Résumé de plongée:

• L’acteur de la menace liée à la Russie responsable de l’attaque SolarWinds est à l’origine d’une série d’attaques, tirant parti de Google Drive et d’autres systèmes de stockage basés sur le cloud pour attaquer plusieurs missions diplomatiques occidentales. recherche de l’unité 42 du réseau Palo Alto publié mardi montre.
• Les campagnes de mai et juin 2022 ont ciblé les ambassades étrangères au Brésil et au Portugal en utilisant des documents de phishing avec un lien vers un fichier HTML malveillant, appelé EnvyScout, qui a servi de compte-gouttes pour d’autres charges utiles malveillantes, y compris Cobalt Strike.
• Chercheurs au Cluster25 a lié l’acteur de la menace, connu sous le nom d’APT29, Nobelium ou Cozy Bear, à des campagnes utilisant Dropbox comme vecteur de communication pour le commandement et le contrôle. Auparavant Chercheurs de Mandiant divulgué des informations sur des campagnes similaires à l’aide de l’application Trello d’Atlassian.

Aperçu de la plongée:

Ce qui ressort de cette campagne particulière, c’est la façon dont l’acteur de la menace, que les chercheurs de l’Unité 42 appellent Cloaked Ursa, continue d’innover et de trouver de nouvelles façons d’échapper à la détection.

« L’utilisation de Google Drive et Dropbox est un moyen peu coûteux de tirer parti d’applications fiables », ont déclaré des chercheurs de l’Unité 42 par l’intermédiaire d’un porte-parole. « Cela signifie que vous pouvez facilement obtenir des comptes Google gratuitement et les utiliser pour collecter des informations et héberger des logiciels malveillants. »

Les chercheurs ont déclaré que les données collectées au cours de ces campagnes comprenaient des noms de machines, des noms d’utilisateur et une liste de processus en cours d’exécution.

Google TAG suit de près l’activité d’APT 29 et échange régulièrement des informations avec d’autres chercheurs en renseignement sur les menaces, y compris Palo Alto Networks, selon Shane Huntley, directeur principal de Google TAG.

« Dans ce cas, nous étions au courant de l’activité identifiée dans le rapport et avions déjà pris des mesures proactives pour protéger toute cible potentielle », a déclaré Huntley dans un communiqué.

Dropbox a déclaré avoir travaillé avec les chercheurs et avec des partenaires de l’industrie sur la situation et a immédiatement désactivé les comptes d’utilisateurs.

« Si nous détectons un utilisateur qui enfreint nos conditions d’utilisation, nous prenons les mesures appropriées, qui peuvent inclure la suspension ou la désactivation des comptes d’utilisateurs », a déclaré un porte-parole par courrier électronique.