlueDelta, Fancy Bear, Fighting Ursa, Forest Blizzard (anciennement Strontium), FROZENLAKE, Iron Twilight, ITG05, Pawn Storm, Sednit, Sofacy et TA422.<\/p>\n Le groupe, soup\u00e7onn\u00e9 d’\u00eatre actif depuis au moins 2009, est g\u00e9r\u00e9 par le service de renseignement militaire russe GRU et a d\u00e9j\u00e0 orchestr\u00e9 du spear phishing contenant des pi\u00e8ces jointes malveillantes ou des compromissions strat\u00e9giques sur le Web pour activer les cha\u00eenes d’infection.<\/p>\n En avril 2023, APT28 a \u00e9t\u00e9 impliqu\u00e9 dans des attaques exploitant des failles d\u00e9sormais corrig\u00e9es dans les \u00e9quipements r\u00e9seau de Cisco pour effectuer des reconnaissances et d\u00e9ployer des logiciels malveillants contre des cibles s\u00e9lectionn\u00e9es.<\/p>\n L’acteur \u00e9tatique a \u00e9t\u00e9 mis sous le feu des projecteurs en d\u00e9cembre pour avoir exploit\u00e9 une faille d’\u00e9l\u00e9vation de privil\u00e8ges dans Microsoft Outlook (CVE-2023-23397, score CVSS : 9,8) et WinRAR (CVE-2023-38831, score CVSS : 7,8) pour acc\u00e9der \u00e0 Microsoft Outlook. le hachage Net-NTLMv2 d’un utilisateur et utilisez-le pour organiser une attaque NTLM Relay contre un autre service afin de vous authentifier en tant qu’utilisateur.<\/p>\n Un exploit pour CVE-2023-23397 aurait \u00e9t\u00e9 utilis\u00e9 pour cibler des entit\u00e9s ukrainiennes d\u00e8s avril 2022, selon un Avis de mars 2023<\/a> du CERT-UE.<\/p>\n Il a \u00e9galement \u00e9t\u00e9 observ\u00e9 qu’il exploitait des leurres li\u00e9s \u00e0 la guerre en cours entre Isra\u00ebl et le Hamas pour faciliter la livraison d’une porte d\u00e9rob\u00e9e personnalis\u00e9e appel\u00e9e HeadLace, aux c\u00f4t\u00e9s d’entit\u00e9s gouvernementales ukrainiennes et d’organisations polonaises en gr\u00e8ve avec des messages de phishing con\u00e7us pour d\u00e9ployer des portes d\u00e9rob\u00e9es et des voleurs d’informations comme OCEANMAP, MASEPIE et CROCHET EN ACIER.<\/p>\n L’un des aspects importants des attaques des acteurs mena\u00e7ants est la tentative continue d’am\u00e9liorer leur manuel op\u00e9rationnel, en affinant et en bricolant leurs approches pour \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n Cela inclut l’ajout de couches d’anonymisation telles que les services VPN, Tor, les adresses IP des centres de donn\u00e9es et les routeurs EdgeOS compromis pour effectuer des activit\u00e9s d’analyse et de sondage. Une autre tactique consiste \u00e0 envoyer des messages de spear phishing \u00e0 partir de comptes de messagerie compromis via Tor ou VPN.<\/p>\n “Pawn Storm utilise \u00e9galement des routeurs EdgeOS pour envoyer des e-mails de spear phishing, effectuer des rappels d’exploits CVE-2023-23397 dans Outlook et voler des informations d’identification par proxy sur des sites Web de phishing”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Feike Hacquebord et Fernando Merces.<\/p>\n “Une partie des activit\u00e9s post-exploitation du groupe implique la modification des autorisations des dossiers dans la bo\u00eete aux lettres de la victime, conduisant \u00e0 une persistance am\u00e9lior\u00e9e”, ont indiqu\u00e9 les chercheurs. “En utilisant les comptes de messagerie de la victime, un mouvement lat\u00e9ral est possible en envoyant des messages \u00e9lectroniques malveillants suppl\u00e9mentaires depuis l’organisation de la victime.”<\/p>\n On ne sait actuellement pas si l’auteur de la menace a lui-m\u00eame viol\u00e9 ces routeurs ou s’il utilise des routeurs d\u00e9j\u00e0 compromis par un acteur tiers. Cela dit, on estime que pas moins de 100 routeurs EdgeOS ont \u00e9t\u00e9 infect\u00e9s.<\/p>\n En outre, les r\u00e9centes campagnes de collecte d’informations d’identification contre les gouvernements europ\u00e9ens ont utilis\u00e9 de fausses pages de connexion imitant Microsoft Outlook, h\u00e9berg\u00e9es sur un webhook.[.]URL du site, un mod\u00e8le pr\u00e9c\u00e9demment attribu\u00e9 au groupe.<\/p>\n Cependant, une campagne de phishing d’octobre 2022 a cibl\u00e9 les ambassades et d’autres entit\u00e9s de premier plan pour livrer un \u00ab simple \u00bb voleur d’informations via des e-mails qui capturaient des fichiers correspondant \u00e0 des extensions sp\u00e9cifiques et les exfiltraient vers un service de partage de fichiers gratuit nomm\u00e9 Keep.sh.<\/p>\n “Le volume des campagnes r\u00e9p\u00e9titives, souvent grossi\u00e8res et agressives, noie le silence, la subtilit\u00e9 et la complexit\u00e9 de l’intrusion initiale, ainsi que les actions post-exploitation qui pourraient survenir une fois que Pawn Storm aura pris pied dans les organisations victimes.” \u00bb ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Le d\u00e9veloppement intervient comme Recorded Future News r\u00e9v\u00e9l\u00e9<\/a> une campagne de piratage en cours entreprise par l’acteur russe COLDRIVER (alias Calisto, Iron Frontier ou Star Blizzard) qui se fait passer pour des chercheurs et des universitaires pour rediriger les victimes potentielles vers des pages de collecte d’informations d’identification.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Les-pirates-informatiques-russes-APT28-ciblent-les-organisations-de-grande.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n