Microsoft a déclaré que le Service de renseignement extérieur russe (SVR) avait ciblé des fonctionnaires au cours de la semaine dernière avec un outil qui fournit aux pirates un accès complet à l’appareil d’une victime.
Dans un article de blog publié mardi, l’équipe Threat Intelligence de Microsoft a déclaré avoir vu un acteur russe qu’elle suit sous le nom de Midnight Blizzard envoyer « des courriels de spear phishing très ciblés à des individus du gouvernement, du monde universitaire, de la défense, des organisations non gouvernementales et d’autres secteurs » depuis. 22 octobre.
La campagne est en cours et Microsoft a suivi les e-mails « envoyés à des milliers de cibles dans plus de 100 organisations ». Les e-mails contenaient des fichiers de configuration pour le protocole RDP (Remote Desktop Protocol) connectés à des serveurs contrôlés par les pirates.
Les pièces jointes RDP « contenaient plusieurs paramètres sensibles qui pourraient conduire à une exposition importante d’informations ».
“Une fois que le système cible a été compromis, il s’est connecté au serveur contrôlé par l’acteur et a mappé de manière bidirectionnelle les ressources du périphérique local de l’utilisateur ciblé sur le serveur”, a déclaré Microsoft, ajoutant qu’un large éventail de ressources, y compris les imprimantes et le contenu du presse-papiers, pouvaient être envoyées. au serveur.
Même les clés de sécurité et les appareils des points de vente pourraient être affectés par l’ouverture de la pièce jointe RDP. Cet accès permettrait aux pirates d’installer des logiciels malveillants, de cartographier le réseau de la victime, d’installer d’autres outils et d’accéder aux informations d’identification.
Dans certains e-mails, les pirates ont tenté d’inciter les victimes à les ouvrir en se faisant passer pour des employés de Microsoft et d’autres ont utilisé des leurres d’ingénierie sociale liés à Microsoft, Amazon Web Services (AWS) et au concept de confiance zéro.
La campagne était particulièrement remarquable car l’utilisation de fichiers de configuration RDP constituait une nouvelle avancée dans la tactique de Midnight Blizzard. Microsoft a noté qu’Amazon et le Équipe gouvernementale d’intervention en cas d’urgence informatique d’Ukraine ont vu une activité similaire.
La semaine dernière, Amazon publié une note de sécurité avertissant que les services de renseignement étrangers russes ciblaient les agences gouvernementales, les entreprises et les militaires avec une campagne de phishing visant à « voler les informations d’identification des adversaires russes ».
Les pirates, qu’Amazon appelle APT29, ont envoyé des courriels de phishing en ukrainien à « beaucoup plus de cibles que leur approche typique et étroitement ciblée ».
“Certains des noms de domaine qu’ils ont utilisés ont tenté de faire croire aux cibles qu’il s’agissait de domaines AWS (ce n’était pas le cas), mais Amazon n’était pas la cible, et le groupe ne recherchait pas non plus les informations d’identification des clients AWS”, a déclaré CJ, directeur de la sécurité des informations d’Amazon. Moïse a dit.
« Au lieu de cela, APT29 a recherché les informations d’identification Windows de ses cibles via Microsoft Remote Desktop. Après avoir pris connaissance de cette activité, nous avons immédiatement lancé le processus de saisie des domaines dont APT29 abusait et qui usurpaient l’identité d’AWS afin d’interrompre l’opération.
En plus des attaques plus récentes contre des éditeurs de logiciels comme TeamViewer, le SVR a été à l’origine de certaines des cyberattaques les plus importantes de l’histoire des États-Unis, notamment le piratage de SolarWinds en 2020 et celui de 2016. attaque contre le Comité national démocrate.
Obtenez plus d’informations avec le
Avenir enregistré
Nuage de renseignements.
Apprendre encore plus.
#Les #pirates #informatiques #russes #Midnight #Blizzard #ciblent #les #fonctionnaires #dans #cadre #dune #nouvelle #campagne #vol #dinformations