Dans le rapport de cette semaine, nous vous présentons une vue d'ensemble d'une campagne récente attribuée au célèbre acteur malveillant russe APT28 (également connu sous le nom de Fancy Bear), qui utiliserait, selon certaines sources, une nouvelle technique d'exécution de code nécessitant une intervention humaine minimale pour lancer ses attaques.
Nous vous présentons ci-après une note d'analyse stratégique concernant la récente mise en garde de l'Ukraine selon laquelle la Russie prévoit une nouvelle vague d'attaques contre les infrastructures critiques du pays.
Enfin, nous nous penchons en détail sur une nouvelle campagne visant plusieurs sous-traitants militaires impliqués dans la fabrication d'armes, notamment un fournisseur chargé de la fabrication de composants pour les avions de chasse F-35 Lightning II.
1. Les pirates informatiques utilisent des fichiers PowerPoint pour diffuser des logiciels malveillants par « survol de la souris »
Cluster25 a identifié une technique d'exécution de code quelque peu novatrice et rare (s'ouvre dans un nouvel onglet) qui exploite les mouvements de souris des victimes dans Microsoft PowerPoint pour déclencher un script PowerShell malveillant. Les chercheurs estiment que cette campagne est spécifiquement liée à l'acteur malveillant APT28, soutenu par l'État russe, également connu sous le nom de Fancy Bear.
Le fichier leurre identifié dans le cadre de cette campagne est un fichier PowerPoint qui exploite une technique d'exécution de code intéressante. Il est conçu pour se déclencher lorsque l'utilisateur passe en mode présentation dans PowerPoint et déplace la souris.
Un rapport de la société de renseignement sur les menaces Cluster25 indique que le groupe APT28 (également connu sous le nom de « Fancy Bear »), attribué au GRU russe, a utilisé des fichiers PowerPoint pour diffuser des logiciels malveillants par « survol de la souris » https://t.co/5BEf2PM6S2 @BleepinComputer
— 780e Brigade du renseignement militaire (Cyber) (@780thC) 27 septembre 2022
L'appât PowerPoint
Le fichier PowerPoint en question contient deux diapositives, dont chacune présente le même contenu. Cependant, la première diapositive est rédigée en anglais et la deuxième en français.
À première vue, ce document semble être lié à l'Organisation de coopération et de développement économiques (OCDE), une organisation intergouvernementale qui œuvre à la promotion du progrès économique et des échanges commerciaux à l'échelle mondiale. Les diapositives elles-mêmes fournissent aux destinataires des instructions concernant l'utilisation d'une option d'interprétation intégrée à l'application de visioconférence Zoom.
Cette faille de sécurité dans PowerPoint exploite une technique unique d'exécution de code déclenchée par l'utilisation de liens hypertextes, contrairement à la méthode plus traditionnelle consistant à exécuter un programme ou une macro (ce qui pourrait s'expliquer par la récente décision de Microsoft de désactiver par défaut certaines macros dans ses produits Office). Le code malveillant s'active dès la moindre interaction de l'utilisateur — plus précisément lorsque celui-ci déplace son curseur en mode présentation.
Le code exécute un script PowerShell via l'utilitaire SyncAppvPublishingServer, puis télécharge et exécute un fichier JPEG à partir d'OneDrive.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Il n’est certes pas rare que des acteurs malveillants diffusent des logiciels malveillants via des fichiers Office, même si, dans la plupart des cas, ce sont les documents Excel et Word qui semblent être privilégiés par rapport aux fichiers PowerPoint. »
« À l’instar de nombreuses campagnes de hameçonnage de type « » observées ces derniers mois par , cette attaque évite d’utiliser des macros malveillantes et recourt plutôt à un événement « mouseover » astucieux, déclenché par l’utilisateur, qui permet l’exécution du code malveillant — sans que l’utilisateur ait même besoin de cliquer physiquement sur le lien. » « Bien que cette technique ne soit pas nouvelle, elle est assurément rare et digne d'intérêt, et mérite qu'on la suive de près. »
« L'effort herculéen qu'il faut souvent déployer pour apprendre aux employés à ne pas cliquer sur des liens qui semblent suspects est une chose, mais la complexité atteint un tout autre niveau lorsque le simple fait de passer la souris sur un lien peut déclencher une activité malveillante importante. » « La révision des programmes de sensibilisation et de formation à la lutte contre le phishing et l’ingénierie sociale ( ) afin de tenir compte de ce risque s’avère particulièrement ardue, car la technique consistant à passer la souris sur le lien est souvent l’une des principales mesures de défense enseignées aux employés pour leur permettre de mieux vérifier la légitimité d’un message lorsqu’ils sont confrontés à des e-mails potentiellement malveillants. »
2. La Russie prévoit des « cyberattaques de grande envergure » contre des infrastructures critiques, met en garde l'Ukraine
Une alerte récente de l’ , publiée par le ministère ukrainien de la Défense (s’ouvre dans un nouvel onglet) , met en garde contre le fait que des acteurs malveillants soutenus par l’État russe prévoient de mener des cyberattaques de grande envergure visant à la fois les infrastructures critiques des entreprises ukrainiennes et celles des alliés de l’Ukraine.
L'Ukraine met en garde contre des cyberattaques imminentes du GRU
Selon cet avertissement, cette mesure viserait les entreprises du secteur de l'énergie. Il est intéressant de noter que l’avertissement précise ensuite que ces attaques rappelleront fortement celles menées contre les réseaux énergétiques ukrainiens en 2015 et 2016 , lorsque des pirates informatiques agissant sous l’égide du GRU (service de renseignement militaire russe) auraient lancé deux vagues d’attaques, chacune utilisant un logiciel malveillant particulièrement sophistiqué.
Cette récente mise en garde fait suite à plusieurs avancées militaires ukrainiennes qui ont permis de reprendre de vastes portions de villes qui étaient sous contrôle russe depuis des mois. Les chercheurs soulignent également que la récente conscription en Russie (un appel à la mobilisation de 300 000 citoyens russes supplémentaires pour soutenir le conflit opposant le pays à l’Ukraine) pourrait constituer un catalyseur du recours accru de la Russie à des cyberactions offensives pour atteindre ses objectifs militaires, évitant ainsi d’aggraver la pénurie actuelle de personnel militaire.
Les chercheurs se penchent sur les cyberattaques antérieures visant les infrastructures ukrainiennes
Les chercheurs sont divisés quant à leur évaluation des chances de réussite d'une campagne de piratage menée contre le réseau électrique ukrainien en 2022. Les unités de cyberdéfense ukrainiennes semblent avoir gagné en efficacité pour détecter et prévenir les activités malveillantes au sein des réseaux appartenant aux organisations qui constituent les infrastructures critiques du pays (on peut notamment citer la détection par le CERT-UA ukrainien du logiciel malveillant Industroyer (s'ouvre dans un nouvel onglet) au sein de l'environnement d'une entreprise régionale du secteur de l'énergie).
D'un autre côté, selon certaines informations, les attaques 2015, 2016 et d'autres incidents plus récents auraient été attribués au groupe russe « Sandworm », une menace persistante avancée (APT) soutenue par l'État russe – et les chercheurs s'accordent à dire que Sandworm est considéré comme l'un des groupes de pirates informatiques soutenus par un État les plus performants au monde.
Par ailleurs, si l’on en croit les récents rapports publiés par Mandiant (s’ouvre dans un nouvel onglet) ainsi que des données similaires provenant d’autres cabinets spécialisés dans le renseignement sur les cybermenaces, les attaques APT menées pour le compte du Kremlin ne constituent pas les seules menaces immédiates auxquelles l’Ukraine est confrontée. Des cyber-hacktivistes qui auraient des liens avec le GRU russe ont également fait la une ces derniers temps (s'ouvre dans un nouvel onglet) en raison de leurs attaques par déni de service distribué (DDoS) et de leurs attaques de défacement contre des sites web ukrainiens (les experts estiment qu'ils servent de façade à des opérations d'information et à des cyberactivités destructrices coordonnées par le Kremlin).
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« L’Ukraine — à la grande surprise d’une grande partie du monde — a jusqu’à présent opposé une forte résistance face aux incursions militaires russes. » « Il reste toutefois à voir si les forces de cyberdéfense ukrainiennes seront en mesure de maintenir une résistance tout aussi solide face à certains des pirates informatiques les plus redoutés au monde. »
« Il est certain que l'ampleur et la fréquence des cyberattaques observées entre les belligérants impliqués dans ce conflit en cours sont sans précédent dans l'histoire. » « Les tactiques, techniques et procédures (TTP) mises en évidence tout au long de cette période d’instabilité finiront inévitablement par déborder du théâtre d’opérations et de son espace de combat cybernétique, prouvant une fois de plus que rien ne se passe en vase clos et que tout conflit — aussi lointain soit-il — finira par nous toucher tous. »
« La seule question qui reste à se poser est la suivante : que tirerons-nous de tout cela, et comment en tirerons-nous parti ? »
3. Des chercheurs ont mis au jour une campagne d'attaques clandestines visant des sous-traitants du secteur militaire
Un rapport récent publié par Securonix Threat Labs analyse une nouvelle campagne menée par visant plusieurs sous-traitants du secteur militaire (s'ouvre dans un nouvel onglet) impliqués dans la fabrication d'armes, notamment une organisation chargée de la fabrication et de la fourniture de composants pour les avions de chasse F-35 Lightning II.
La campagne débute – comme c'est souvent le cas – par un e-mail de hameçonnage adressé aux employés, qui débouche sur une infection en plusieurs étapes ; cette opération se distingue par son infrastructure « Secure C2 » et ses multiples couches de dissimulation au cours des étapes PowerShell des attaques.
Selon Securonix, le spear phishing a constitué le principal moyen utilisé pour la compromission initiale. L'attaque proprement dite a été lancée à la fin de l'été 2022 et visait au moins deux organisations de premier plan exerçant actuellement des activités de sous-traitance militaire.
Cette campagne exploite un script malveillant qui tente de mettre en œuvre plusieurs méthodes de persistance, notamment en s'intégrant dans le registre, en s'insérant sous forme de tâche planifiée sur l'hôte affecté et en utilisant WMI pour créer un nouvel abonnement afin d'exécuter du code malveillant sous forme d'arguments de ligne de commande.
Commentaires des analystes de l'équipe « Cyber Threat Intelligence » de Tanium
« Bien que les tactiques générales utilisées dans le cadre de cette campagne soient bien connues des chercheurs en sécurité, l'acteur malveillant à l'origine de celle-ci semble avoir déployé beaucoup d'efforts pour mettre en place des techniques anti-analyse et des mesures anti-investigation solides. » « Dans une démarche largement considérée comme inhabituelle de la part des cybercriminels à l’origine de la plupart des campagnes de hameçonnage suivies d’activités de post-exploitation en plusieurs étapes, cet acteur malveillant semble s’être efforcé de maintenir un niveau élevé de sécurité opérationnelle (OPSEC) tout au long du cycle d’attaque, plutôt que de concentrer tous ses efforts sur le renforcement de la complexité technique des phases de post-exploitation de l’opération, garantissant ainsi que le logiciel malveillant de la campagne soit plus difficile à détecter et à analyser. »
Pour en savoir plus, consultez nos dernières synthèses d' s sur les cybermenaces publiées par .
