Le groupe de pirates informatiques russe soutenu par l'État, « APT29 continues », fait la une des journaux et cause bien des maux de tête. Cette semaine, nous nous penchons sur la nouvelle fonctionnalité mise en place par l’acteur malveillant après la compromission, baptisée « MagicWeb », qui permet à APT29 de s’identifier en tant que n’importe quel utilisateur au sein d’un réseau compromis. Nous examinons également comment APT29 exploite les services Azure Active Directory pour pirater des comptes appartenant à des organisations américaines et à des organisations membres de l’OTAN. De plus, nous vous fournissons des informations détaillées sur la manière dont les pirates informatiques utilisent la boîte à outils Sliver comme alternative à Cobalt Strike.
1. Microsoft détaille APT29’s techniques permettant, après une intrusion, de s'identifier en tant que n'importe quel utilisateur
Un nouveau rapport du Centre de renseignement sur les menaces de Microsoft (MSTIC) révèle comment le groupe APT29 , une menace persistante avancée (APT) soutenue par l’État russe — également connu sous les noms de Nobelium et Cozy Bear —, a mis au point un outil de post-exploitation de type «» baptisé MagicWeb (s’ouvre dans un nouvel onglet), permettant aux attaquants de s’authentifier en tant que n’importe quel utilisateur.
Microsoft a découvert une fonctionnalité post-compromission que nous avons baptisée « MagicWeb » et que l'acteur malveillant identifié sous le nom de NOBELIUM utilise pour conserver un accès persistant aux environnements qu'il a compromis. Vous trouverez ici une analyse technique approfondie et des conseils de chasse : msft.it/6016jeB4i
Qui est APT29 ?
Si vous venez de rejoindre le groupe APT29, sachez qu'il est très actif, polyvalent et capable de mener plusieurs campagnes simultanément. Parmi les cibles de ce groupe figurent des organismes publics, des organisations non gouvernementales (ONG), des organisations intergouvernementales (OIG) et des groupes de réflexion situés aux États-Unis, en Europe et en Asie centrale.
Qu'est-ce que MagicWeb ?
Le groupe APT29 utilise désormais une fonctionnalité post-intrusion, baptisée « MagicWeb », qui lui permet de conserver un accès permanent aux environnements compromis et d'effectuer des mouvements latéraux. MagicWeb se compose d'une DLL malveillante qui permet de manipuler les jetons générés par un serveur Active Directory Federated Services (AD FS). MagicWeb gère les certificats d'authentification utilisateur nécessaires à l'authentification, par opposition aux certificats de signature.
Les chercheurs du MSTIC estiment que MagicWeb a très probablement été déployé à un moment donné au cours d’une intrusion en cours et qu’il a été utilisé par APT29 pour conserver l’accès pendant les « mesures correctives stratégiques susceptibles d’empêcher son expulsion ».
Le rapport précise ensuite que « … dans le cadre d’ septembre 2021, Microsoft a révélé l’existence d’une fonctionnalité post-exploitation baptisée FoggyWeb (s’ouvre dans un nouvel onglet) dont les méthodes et les objectifs sont similaires à ceux de MagicWeb. » FoggyWeb était capable d’exfiltrer la base de données de configuration des serveurs AD FS compromis, de déchiffrer les certificats de signature de jetons (s’ouvre dans un nouvel onglet) et les certificats de déchiffrement de jetons (s’ouvre dans un nouvel onglet), ainsi que de télécharger et d’exécuter des composants malveillants supplémentaires. « MagicWeb va au-delà des capacités de collecte de FoggyWeb en permettant un accès discret et direct. »
Options d'atténuation pour MagicWeb
APT29’s ability to deploy MagicWeb hinges entirely upon obtaining access to the highly privileged credentials with administrative access to AD FS servers. Il est donc essentiel de considérer les systèmes AD FS comme des actifs de premier plan et hautement critiques, et de leur appliquer les mêmes mesures de protection que celles que vous mettriez en œuvre pour les contrôleurs de domaine ou tout autre actif de votre infrastructure technologique jugé critique.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Comme l’a clairement indiqué le MSTIC, MagicWeb en tant que capacité n’est pas vraiment un domaine inconnu pour le APT29 — pas plus que l’utilisation abusive par ce groupe d’identités et d’accès par authentification. »
Compte tenu du niveau de sophistication de APT29’s , de son historique de compromissions très médiatisées, de ses progrès constants en matière de méthodologie et des ajouts apportés à son arsenal de logiciels malveillants, il est appréciable de constater que le MSTIC a fourni, vers la fin de son rapport, quelques recommandations en matière de recherche ainsi que des requêtes de recherche avancées. « L’antivirus Defender de Microsoft et Defender for Endpoint détectent tous deux cette menace et émettent des alertes à ce sujet, respectivement. »
2. Des pirates informatiques russes exploitent les services Azure pour pirater des comptes Microsoft 365 aux États-Unis et au sein de l'OTAN
Un rapport récent de la société de cybersécurité Mandiant révèle que APT29 cible activement des comptes Microsoft 365 appartenant à des organisations américaines et affiliées à l'OTAN (s'ouvre dans un nouvel onglet) afin de voler des données sensibles.
APT29’s L'activité récente se caractérise par des campagnes d'espionnage qui continuent de mettre l'accent sur la sécurité opérationnelle (OPSEC) et par des tactiques sophistiquées visant Microsoft 365.
Mandiant met en avant les APT29 TTP suivantes, utilisées lors d'opérations récentes :
- Désactivation des licences : Microsoft 365 utilise différentes licences pour réguler l'accès des utilisateurs aux services de sa suite de produits. Ces mêmes licences imposent souvent des paramètres de sécurité, tels que la durée de conservation des journaux et l'enregistrement des accès aux messages électroniques.
L'audit « Purview » active l'audit « Accès aux messages », qui enregistre la chaîne d'agent utilisateur, l'horodatage, l'adresse IP et l'utilisateur à chaque fois qu'un message est consulté. L'audit enregistre tout type d'accès à la messagerie, qu'il s'agisse de l'API Graph, d'Outlook, d'un navigateur ou de toute autre méthode.
- Prise de contrôle de comptes inactifs via l’authentification multifactorielle (MFA) : Malgré les nombreux avantages de l’authentification multifactorielle (MFA) en matière d’ , celle-ci reste vulnérable aux attaques — et les acteurs malveillants inventent sans cesse de nouvelles façons de la contourner. Mandiant a déjà expliqué comment les cybercriminels exploitent l'authentification multifactorielle (MFA) par notifications push d' (s'ouvre dans un nouvel onglet) pour inonder les utilisateurs de notifications jusqu'à ce qu'ils finissent par accepter la demande et autorisent l'accès au cybercriminel.
- Zoom sur l'OPSEC : Comme en témoigne sa dernière vague d'activité, le APT29 continue de faire preuve d'un engagement fort en matière d'OPSEC, de sécurité et de techniques d'évasion.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Pour ceux d’entre nous qui ont passé la majeure partie de leur carrière à observer l’évolution de APT29’s , cet acteur malveillant a clairement tiré pleinement parti de l’accès aux ressources, à la formation et aux outils dont bénéficient les équipes de piratage informatique soutenues par l’État russe — en particulier celles qui entretiennent des liens indéniables avec les services de renseignement de l’État. Le groupe APT29 a fait preuve d’une forte volonté de perfectionner et de développer en permanence ses compétences techniques, notamment en affinant la méthodologie mise en œuvre par le groupe APT29 pour maintenir un niveau élevé de sécurité opérationnelle (OPSEC).
Il s’agit d’un groupe qui s’est révélé tout à fait capable de suivre le rythme des avancées technologiques et, pour reprendre une expression tirée de la rubrique « Outlook » de Mandiant, le CTI « s’attend pleinement à ce que le groupe APT29 continue de suivre le rythme des évolutions en matière de techniques et de tactiques visant à accéder à Microsoft 365 de manière innovante et furtive ».
3. Les pirates informatiques adoptent la boîte à outils Sliver comme alternative à Cobalt Strike
Un article du blog Microsoft « 24 août » (s'ouvre dans un nouvel onglet)indique que des acteurs malveillants ont été observés en train d'abandonner la suite de tests d'intrusion Cobalt Strike, très populaire et particulièrement efficace, au profit de frameworks similaires mais moins connus, tels que , Brute Ratel (s'ouvre dans un nouvel onglet), et, plus récemment, le kit open source et multiplateforme connu sous le nom de Sliver.
Selon Microsoft, ses chercheurs ont constaté que le cadre de commande et de contrôle Sliver (C2) était de plus en plus utilisé dans le cadre de campagnes d'intrusion menées par des acteurs malveillants soutenus par des États et des réseaux de cybercriminalité spécialisés dans les ransomwares et l'extorsion, et qu'il était également exploité par toute une série d'autres acteurs malveillants pour échapper à la détection.
Sliver a été lancé pour la première fois en 2019 et a fait l'objet d'une campagne publicitaire destinée aux professionnels de la sécurité. Il s'agit d'un framework open source, écrit en Go et disponible sur GitHub. Sliver offre plusieurs fonctionnalités standard du framework C2 , notamment la prise en charge de plusieurs utilisateurs simultanés, divers types d'écouteurs, des extensions créées par les utilisateurs et la génération de charges utiles. Microsoft affirme avoir constaté que des acteurs malveillants intégraient Sliver dans leurs boîtes à outils depuis décembre 2020.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Cobalt Strike est depuis longtemps l’un des frameworks préférés des acteurs malveillants de tous horizons. » De ce fait, les stratégies de détection mises en place par les défenseurs n'ont cessé de s'affiner et, les méthodes d'utilisation de ce logiciel malveillant par les cybercriminels ayant été documentées de manière exhaustive, il n'est guère surprenant que de plus en plus d'acteurs malveillants se tournent vers d'autres frameworks de logiciels malveillants, tels que Sliver. Que ce cadre particulier devienne le nouveau « MVP » de la cybercriminalité ou que cet honneur revienne finalement à un autre cadre n’a, en fin de compte, que peu d’importance — à condition que les organisations s’efforcent de manière proactive d’élaborer des guides d’intervention pour identifier et prévenir de futurs cas d’activités malveillantes que Sliver et ses homologues peuvent contribuer à déclencher. »
Souhaitez-vous découvrir comment la solution « Converged Endpoint Management » (XEM) de Tanium peut contribuer à protéger votre entreprise contre les cybermenaces ? Essayez Tanium dès aujourd'hui.
Vous pouvez également consulter nos dernières synthèses d' s sur les cybermenaces ici :.
