Un sous-groupe au sein du fameux groupe de piratage parrain\u00e9 par l’\u00c9tat russe connu sous le nom Ver de sabot<\/strong> a \u00e9t\u00e9 attribu\u00e9 \u00e0 une op\u00e9ration d’acc\u00e8s initiale pluriannuelle surnomm\u00e9e Badpilot qui s’est \u00e9tendue \u00e0 travers le monde.<\/p>\n “Ce sous-groupe a men\u00e9 des compromis diversifi\u00e9s \u00e0 l’\u00e9chelle mondiale de l’infrastructure orient\u00e9e sur Internet pour permettre \u00e0 Seashell Blizzard de persister sur des cibles de grande valeur et de supporter les op\u00e9rations de r\u00e9seau sur mesure”, l’\u00e9quipe Microsoft Threat Intelligence Intelligence dit<\/a> Dans un nouveau rapport partag\u00e9 avec le Hacker News avant la publication.<\/p>\n La propagation g\u00e9ographique des objectifs du sous-groupe d’acc\u00e8s initial comprend l’ensemble de l’Am\u00e9rique du Nord, de plusieurs pays d’Europe, ainsi que d’autres, notamment l’Angola, l’Argentine, l’Australie, la Chine, l’\u00c9gypte, l’Inde, le Kazakhstan, le Myanmar, le Nig\u00e9ria, le Pakistan, la Turquie et Ouzb\u00e9kistan.<\/p>\n Le d\u00e9veloppement marque une expansion importante de l’empreinte de victime du groupe de piratage au cours des trois derni\u00e8res ann\u00e9es, qui est autrement connue pour \u00eatre concentr\u00e9e autour de l’Europe de l’Est –<\/p>\n Sandworm est suivi par Microsoft sous le surnom blizzard Seashell (anciennement Iridium), et par la communaut\u00e9 de cybers\u00e9curit\u00e9 plus large sous les noms APT44, Blue Echidna, FrozenBarents, Grey Tornado, Iron Viking, Razing Ursa, Telebots, UAC-0002 et vododoo Bear. Actif depuis au moins 2013, le groupe est \u00e9valu\u00e9 pour \u00eatre affili\u00e9 \u00e0 l’unit\u00e9 74455 au sein de la direction principale de l’\u00e9tat-major g\u00e9n\u00e9ral des forces arm\u00e9es de la F\u00e9d\u00e9ration de Russie (GRU).<\/p>\n Le collectif contradictoire a \u00e9t\u00e9 d\u00e9crit par Mandiant appartenant \u00e0 Google comme un acteur de menace “tr\u00e8s adaptatif” et “d’op\u00e9ration” qui s’engage dans des op\u00e9rations d’espionnage, d’attaque et d’influence. Il a \u00e9galement des ant\u00e9c\u00e9dents d’attaques perturbatrices et destructrices contre l’Ukraine au cours de la derni\u00e8re d\u00e9cennie.<\/p>\n Les campagnes mont\u00e9es par ver de sable \u00e0 la suite de la guerre de Russo-Ukrainien ont des essuie-glaces de donn\u00e9es (Killdisk alias HermeticWiper), du pseudo-ransomware (Prestige aka Presstea) et des arri\u00e8re Acc\u00e8s \u00e0 distance persistant aux h\u00f4tes infect\u00e9s via un rat DarkCrystal (AKA DCRAT).<\/p>\n Il a \u00e9galement \u00e9t\u00e9 observ\u00e9 en s’appuyant sur une vari\u00e9t\u00e9 d’entreprises russes et de march\u00e9s criminels pour s’approvisionner et maintenir ses capacit\u00e9s offensives, mettant en \u00e9vidence un tendance<\/a> de la cybercriminalit\u00e9 facilitant le piratage soutenu par l’\u00c9tat.<\/p>\n “Le groupe a utilis\u00e9 des outils et des infrastructures d’origine p\u00e9nale comme source de capacit\u00e9s jetables qui peuvent \u00eatre op\u00e9rationnalis\u00e9es \u00e0 court terme sans liens imm\u00e9diats vers ses op\u00e9rations pass\u00e9es”, le Google Threat Intelligence Group (GTIG) dit<\/a> dans une analyse.<\/p>\n “Depuis l’invasion \u00e0 grande \u00e9chelle de l’Ukraine par la Russie, l’APT44 a augment\u00e9 son utilisation de ces outils, y compris des logiciels malveillants tels que DarkCrystal Rat (DCRAT), Warzone et Radthief (` `Rhadamanthys Stealer ‘) et infrastructure d’h\u00e9bergement \u00e0 l’\u00e9preuve des bullets comme celle fournie par la L’acteur russophone \u00abYalishanda\u00bb, qui fait de la publicit\u00e9 dans les communaut\u00e9s souterraines cybercriminales \u00bb.<\/p>\n Microsoft a d\u00e9clar\u00e9 que le sous-groupe Sandworm \u00e9tait op\u00e9rationnel depuis au moins la fin 2021, exploitant divers d\u00e9fauts de s\u00e9curit\u00e9 connus pour obtenir un acc\u00e8s initial, suivi d’une s\u00e9rie d’actions post-exploitation visant \u00e0 collecter des informations d’identification, \u00e0 r\u00e9aliser l’ex\u00e9cution de la commande et \u00e0 soutenir les mouvements lat\u00e9raux.<\/p>\n “Les op\u00e9rations observ\u00e9es apr\u00e8s un acc\u00e8s initial indiquent que cette campagne a permis \u00e0 Seashell Blizzard d’obtenir l’acc\u00e8s \u00e0 des cibles mondiales dans des secteurs sensibles, notamment l’\u00e9nergie, le p\u00e9trole et le gaz, les t\u00e9l\u00e9communications, l’exp\u00e9dition, la fabrication d’armes, en plus des gouvernements internationaux”, a not\u00e9 le g\u00e9ant de la technologie.<\/p>\n “Ce sous-groupe a \u00e9t\u00e9 activ\u00e9 par une capacit\u00e9 \u00e9volutive horizontalement renforc\u00e9e par des exploits publi\u00e9s qui permettaient \u00e0 la blizzard Seashell de d\u00e9couvrir et de compromettre de nombreux syst\u00e8mes orient\u00e9s Internet dans un large \u00e9ventail de r\u00e9gions et de secteurs g\u00e9ographiques.”<\/p>\n Depuis le d\u00e9but de l’ann\u00e9e derni\u00e8re, le sous-cluster aurait des vuln\u00e9rabilit\u00e9s arm\u00e9es dans ConnectWise ScreenConnect (CVE-2024-1709) et Fortinet Forticlient EMS (CVE-2023-48788) pour infiltrer des cibles au Royaume-Uni et aux \u00c9tats-Unis.<\/p>\n Les attaques men\u00e9es par le sous-groupe impliquent une combinaison \u00e0 la fois d’attaques \u00abpulv\u00e9risation et de pri\u00e8re\u00bb opportunistes et d’intrusions cibl\u00e9es con\u00e7ues pour maintenir un acc\u00e8s aveugle et effectuer des actions de suivi pour \u00e9tendre l’acc\u00e8s au r\u00e9seau ou obtenir des informations confidentielles.<\/p>\n On pense que le large \u00e9ventail de compromis offre \u00e0 la blizzard de coquille de mer un moyen de atteindre les objectifs strat\u00e9giques en constante \u00e9volution du Kremlin, permettant \u00e0 la tenue de piratage de faire \u00e9voluer horizontalement leurs op\u00e9rations sur divers secteurs \u00e0 mesure que de nouveaux exploits sont divulgu\u00e9s.<\/p>\n Jusqu’\u00e0 huit vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 connues diff\u00e9rentes ont \u00e9t\u00e9 exploit\u00e9es par le sous-groupe \u00e0 ce jour, <\/p>\n Un avant-pied est succ\u00e9d\u00e9 par l’acteur de menace qui \u00e9tablit de la persistance \u00e0 travers trois m\u00e9thodes diff\u00e9rentes –<\/p>\n “Ce sous-groupe, caract\u00e9ris\u00e9 au sein de l’organisation plus large de Blizzard par sa port\u00e9e presque globale, repr\u00e9sente une expansion \u00e0 la fois dans le ciblage g\u00e9ographique men\u00e9 par le blizzard Seashell et dans la port\u00e9e de ses op\u00e9rations”, a d\u00e9clar\u00e9 Microsoft.<\/p>\n “Dans le m\u00eame temps, les m\u00e9thodes d’acc\u00e8s de grande envergure et opportuniste de Sehell Blizzard offrent probablement des opportunit\u00e9s \u00e9tendues en Russie pour les op\u00e9rations et les activit\u00e9s de niche qui continueront d’\u00eatre pr\u00e9cieuses \u00e0 moyen terme.”<\/p>\n Le d\u00e9veloppement intervient alors que la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 n\u00e9erlandaise Eclecticiq a li\u00e9 le Sandworm Group \u00e0 une autre campagne qui exploite les activateurs pirat\u00e9s de Microsoft Key Management Service (KMS) et les fausses mises \u00e0 jour Windows pour livrer une nouvelle version de Brework T\u00e9l\u00e9l\u00e9e utile de deuxi\u00e8me \u00e9tape d’un serveur distant.<\/p>\n Backorder, par mandiant, est g\u00e9n\u00e9ralement livr\u00e9 dans des fichiers d’installation transmissible et est cod\u00e9 dur pour ex\u00e9cuter l’ex\u00e9cutable de configuration d’origine. L’objectif final de la campagne est de livrer<\/a> Rat de cristal noir<\/a>.<\/p>\n “La forte d\u00e9pendance de l’Ukraine \u00e0 l’\u00e9gard des logiciels fissur\u00e9s, y compris dans les institutions gouvernementales, cr\u00e9e une surface d’attaque majeure”, la chercheuse en s\u00e9curit\u00e9 Arda B\u00fcy\u00fckkaya dit<\/a>. “De nombreux utilisateurs, y compris les entreprises et les entit\u00e9s critiques, se sont tourn\u00e9s vers des logiciels pirat\u00e9s \u00e0 partir de sources non fiables, donnant aux adversaires comme Sandworm (APT44) une opportunit\u00e9 de premier plan d’incorporer des logiciels malveillants dans des programmes largement utilis\u00e9s.”<\/p>\n Une autre analyse des infrastructures a d\u00e9couvert un code de porte d\u00e9rob\u00e9e RDP pr\u00e9c\u00e9demment sans papiers Kalambur qui est d\u00e9guis\u00e9 en une mise \u00e0 jour Windows, et qui utilise le r\u00e9seau Tor pour la commande et le contr\u00f4le, ainsi que pour d\u00e9ployer OpenSSH et activer l’acc\u00e8s \u00e0 distance via le protocole de bureau distant (RDP) sur le port 3389.<\/p>\n “En tirant parti des logiciels transmissibles pour infiltrer les environnements ICS, Sandworm (APT44) continue de d\u00e9montrer son objectif strat\u00e9gique de d\u00e9stabilisation de l’infrastructure critique de l’Ukraine \u00e0 l’appui des ambitions g\u00e9opolitiques russes”, a d\u00e9clar\u00e9 B\u00fcy\u00fckkaya.<\/p>\n <\/p>\n\n
![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Microsoft-decouvre-les-cyberattaques-mondiales-du-sous-groupe-du-sous-groupe-couvrant.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n<\/a><\/div>\n