L’acteur de la menace persistante avanc\u00e9e (APT) connu sous le nom de Viverne d’hiver<\/b> cible d\u00e9sormais des responsables en Europe et aux \u00c9tats-Unis dans le cadre d’une campagne de cyberespionnage en cours.<\/p>\n
“Depuis au moins f\u00e9vrier 2023, TA473 exploite en permanence une vuln\u00e9rabilit\u00e9 Zimbra non corrig\u00e9e dans les portails de messagerie Web publics qui leur permet d’acc\u00e9der aux bo\u00eetes aux lettres \u00e9lectroniques des entit\u00e9s gouvernementales en Europe”, Proofpoint a dit<\/a> dans un nouveau rapport.<\/p>\n L’entreprise de s\u00e9curit\u00e9 d’entreprise suit l’activit\u00e9 sous son propre nom TA473<\/strong> (alias UAC-0114), le d\u00e9crivant comme un \u00e9quipage adverse dont les op\u00e9rations s’alignent sur celles des objectifs g\u00e9opolitiques russes et bi\u00e9lorusses.<\/p>\n Ce qui lui manque en sophistication, il le compense en persistance. Ces derniers mois, le groupe a \u00e9t\u00e9 li\u00e9 \u00e0 des attaques visant les autorit\u00e9s \u00e9tatiques d’Ukraine et de Pologne ainsi que des responsables gouvernementaux en Inde, en Lituanie, en Slovaquie et au Vatican.<\/p>\n La vague d’intrusions li\u00e9e \u00e0 l’OTAN implique l’exploitation de CVE-2022-27926 (score CVSS\u00a0: 6,1), une faille de s\u00e9curit\u00e9 de gravit\u00e9 moyenne d\u00e9sormais corrig\u00e9e dans Zimbra Collaboration qui pourrait permettre \u00e0 des attaquants non authentifi\u00e9s d’ex\u00e9cuter du code JavaScript ou HTML arbitraire.<\/p>\n Cela implique \u00e9galement l’utilisation d’outils d’analyse comme Acunetix pour identifier les portails de messagerie Web non corrig\u00e9s appartenant \u00e0 des organisations cibl\u00e9es dans le but d’envoyer des e-mails de phishing sous le couvert d’agences gouvernementales b\u00e9nignes.<\/p>\n Les messages sont accompagn\u00e9s d’URL pi\u00e9g\u00e9es qui exploitent la faille de script intersite (XSS) de Zimbra pour ex\u00e9cuter des charges utiles JavaScript personnalis\u00e9es encod\u00e9es en Base64 dans les portails de messagerie Web des victimes afin d’exfiltrer les noms d’utilisateur, les mots de passe et les jetons d’acc\u00e8s.<\/p>\n Il convient de noter que chaque charge utile JavaScript est adapt\u00e9e au portail de messagerie Web cibl\u00e9, ce qui indique que l’auteur de la menace est pr\u00eat \u00e0 investir du temps et des ressources pour r\u00e9duire la probabilit\u00e9 de d\u00e9tection.<\/p>\n “L’approche persistante de TA473 en mati\u00e8re d’analyse des vuln\u00e9rabilit\u00e9s et d’exploitation des vuln\u00e9rabilit\u00e9s non corrig\u00e9es affectant les portails de messagerie Web accessibles au public est un facteur cl\u00e9 du succ\u00e8s de cet acteur”, a d\u00e9clar\u00e9 Proofpoint.<\/p>\n “L’accent mis par le groupe sur la reconnaissance soutenue et l’\u00e9tude minutieuse des portails de messagerie Web expos\u00e9s publiquement pour faire de l’ing\u00e9nierie inverse JavaScript capable de voler des noms d’utilisateur, des mots de passe et des jetons CSRF d\u00e9montre son investissement dans la compromission de cibles sp\u00e9cifiques.”<\/p>\n Les d\u00e9couvertes arrivent au milieu r\u00e9v\u00e9lations<\/a> qu’au moins trois agences de renseignement russes, dont le FSB, le GRU (li\u00e9 \u00e0 Sandworm) et le SVR (li\u00e9 \u00e0 APT29), utilisent probablement des logiciels et des outils de piratage d\u00e9velopp\u00e9s par un sous-traitant informatique bas\u00e9 \u00e0 Moscou nomm\u00e9 NTC Vulkan.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n Cela inclut des cadres tels que Scan (pour faciliter la collecte de donn\u00e9es \u00e0 grande \u00e9chelle), Amesit (pour mener des op\u00e9rations d’information et manipuler l’opinion publique) et Krystal-2B (pour simuler des attaques IO\/OT coordonn\u00e9es contre les syst\u00e8mes de contr\u00f4le ferroviaire et de pipeline).<\/p>\n “Krystal-2B est une plate-forme de formation qui simule des attaques OT contre diff\u00e9rents types d’environnements OT en coordination avec certains composants IO en tirant parti d’Amesit” \u00e0 des fins de perturbation “”, Mandiant, propri\u00e9t\u00e9 de Google a dit<\/a>.<\/p>\n “Les projets sous contrat de NTC Vulkan donnent un aper\u00e7u de l’investissement des services de renseignement russes dans le d\u00e9veloppement de capacit\u00e9s pour d\u00e9ployer des op\u00e9rations plus efficaces au d\u00e9but du cycle de vie de l’attaque, une op\u00e9ration souvent cach\u00e9e \u00e0 notre vue”, a ajout\u00e9 la soci\u00e9t\u00e9 de renseignement sur les menaces.<\/p>\n <\/p>\n