L'APT russe « Winter Vivern » cible les gouvernements et les militaires européens

Republié par Platon

Suiveurs: 0

L'APT russe « Winter Vivern » cible les gouvernements européens et le renseignement militaire sur les données PlatoBlockchain. Recherche verticale. Aï.

Le groupe menaçant aligné sur la Russie, connu sous le nom de Wyverne d'hiver a été découvert en octobre en exploitant des vulnérabilités de script intersite (XSS) dans les serveurs de messagerie Web Roundcube à travers l'Europe – et ses victimes sont désormais révélées.

Le groupe a principalement ciblé les infrastructures gouvernementales, militaires et nationales en Géorgie, en Pologne et en Ukraine, selon le rapport du groupe Insikt de Recorded Future sur la campagne publié aujourd'hui.

Le rapport met également en évidence d’autres cibles, notamment l’ambassade d’Iran à Moscou, l’ambassade d’Iran aux Pays-Bas et l’ambassade de Géorgie en Suède.

Utilisant des techniques sophistiquées d'ingénierie sociale, l'APT (que Insikt appelle TAG-70 et également connu sous les noms de TA473 et UAC-0114) a utilisé un Exploit Zero Day de Roundcube pour obtenir un accès non autorisé à des serveurs de messagerie ciblés dans au moins 80 organisations distinctes, allant des secteurs des transports et de l'éducation aux organisations de recherche chimique et biologique.

On pense que la campagne a été déployée pour recueillir des renseignements sur les affaires politiques et militaires européennes, potentiellement pour obtenir des avantages stratégiques ou saper la sécurité et les alliances européennes, selon Insikt.

Le groupe est soupçonné de mener des campagnes de cyberespionnage au service des intérêts de la Biélorussie et de la Russie et est actif depuis au moins décembre 2020.

Les motivations géopolitiques de Winter Vivern pour le cyberespionnage

La campagne d'octobre était liée à l'activité précédente de TAG-70 contre les serveurs de messagerie du gouvernement ouzbek, rapportée par Insikt Group en février 2023.

L’une des motivations évidentes du ciblage ukrainien est le conflit avec la Russie.

« Dans le contexte de la guerre en cours en Ukraine, les serveurs de courrier électronique compromis peuvent révéler des informations sensibles concernant l'effort de guerre et la planification de l'Ukraine, ses relations et ses négociations avec ses pays partenaires alors qu'elle recherche une assistance militaire et économique supplémentaire, [ce qui] expose des tiers coopérants. avec le gouvernement ukrainien en privé et révéler des fissures au sein de la coalition soutenant l’Ukraine », note le rapport Insikt.

Dans le même temps, l'accent mis sur les ambassades iraniennes en Russie et aux Pays-Bas pourrait être lié à une volonté d'évaluer les engagements diplomatiques et les positions de politique étrangère de l'Iran, en particulier compte tenu de l'implication de l'Iran dans le soutien de la Russie dans le conflit en Ukraine.

De même, l'espionnage ciblant l'ambassade géorgienne en Suède et le ministère géorgien de la Défense découle probablement d'objectifs de politique étrangère comparables, d'autant plus que la Géorgie a redynamisé sa quête d'adhésion à l'Union européenne et à l'OTAN à la suite de l'incursion de la Russie en Ukraine au début. 2022.

Parmi les autres cibles notables figuraient des organisations impliquées dans les secteurs de la logistique et du transport, ce qui est révélateur dans le contexte de la guerre en Ukraine, car des réseaux logistiques robustes se sont révélés cruciaux pour les deux parties afin de maintenir leur capacité de combat.

La défense contre le cyberespionnage est difficile

Les campagnes de cyberespionnage se sont intensifiées : plus tôt ce mois-ci, un APT russe sophistiqué lancé une campagne d'attaque PowerShell ciblée contre l'armée ukrainienne, tandis qu'une autre APT russe, Turla, ciblait des ONG polonaises à l'aide d'un nouveau malware de porte dérobée.

L'Ukraine a également a lancé ses propres cyberattaques contre la Russie, ciblant les serveurs du fournisseur d'accès Internet moscovite M9 Telecom en janvier, en représailles à la violation de l'opérateur de téléphonie mobile Kyivstar, soutenue par la Russie.

Mais le rapport du groupe Insikt souligne qu'il peut être difficile de se défendre contre de telles attaques, en particulier dans le cas de l'exploitation d'une vulnérabilité Zero Day.

Toutefois, les organisations peuvent atténuer l’impact d’une compromission en chiffrant les e-mails et en envisageant d’autres formes de communications sécurisées pour la transmission d’informations particulièrement sensibles.

Il est également crucial de s'assurer que tous les serveurs et logiciels sont corrigés et tenus à jour, et que les utilisateurs ne doivent ouvrir que les e-mails provenant de contacts de confiance.

Les organisations doivent également limiter la quantité d'informations sensibles stockées sur les serveurs de messagerie en pratiquant une bonne hygiène et en réduisant la conservation des données, et limiter les informations et conversations sensibles à des systèmes haut de gamme plus sécurisés lorsque cela est possible.

Le rapport note également que la divulgation responsable des vulnérabilités, en particulier celles exploitées par les acteurs APT tels que TAG-70, est cruciale pour plusieurs raisons.

Un analyste du renseignement sur les menaces du groupe Insikt de Recorded Future a expliqué par courrier électronique que cette approche garantit que les vulnérabilités sont corrigées et corrigées rapidement avant que d'autres ne les découvrent et en abusent, et permet de contenir les exploits par des attaquants sophistiqués, empêchant ainsi des dommages plus larges et plus rapides.

"En fin de compte, cette approche répond aux risques immédiats et encourage des améliorations à long terme des pratiques mondiales de cybersécurité", a expliqué l'analyste.