Des organisations \u00e0 but non lucratif russes et bi\u00e9lorusses, des m\u00e9dias ind\u00e9pendants russes et des organisations non gouvernementales internationales actives en Europe de l\u2019Est sont devenues la cible de deux campagnes distinctes de spear-phishing orchestr\u00e9es par des acteurs malveillants dont les int\u00e9r\u00eats correspondent \u00e0 ceux du gouvernement russe.<\/p>\n
Alors que l’une des campagnes, baptis\u00e9e River of Phish, a \u00e9t\u00e9 attribu\u00e9e \u00e0 COLDRIVER, un collectif hostile li\u00e9 au Service f\u00e9d\u00e9ral de s\u00e9curit\u00e9 russe (FSB), la deuxi\u00e8me s\u00e9rie d’attaques a \u00e9t\u00e9 consid\u00e9r\u00e9e comme l’\u0153uvre d’un groupe de menaces jusqu’alors non document\u00e9, nomm\u00e9 COLDWASTREL.<\/p>\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-pirates-informatiques-lies-a-la-Russie-ciblent-les-ONG.png\")
<\/a><\/center><\/div>\nSelon une enqu\u00eate conjointe d’Access Now et du Citizen Lab, les cibles de ces campagnes comprenaient \u00e9galement d’\u00e9minentes personnalit\u00e9s de l’opposition russe en exil, des responsables et des universitaires du groupe de r\u00e9flexion et de l’espace politique am\u00e9ricain, ainsi qu’un ancien ambassadeur am\u00e9ricain en Ukraine.<\/p>\n
\u00ab Les deux types d’attaques ont \u00e9t\u00e9 sp\u00e9cialement con\u00e7us pour mieux tromper les membres des organisations cibl\u00e9es \u00bb, a d\u00e9clar\u00e9 Access Now. dit<\/a>\u00ab Le mod\u00e8le d’attaque le plus courant que nous avons observ\u00e9 \u00e9tait un e-mail envoy\u00e9 soit \u00e0 partir d’un compte compromis, soit \u00e0 partir d’un compte ressemblant au compte r\u00e9el d’une personne que la victime connaissait peut-\u00eatre. \u00bb<\/p>\n River of Phish implique l’utilisation de tactiques d’ing\u00e9nierie sociale personnalis\u00e9es et hautement plausibles pour inciter les victimes \u00e0 cliquer sur un lien int\u00e9gr\u00e9 dans un document PDF leurre, qui les redirige vers une page de collecte d’informations d’identification, mais pas avant d’avoir pris les empreintes digitales des h\u00f4tes infect\u00e9s dans une tentative probable d’emp\u00eacher les outils automatis\u00e9s d’acc\u00e9der \u00e0 l’infrastructure de deuxi\u00e8me \u00e9tape.<\/p>\n Les messages \u00e9lectroniques sont envoy\u00e9s \u00e0 partir de comptes de messagerie Proton Mail se faisant passer pour des organisations ou des individus familiers ou connus des victimes.<\/p>\n \u00ab Nous avons souvent observ\u00e9 que l’attaquant omettait de joindre un fichier PDF au message initial demandant un examen du fichier \u00ab joint \u00bb \u00bb, a d\u00e9clar\u00e9 le Citizen Lab. dit<\/a>\u00ab Nous pensons que cela \u00e9tait intentionnel et avait pour but d’augmenter la cr\u00e9dibilit\u00e9 de la communication, de r\u00e9duire le risque de d\u00e9tection et de s\u00e9lectionner uniquement les cibles qui r\u00e9pondaient \u00e0 l’approche initiale (par exemple en soulignant l’absence de pi\u00e8ce jointe). \u00bb<\/p>\n Les liens vers COLDRIVER sont renforc\u00e9s par le fait que les attaques utilisent des documents PDF qui semblent crypt\u00e9s et incitent les victimes \u00e0 les ouvrir dans Proton Drive en cliquant sur le lien, une ruse que l’acteur de la menace a d\u00e9j\u00e0 employ\u00e9e dans le pass\u00e9.<\/p>\n Certains des \u00e9l\u00e9ments d’ing\u00e9nierie sociale s’\u00e9tendent \u00e9galement \u00e0 COLDWASTREL, notamment dans l’utilisation de Proton Mail et Proton Drive pour inciter les cibles \u00e0 cliquer sur un lien et les diriger vers une fausse page de connexion (\u00ab protondrive \u00bb).[.]en ligne” ou “protondrive[.](\u00ab services \u00bb) pour Proton. Les attaques ont \u00e9t\u00e9 enregistr\u00e9es pour la premi\u00e8re fois en mars 2023.<\/p>\n Cependant, COLDWASTREL s’\u00e9carte de COLDRIVER en ce qui concerne l’utilisation de domaines similaires pour la collecte d’informations d’identification et les diff\u00e9rences dans le contenu et les m\u00e9tadonn\u00e9es des PDF. L’activit\u00e9 n’a pas \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur particulier \u00e0 ce stade.<\/p>\n \u00ab Lorsque le co\u00fbt de la d\u00e9couverte reste faible, le phishing reste non seulement une technique efficace, mais aussi un moyen de continuer \u00e0 cibler les menaces \u00e0 l’\u00e9chelle mondiale tout en \u00e9vitant d’exposer des capacit\u00e9s plus sophistiqu\u00e9es (et co\u00fbteuses) \u00e0 la d\u00e9couverte \u00bb, a d\u00e9clar\u00e9 le Citizen Lab.<\/p>\n <\/p>\n<\/a><\/div>\n<\/a><\/center><\/section>\n