Dans le rapport de cette semaine, nous fournissons un aperçu d’une campagne récente attribuée au célèbre acteur russe des menaces APT28 (alias Fancy Bear), qui tirerait parti d’une nouvelle technique d’exécution de code impliquant une interaction humaine minimale pour lancer des attaques.
Ensuite, nous présentons une synthèse des renseignements stratégiques sur l’avertissement récent de l’Ukraine selon lequel la Russie prévoit une nouvelle vague d’attaques sur l’infrastructure critique du pays.
Enfin, nous approfondissons une nouvelle campagne ciblant plusieurs entrepreneurs militaires impliqués dans la fabrication d’armes, y compris un fournisseur engagé dans la fabrication de composants d’avions de chasse F-35 Lightning II.
1. Les pirates informatiques utilisent des fichiers PowerPoint pour la mise à disposition de logiciels malveillants de type « souris »
Cluster25 a identifié une technique d’exécution de code quelque peu nouvelle et rare qui s’appuie sur les mouvements de souris des victimes dans Microsoft PowerPoint pour déclencher un script PowerShell malveillant. Les chercheurs estiment que la campagne est liée de manière unique à l’acteur russe APT28 de menace soutenu par l’État, alias Fancy Bear.
Le document de l’attrait observé dans cette campagne est un fichier PowerPoint qui exploite une technique d’exécution de code intéressante. Il est conçu pour être déclenché lorsque l’utilisateur démarre le mode de présentation PowerPoint et déplace la souris.
Un rapport de la société de renseignement sur les menaces Cluster25 indique que APT28 (c.-à-d. « Ourson fantaisie »), un groupe de menaces attribué à la GRU russe, ont utilisé des fichiers PowerPoint pour la livraison de logiciels malveillants « souris sur » https://t.co/5BEf2PM6S2 @BleepinComputer
— 780th Military Intelligence Brigade (Cyber) (@780thC) 27 septembre 2022
L’attrait de PowerPoint
Le fichier PowerPoint en question contient deux diapositives, chacune contenant le même contenu. Cependant, la première diapositive est écrite en anglais et la deuxième en français.
De toutes les apparences extérieures, le document est lié à l’Organisation de coopération et de développement économiques (OCDE), une organisation intergouvernementale qui œuvre à stimuler le progrès économique et le commerce mondial. Les diapositives elles-mêmes présentent aux destinataires des instructions sur l’utilisation d’une option d’interprétation native de l’application de visioconférence Zoom.
Le PowerPoint exploite une technique d’exécution de code unique déclenchée en tirant parti des hyperliens, contrairement au programme/macro d’exécution plus traditionnel (un résultat possible de l’interdiction récente de Microsoft de certaines macros par défaut dans ses produits Office). Le code malveillant s’active en réponse à un minimum d’interaction de l’utilisateur, en particulier lorsque l’utilisateur déplace son curseur en mode présentation.
L’exécution du code exécute un script PowerShell via l’utilitaire SyncAppvPublishingServer, puis télécharge et exécute un fichier jpeg à partir de OneDrive.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Il n’est certainement pas entendu que les acteurs malveillants livrent des logiciels malveillants via des fichiers Office, bien qu’un plus grand nombre de ces instances semblent tirer parti des documents Excel et Word plutôt que des fichiers PowerPoint. »
« Comme de nombreuses campagnes d’hameçonnage observées au cours des derniers mois, cette attaque évite l’utilisation de macros malveillantes, en employant plutôt un événement intelligent de « souris-pointe » comme catalyseur généré par l’utilisateur par lequel le code malveillant est exécuté, bien que l’utilisateur n’ait même pas à cliquer physiquement sur le lien. Bien que cette technique ne soit pas nouvelle, elle est certainement rare et remarquable et mérite d’être surveillée. »
« L’effort herculéen qu’il faut souvent pour apprendre aux employés à s’abstenir de cliquer sur des liens suspects est une chose, mais un tout nouveau niveau de complexité est ajouté lorsque même le fait de passer le curseur sur un lien peut entraîner une activité malveillante importante. La révision des programmes de sensibilisation et d’éducation à l’hameçonnage/ingénierie sociale pour refléter ce risque est particulièrement intimidante, car la technique du survol est souvent l’une des principales mesures défensives que les employés apprennent à mieux vérifier la légitimité d’un message lorsqu’ils rencontrent des e-mails malveillants suspectés. »
2. La Russie prévoit des « cyberattaques massives » sur les infrastructures critiques, avertit l’Ukraine
Un récent conseil émis par le ministère de la Défense ukrainien avertit que les acteurs malveillants parrainés par l’État russe planifient des cyberattaques massives sur les installations d’infrastructure critiques appartenant aux entreprises ukrainiennes et celles des alliés ukrainiens.
L’Ukraine avertit des cyberattaques GRU imminentes
L’avertissement affirme que le coup sera destiné aux entreprises du secteur de l’énergie. Il est intéressant de noter que l’avertissement continue d’indiquer qu’ils rappelleront fortement les attaques contre les systèmes énergétiques ukrainiens en 2015 et 2016 , lorsque des pirates informatiques opérant sous les auspices de la GRU (bras de renseignement militaire) russe se seraient engagés dans deux vagues d’attaques, chacune tirant parti d’un logiciel malveillant hautement capable.
Le récent conseil fait suite à plusieurs avancées militaires ukrainiennes, ce qui a entraîné la récupération de vastes étendues de villes qui étaient sous le contrôle russe depuis des mois. Les chercheurs soulignent également le projet récent de la Russie (un appel à la mobilisation de 300 000 citoyens russes supplémentaires pour soutenir le conflit du pays avec l’Ukraine) comme catalyseur possible de la dépendance accrue de la Russie à la cyberactivité offensive pour atteindre des objectifs militaires, évitant ainsi de mettre une pression supplémentaire sur une pénurie continue de personnel militaire.
Les chercheurs examinent les cyberattaques précédentes sur l’infrastructure ukrainienne
Les chercheurs sont divisés lorsqu’il s’agit d’évaluer les probabilités d’une campagne de piratage réussie contre le réseau électrique ukrainien en 2022. Les unités de cyberdéfense de l’Ukraine semblent être devenues plus aptes à détecter et à prévenir les activités malveillantes au sein des réseaux appartenant aux organisations qui comprennent l’infrastructure critique du pays (la détection par l’Ukraine de CERT-UA des logiciels malveillants de l’industrie dans l’environnement d’une entreprise énergétique régionale vous vient à l’esprit).
Ensuite, encore une fois, des rapports suggèrent les attaques de 2015, 2016, et des incidents plus récents ont été attribués au groupe russe de menaces persistantes avancées (APT) Sandworm, soutenu par l’État, et une chose sur laquelle les chercheurs peuvent s’entendre est que Sandworm est considéré comme l’un des groupes de piratage parrainés par l’État les plus d’élite au monde.
En outre, si l’on pense que les rapports récents de Mandiant et des données similaires d’autres sociétés de cyberveille, les menaces persistantes avancées sur la paie du Kremlin ne sont pas les seules menaces immédiates auxquelles l’Ukraine est confrontée. Les cyberhacktivistes ayant des liens présumés avec la GRU russe ont également fait la une des journaux récemment pour leurs attaques de déni de service distribué (DDoS) et de dégradation contre les sites Web ukrainiens (les experts pensent qu’ils constituent un front pour les opérations d’information et les cyberactivités destructrices coordonnées par le Kremlin).
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« L’Ukraine, à la surprise d’une grande partie du monde, a jusqu’à présent maintenu une forte résistance face aux incursions militaires cinétiques russes. Cependant, il reste à voir si les forces de cyberdéfense ukrainiennes seront en mesure de maintenir une résistance tout aussi robuste à certains des pirates les plus redoutés au monde. »
« Certes, le niveau et la fréquence des cyberattaques observées entre les combattants impliqués dans ce conflit continu ne ressemblent à rien que le monde ait jamais vu. Les tactiques, techniques et procédures (TTP) exposées pendant cette période d’instabilité travailleront inévitablement en dehors du théâtre des opérations et de son cyber-espace de bataille, prouvant une fois de plus que rien ne se passe dans le vide, et que ce conflit, quelle que soit la distance, finira par nous toucher tous. »
« La seule question à poser est la suivante : qu’apprendrons-nous de tout cela et comment l’utiliserons-nous ? »
3. Des chercheurs découvrent une campagne d’attaque secrète ciblant les entrepreneurs militaires
Un rapport récent de Securonix Threat Labs analyse une nouvelle campagne ciblant plusieurs entrepreneurs militaires impliqués dans la fabrication d’armes, y compris une organisation responsable de la fabrication et de la fourniture de composants d’avions de chasse F-35 Lightning II.
La campagne commence, comme beaucoup le font souvent, par un e-mail d’hameçonnage adressé aux employés, ce qui entraîne une infection en plusieurs étapes ; l’activité se distingue par son infrastructure C2 sécurisée et plusieurs couches d’obscurcissement aux étapes PowerShell des attaques.
Selon Securonix, le spear phishing était le principal moyen de compromission initiale. L’attaque elle-même a été menée à partir de la fin de l’été 2022 et a ciblé au moins deux organisations de premier plan agissant actuellement en tant que sous-traitants militaires.
La campagne exploite un script malveillant qui tente de mettre en œuvre plusieurs méthodes de persistance, y compris l’intégration dans le registre, l’insertion en tant que tâche planifiée sur l’hôte affecté et l’exploitation de WMI pour créer un nouvel abonnement afin d’exécuter un code malveillant comme arguments de ligne de commande.
Commentaires d’analystes de l’équipe de renseignement sur les cybermenaces de Tanium
« Bien que les tactiques globales exploitées dans cette campagne soient bien connues des chercheurs en sécurité, l’acteur de menace derrière cette campagne semble avoir déployé beaucoup d’efforts pour établir des techniques anti-analyse solides et des mesures contre-légales. Dans un mouvement largement considéré comme non caractéristique des cybercriminels derrière la plupart des campagnes d’hameçonnage suivies d’une activité post-exploitation en plusieurs étapes, cet acteur malveillant semble s’être efforcé de maintenir un degré significatif de sécurité opérationnelle (OPSEC) tout au long du cycle d’attaque, plutôt que de concentrer tous ses efforts sur l’ajout de complexité technique aux phases post-exploitation de l’opération, garantissant ainsi que les logiciels malveillants de la campagne sont plus difficiles à détecter et à analyser. »
Pour en savoir plus, consultez nos récents résumés sur les cybermenaces.
