Une campagne de cyberespionnage liée à la Russie a visé un constructeur naval, un fabricant de moteurs d'avions militaires et une agence de police dans deux pays de l'OTAN non nommés, selon les conclusions de Symantec rapportées par The Record.
Symantec attribue l'activité à APT28, aussi connu sous les noms de Fancy Bear, BlueDelta et Forest Blizzard. Le groupe a été relié au service de renseignement militaire russe, le GRU, même si, dans ce cas, l'attribution reste une évaluation de Symantec.
L'opération a duré au moins deux mois, à partir d'une première infection confirmée le 24 juillet. Des activités malveillantes liées étaient encore détectées le 24 septembre. Selon l'analyste de Symantec Dick O'Brien, l'activité de septembre, qui faisait suite à des recherches distinctes publiées en août, indiquait que la campagne se poursuivait.
Cette période à l'échelle de la campagne ne signifie pas que les attaquants ont maintenu un accès ininterrompu à chaque victime. Les chercheurs n'ont pas pu établir un accès continu sur toute la période, tandis que O'Brien affirme que les intrus sont restés dans certains réseaux pendant quelques semaines.
Une pièce jointe Word ouvre la voie vers un constructeur naval
Dans le cas du constructeur naval, un employé a ouvert un document Word malveillant reçu en pièce jointe d'un courriel, en juillet. Après avoir obtenu l'accès, les attaquants ont étudié le réseau interne de l'organisation et tenté de récupérer des identifiants de connexion.
Les outils initiaux comprenaient Hookedge, une porte dérobée capable d'établir un accès, de collecter des informations sur un réseau et de voler des identifiants. Selon le rapport, le groupe Insikt de Recorded Future a documenté Hookedge pour la première fois en août.
Pendant la semaine suivant l'ouverture du document, les attaquants sont revenus à plusieurs reprises sur un ordinateur compromis. Ils ont également installé un outil jusqu'alors non documenté, qui déchiffre du code malveillant et l'exécute directement en mémoire. Les chercheurs n'ont pas déterminé la finalité exacte de cet outil.
La présence d'un composant en mémoire complique la détection, car les preuves pertinentes peuvent ne pas se limiter aux fichiers classiques stockés sur le disque. La télémétrie des courriels, des postes de travail, de l'authentification et du réseau peut donc être importante pour reconstituer l'activité après l'ouverture d'un document suspect.
Le vol de données sensibles reste non confirmé
Les chercheurs n'ont pas pu déterminer si les attaquants ont réussi à extraire des informations sensibles des environnements touchés.
O'Brien estime que le renseignement lié à la défense constituait probablement un objectif, compte tenu des organisations ciblées. Il indique également qu'un accès de plusieurs semaines a pu offrir des occasions de obtenir des données. Aucun de ces deux éléments ne confirme toutefois que des informations ont effectivement été exfiltrées.
L'identité des organisations et celle des deux pays de l'OTAN n'ont pas été divulguées. Symantec interprète la combinaison de cibles issues de l'industrie de défense et d'institutions publiques comme faisant partie d'un effort plus large de collecte de renseignements russe visant des institutions européennes.
Priorités défensives pour les organisations potentiellement exposées
L'activité n'a pas été présentée comme l'exploitation d'une vulnérabilité logicielle identifiée. La réponse immédiate ne repose donc pas sur un correctif précis. Les organisations des secteurs de la défense, de l'aérospatiale et de la police en Europe doivent plutôt vérifier si des employés ont reçu ou ouvert des pièces jointes Word inattendues, et corréler ces événements avec les accès ultérieurs aux identifiants, la découverte du réseau et l'activité répétée sur l'ordinateur du destinataire.
Les systèmes présentant des signes compatibles avec une compromission doivent être isolés le temps que les enquêteurs déterminent l'étendue de l'accès. Les identifiants accessibles depuis ces systèmes doivent être considérés comme potentiellement exposés et renouvelés selon le processus de réponse aux incidents de l'organisation. Les équipes de défense doivent aussi examiner les preuves en mémoire, sur les postes de travail et sur le réseau, et ne pas se fier uniquement à l'analyse des fichiers laissés sur le disque.
La dernière activité signalée a été détectée le 24 septembre, ce qui rend les vérifications rétrospectives particulièrement pertinentes pour les organisations qui ont pu recevoir des courriels suspects contenant des documents pendant la période commençant en juillet.
