Amazon perturbe les pirates russes APT29 ciblant Microsoft 365
infohightech ·
Des chercheurs ont démantelé une opération attribuée au groupe de menaces parrainé par l'État russe Midnight Blizzard, qui cherchait à accéder aux comptes et aux données de Microsoft 365.
Également connu sous le nom d'APT29, le groupe de pirates informatiques a compromis des sites Web dans le cadre d'une campagne de type « point d'eau » (water hole: Une attaque de point d'eau est une technique de cyberattaque qui consiste à piéger un site Internet légitime afin d’infecter les machines des visiteurs du domaine considéré comme la cible par l’attaquant) visant à rediriger des cibles sélectionnées « vers une infrastructure malveillante conçue pour inciter les utilisateurs à autoriser les appareils contrôlés par les attaquants via le flux d'authentification du code de l'appareil de Microsoft ».
L'acteur de la menace Midnight Blizzard a été lié au service de renseignement extérieur russe (SVR) et est bien connu pour ses méthodes de phishing intelligentes qui ont récemment eu un impact sur les ambassades européennes , Hewlett Packard Enterprise et TeamViewer .
Sélection aléatoire de cibles
L'équipe de renseignement sur les menaces d'Amazon a découvert les noms de domaine utilisés dans la campagne de points d'eau après avoir créé une analyse pour l'infrastructure d'APT29.
Une enquête a révélé que les pirates avaient compromis plusieurs sites Web légitimes et obscurci du code malveillant à l'aide du codage base64.
En utilisant la randomisation, APT29 a redirigé environ 10 % des visiteurs du site Web compromis vers des domaines qui imitent les pages de vérification Cloudflare, comme findcloudflare[.]com ou cloudflare[.]redirectpartners[.]com .
JavaScript malveillant qui redirige vers des domaines contrôlés par l'attaquant. Source : Amazon
Comme l'explique Amazon dans un rapport sur l'action récente, les acteurs de la menace ont utilisé un système basé sur des cookies pour empêcher le même utilisateur d'être redirigé plusieurs fois, réduisant ainsi les soupçons.
Les victimes qui ont atterri sur les fausses pages Cloudflare ont été guidées vers un flux d'authentification de code d'appareil Microsoft malveillant, dans le but de les inciter à autoriser les appareils contrôlés par l'attaquant.
Fausse page de vérification Cloudflare. Source : Amazon
Amazon note qu'une fois la campagne découverte, ses chercheurs ont isolé les instances EC2 utilisées par l'acteur de la menace, en partenariat avec Cloudflare et Microsoft pour perturber les domaines identifiés.
Les chercheurs ont observé qu'APT29 a essayé de déplacer son infrastructure vers un autre fournisseur de cloud et a enregistré de nouveaux noms de domaine (par exemple cloudflare[.]redirectpartners[.]com ).
CJ Moses, responsable de la sécurité des informations d'Amazon, a déclaré que les chercheurs ont continué à suivre les mouvements de l'acteur de la menace et ont perturbé l'effort.
Amazon souligne que cette dernière campagne reflète une évolution pour APT29 dans le même but de collecter des informations d'identification et des renseignements.
Cependant, il existe des « améliorations à leur approche technique », qui ne reposent plus sur des domaines qui se font passer pour AWS ou sur des tentatives d'ingénierie sociale visant à contourner l'authentification multifacteur (MFA) en incitant les cibles à créer des mots de passe spécifiques à l'application .
Il est recommandé aux utilisateurs de vérifier les demandes d’autorisation des appareils, d’activer l’authentification multifacteur (MFA) et d’éviter d’exécuter des commandes sur leur système qui sont copiées à partir de pages Web.
Les administrateurs doivent envisager de désactiver les failles d’autorisation d’appareil inutiles lorsque cela est possible, d’appliquer des politiques d’accès conditionnel et de surveiller de près les événements d’authentification suspects.
Amazon a souligné que cette campagne APT29 n'a pas compromis son infrastructure ni eu d'impact sur ses services.