L’acteur menaçant lié à la Russie, connu sous le nom d’APT29, a ciblé les missions diplomatiques européennes et les ministères des Affaires étrangères dans le cadre d’une série de campagnes de harponnage lancées en octobre et novembre 2021.
Selon ESET Rapport sur les menaces T3 2021 partagées avec The Hacker News, les intrusions ont ouvert la voie au déploiement de Cobalt Strike Beacon sur des systèmes compromis, puis ont tiré parti de la prise de pied pour supprimer des logiciels malveillants supplémentaires afin de collecter des informations sur les hôtes et les autres machines du même réseau.
Également suivi sous les noms de The Dukes, Cozy Bear et Nobelium, le groupe de menaces persistantes avancées est un groupe de cyber-espionnage infâme qui est actif depuis plus d’une décennie, avec ses attaques ciblant l’Europe et les États-Unis, avant d’attirer l’attention généralisée. pour la compromission de la chaîne d’approvisionnement de SolarWinds, entraînant de nouvelles infections dans plusieurs entités en aval, y compris des agences gouvernementales américaines en 2020.
Les attaques de harponnage ont commencé par un e-mail d’hameçonnage sur le thème de la COVID-19 se faisant passer pour le ministère iranien des Affaires étrangères et contenant une pièce jointe HTML qui, une fois ouverte, invite les destinataires à ouvrir ou à enregistrer ce qui semble être un fichier d’image disque ISO ( » Covid.iso »).
Si la victime choisit d’ouvrir ou de télécharger le fichier, « un petit morceau de JavaScript décode le fichier ISO, qui est intégré directement dans la pièce jointe HTML ». Le fichier image disque, à son tour, inclut une application HTML exécutée à l’aide de mshta.exe pour exécuter un morceau de code PowerShell qui charge finalement le Cobalt Strike Beacon sur le système infecté.
ESET a également caractérisé la dépendance d’APT29 aux images de disque HTML et ISO (ou fichiers VHDX) comme une technique d’évasion orchestrée spécifiquement pour échapper à Mark of the Web (MOTW), une fonctionnalité de sécurité introduite par Microsoft pour déterminer l’origine d’un fichier.
« Une image disque ISO ne propage pas la soi-disant marque du Web aux fichiers à l’intérieur de l’image disque », ont déclaré les chercheurs. « Ainsi, et même si l’ISO était téléchargée sur Internet, aucun avertissement ne serait affiché à la victime lors de l’ouverture du HTA. »
Après avoir réussi à obtenir l’accès initial, l’auteur de la menace a fourni une variété d’outils prêts à l’emploi pour interroger l’Active Directory de la cible (AdFind), exécuter des commandes sur une machine distante à l’aide du protocole SMB (Sharp-SMBExec), effectuer des reconnaissances (SharpView), et même un exploit pour une faille d’élévation de privilèges Windows (CVE-2021-36934) pour mener des attaques ultérieures.
« Ces derniers mois ont montré que les Dukes sont une menace sérieuse pour les organisations occidentales, en particulier dans le secteur diplomatique », ont noté les chercheurs. « Ils sont très persistants, ont une bonne sécurité opérationnelle et savent comment créer des messages de phishing convaincants. »
