Partisan Zmiy : deux ans dans un réseau de santé russe
Le groupe Partisan Zmiy a caché la porte dérobée Vasilek dans VMware Tools pour espionner un organisme de santé russe pendant deux ans.
Un groupe hacktiviste proche de la Biélorussie aurait infiltré un organisme de santé russe. Il y serait resté près de deux ans dans le réseau. Ainsi, cette intrusion longue est attribuée à Partisan Zmiy, un ensemble d’activités également connu sous le nom de Cyber Partisans. L’information vient d’un rapport publié par la société russe de cybersécurité Solar. Par ailleurs, selon les éléments disponibles, les attaquants auraient dissimulé une porte dérobée nommée Vasilek dans VMware Tools.
Partisan Zmiy : un groupe hacktiviste aligné sur la Biélorussie
Le collectif est actif depuis au moins 2020. Il est classé parmi les groupes hacktivistes. Autrement dit, ses membres mènent des attaques pour des raisons politiques plutôt que financières. Dans ce cas, le groupe est décrit comme aligné sur la Biélorussie.
Le groupe s’est déjà illustré par des attaques contre des cibles industrielles. Cette fois, il aurait visé le secteur de la santé en Russie. Ce changement de décor montre que ces groupes ne se limitent pas à un seul domaine d’activité.
Toutefois, il faut rester prudent sur l’attribution. Le rapport émane d’un éditeur russe. Or, dans un contexte géopolitique aussi tendu, les analyses publiées par un camp ou l’autre méritent d’être recoupées. Par ailleurs, l’attribution à un cluster de menace reste souvent un jugement d’analyste. Ce n’est donc pas une preuve absolue.
Deux ans d’intrusion dans un organisme de santé
Le point marquant de cette affaire est sa durée. Les intrus seraient restés dans le réseau pendant près de vingt-quatre mois. Autrement dit, ils ont eu largement le temps de cartographier l’environnement. Ils ont pu s’y installer durablement.
Une présence aussi longue suggère plusieurs choses. D’abord, les attaquants ont probablement réussi à éviter les alertes de sécurité habituelles. Ensuite, ils ont vraisemblablement mis en place des mécanismes pour conserver leur accès. Cet accès aurait survécu à un redémarrage ou à une modification du réseau. Enfin, la détection a sans doute été tardive.
Le secteur de la santé est une cible sensible. En effet, les établissements disposent de données personnelles et médicales très précieuses. De plus, leurs systèmes doivent rester disponibles en permanence. Cela complique donc les mises à jour et la surveillance.
La porte dérobée Vasilek cachée dans VMware Tools
Le choix de VMware Tools n’a rien d’anodin. Ce logiciel s’installe dans les machines virtuelles. Il facilite leur gestion et leur communication avec l’hyperviseur. Il est donc présent sur de nombreux serveurs. Par ailleurs, les administrateurs le considèrent comme légitime.
En y dissimulant Vasilek, les attaquants profitent de cette confiance. En effet, un processus qui ressemble à un composant courant attire moins l’attention qu’un programme inconnu. Cette technique de camouflage est classique. Elle consiste à se fondre dans le paysage logiciel de la victime.
Une porte dérobée de ce genre sert à garder un accès discret à distance. Elle permet notamment d’exécuter des commandes, de collecter des informations ou de préparer d’autres actions. Cependant, les détails techniques complets de Vasilek ne figurent pas dans les éléments dont nous disposons. Il convient donc de se référer au rapport de Solar pour l’analyse approfondie du code.
Pourquoi cette méthode est efficace
Les outils de supervision surveillent souvent les nouveaux exécutables. En revanche, ils examinent moins les composants déjà installés et réputés fiables. Ainsi, un fichier modifié ou piégé dans un logiciel d’administration peut passer inaperçu pendant longtemps.
Partisan Zmiy : les recommandations pour les défenseurs
Cette affaire concerne tous les organismes, quel que soit leur pays. En effet, d’autres groupes peuvent reprendre les techniques décrites. Voici donc quelques pistes de défense, issues des bonnes pratiques générales.
- Vérifier l’intégrité des logiciels d’administration : comparez les fichiers de VMware Tools avec les versions officielles de l’éditeur.
- Surveiller les comportements : un outil de gestion qui ouvre des connexions réseau inhabituelles doit donc déclencher une alerte.
- Segmenter le réseau : cela limite ainsi les déplacements d’un intrus qui aurait pris pied sur un serveur.
- Conduire des recherches proactives : une chasse aux menaces régulière aide également à repérer les intrusions silencieuses.
- Conserver les journaux longtemps : pour retracer une compromission de deux ans, il faut en effet des historiques suffisamment anciens.
Ce qu’il faut retenir
- Le groupe Partisan Zmiy, aussi appelé Cyber Partisans, est actif depuis au moins 2020.
- Il est décrit comme un groupe hacktiviste aligné sur la Biélorussie.
- Selon Solar, il est resté près de deux ans dans le réseau d’un organisme de santé russe.
- La porte dérobée Vasilek aurait été dissimulée dans VMware Tools.
- Enfin, l’attribution provient d’un acteur russe et doit être lue avec le recul nécessaire.
Cette intrusion rappelle qu’un logiciel légitime peut devenir un excellent refuge pour un attaquant. La vigilance doit donc porter aussi sur les outils que l’on croit sûrs.
Source : Hackers Hid Vasilek Backdoor in VMware Tools During 2-Year Russian Healthcare Intrusion