Le groupe APT28 est accusé d'attaques contre deux pays de l'OTAN, avec la porte dérobée HOOKEDGE et un nouveau chargeur.

Le groupe APT28 est de nouveau au centre de l’actualité. En effet, cet acteur étatique lié à la Russie est accusé d’avoir visé deux États membres de l’OTAN. Selon les éléments publiés, l’une des victimes est un constructeur naval militaire installé dans un pays de l’Alliance. Par ailleurs, les attaquants auraient utilisé un chargeur réflectif inédit.

Le groupe APT28 frappe deux pays de l’OTAN

APT28 est un nom bien connu des analystes. Toutefois, d’autres éditeurs le désignent sous les appellations BlueDelta, Fancy Bear ou Forest Blizzard. Ces noms renvoient au même ensemble d’activités malveillantes. Ces activités sont attribuées à la Russie.

Cette fois, les attaques concernent deux membres de l’OTAN. Les informations disponibles ne détaillent pas tous les pays touchés. En revanche, elles confirment qu’un chantier naval fournissant des équipements militaires figure parmi les cibles.

L’événement mérite l’attention, car il touche un maillon sensible de la chaîne de défense. En effet, un constructeur naval conçoit et fabrique des navires pour des forces armées. Il détient donc des données précieuses pour un service de renseignement.

Swallowtail, HOOKEDGE et chargeur réflectif

L’équipe Threat Hunter de Symantec suit cette campagne sous le nom de Swallowtail. Ce nom désigne le groupe d’activités observé. Il ne désigne pas un nouveau malware. Ainsi, les chercheurs peuvent regrouper les attaques liées entre elles.

Les intrusions s’appuient sur une porte dérobée baptisée HOOKEDGE. Une porte dérobée offre un accès discret à une machine compromise. L’opérateur peut ainsi y revenir, lancer des commandes et préparer d’autres étapes.

Les attaquants ont également déployé un nouveau chargeur réflectif. Ce type d’outil charge du code directement en mémoire. Autrement dit, il évite d’écrire un fichier exécutable classique sur le disque. Par conséquent, certaines solutions de détection reposant sur l’analyse de fichiers le repèrent plus difficilement.

Cette méthode n’a rien d’exceptionnel en soi. Toutefois, l’emploi d’un chargeur nouveau montre que le groupe continue de renouveler son arsenal. Il cherche ainsi à contourner les défenses déjà en place.

Pourquoi le groupe APT28 vise les industriels de la défense

Les chantiers navals travaillent avec des ministères et des armées. Ils manipulent des plans techniques, des échanges contractuels et des informations logistiques. Ces données ont donc une forte valeur stratégique.

De plus, ces entreprises collaborent avec de nombreux sous-traitants. Chaque partenaire peut devenir un point d’entrée ou une source d’informations. C’est pourquoi les industriels de la défense restent des cibles privilégiées pour les groupes étatiques.

Il faut rester prudent sur l’ampleur réelle de la compromission. En effet, les éléments publics ne précisent pas, à ce stade, quelles données ont été consultées ou extraites. Il est donc impossible de mesurer l’impact exact sur l’entreprise visée.

Néanmoins, le cas rappelle un point essentiel. Un acteur patient et bien doté peut s’installer durablement dans un réseau. Ensuite, il peut y rester discret tout en collectant des informations.

Recommandations pour les organisations sensibles

Les équipes de sécurité des secteurs de la défense et de l’industrie peuvent agir dès maintenant. Voici quelques priorités générales, adaptées à ce type de menace :

• Surveiller la mémoire des systèmes grâce à des outils de détection et de réponse sur les postes (EDR), capables de repérer un code chargé sans fichier.
• Rechercher les indicateurs de compromission associés à HOOKEDGE et à l’activité Swallowtail dès leur publication par les éditeurs.
• Renforcer l’authentification avec une double authentification résistante à l’hameçonnage, notamment pour les comptes à privilèges.
• Segmenter le réseau afin de limiter les déplacements latéraux d’un intrus.
• Contrôler les prestataires et les sous-traitants qui accèdent à des données sensibles.
• Journaliser et conserver les traces pour faciliter une enquête en cas d’incident.

Ce qu’il faut retenir

• APT28, également appelé BlueDelta, Fancy Bear ou Forest Blizzard, est accusé d’attaques contre deux États membres de l’OTAN.
• Symantec suit cette activité sous le nom de Swallowtail.
• Les attaquants utilisent la porte dérobée HOOKEDGE et un nouveau chargeur réflectif.
• Un constructeur naval militaire d’un pays de l’OTAN figure parmi les victimes.
• Les détails sur les données touchées ne sont pas connus pour l’instant.

Les industriels de la défense doivent donc considérer ces campagnes comme une menace durable. En effet, une veille active et une détection comportementale restent leurs meilleurs atouts face à ce type d’adversaire.

Source : Russian APT28 Breaches NATO Naval Shipbuilder in NATO Country, Deploys New Reflective Loader