Attaque par le plus proche voisin : Les espions russes utilisent une nouvelle technique

Récents Les médias Une société de cybersécurité, Volexity, a affirmé que les espions russes avaient utilisé une technique d'attaque sans précédent. Ce que l'on appelle aujourd'hui l'"attaque du voisin le plus proche" (nearest neighbor attack). attaque du voisin le plus proche exploite les réseaux Wi-Fi situés à proximité et en tire parti pour obtenir un accès clandestin. Dans cet article, nous verrons comment l'acteur de la menace exploite le réseau, ainsi que les différentes étapes de l'attaque par le voisin le plus proche. attaque du voisin le plus procheet les protocoles d'atténuation des risques qui peuvent être utilisés pour renforcer la protection. C'est parti !

Attaque du plus proche voisin: Découverte initiale

La découverte initiale de l'attaque du attaque par le plus proche voisin remonte à février 2022, lorsque Volexity a rencontré une signature de détection personnalisée provenant du site d'un client. Le signal indiquait qu'un serveur sur le réseau du client avait été compromis. Au cours de l'enquête, il a été découvert un acteur compétent et motivé dans le domaine des menaces persistantes avancées (APT).

Selon les rapports, l'acteur de la menace utilisait un nouveau vecteur d'attaque auquel Volexity n'avait pas été exposé avant cet incident. À l'issue de l'enquête, il a été révélé que l'entité à l'origine de l'attaque était un acteur de menace russe connu sous le nom de GruesomeLarch. L'acteur de la menace est publiquement connu sous le nom de :  

• APT28.
• Blizzard forestier.
• Sofacy. 
• Fancy Bear.

En outre, il a également été déterminé que l'attaque du attaque du voisin le plus proche avait ciblé l'organisation pour collecter des données auprès de personnes ayant une expertise et une implication dans des projets liés à l'Ukraine. L'acteur APT a pénétré dans le réseau de l'organisation cible en se connectant au réseau Wi-Fi de l'entreprise. Fournissant des informations précieuses, les experts ont déclaré que :

"L'acteur de la menace y est parvenu en enchaînant son approche pour compromettre plusieurs organisations à proximité de sa cible, l'organisation A. Cette opération a été réalisée par un acteur de la menace qui se trouvait à des milliers de kilomètres et à un océan de distance de la victime. Volexity ne connaît pas de terminologie décrivant ce type d'attaque et l'a baptisé "attaque du voisin le plus proche" (Nearest Neighborhood Attack). Attaque du voisin le plus proche."

Détails de la brèche dans le Wi-Fi du GRU

Malgré la distance évidente, l'acteur malveillant a réussi à s'authentifier sur le réseau de l'organisation cible en se procurant des identifiants valides. Pour obtenir ces identifiants, un service accessible au public sur le réseau de l'organisation a été pris pour cible par des des attaques par « password spraying ». Il convient de noter que ce service était utilisé pour la validation des identifiants. 

L'incident aurait pu être évité si l'organisation avait utilisé l'authentification multi-facteurs (MFA). Cependant, l'authentification ne nécessitait que le nom d'utilisateur et le mot de passe valides du domaine de l'utilisateur. Pour s'attaquer à la distance géographique, le pirate a d'abord compromis d'autres organisations situées dans des bâtiments proches de la cible, d'où le nom d'"attaque du voisin le plus proche" (nearest neighbor attack). l'attaque du voisin le plus proche.

Les experts de Volexity, tout en fournissant des informations, ont déclaré que la stratégie du pirate était la suivante :  

"Il s'agissait de pénétrer dans une autre organisation, puis de se déplacer latéralement au sein de cette organisation pour trouver des systèmes auxquels ils pouvaient accéder et qui étaient dotés d'une double connexion. Une fois qu'il a trouvé un système connecté au réseau via une connexion Ethernet câblée, l'acteur de la menace accède au système et utilise son adaptateur Wi-Fi."

Après avoir obtenu l'accès au système ciblé, l'attaque du attaque du voisin le plus proche s'est connecté au SSID du réseau Wi-Fi de l'entreprise. Cela a permis non seulement d'assurer l'authentification, mais aussi de donner au pirate espion russe l'accès au réseau.

Le fait qu'un pirate informatique compromette une organisation et procède ensuite à une attaques par bourrage d'informations d'identification pour compromettre d'autres organisations proches en utilisant leurs réseaux Wi-Fi est une nouvelle classe d'attaque. Une telle tactique a été couronnée de succès en raison de l'absence de MFA, ce qui signifie que des informations d'identification valides et la proximité étaient les seules conditions que le pirate devait remplir pour établir une connexion qui serait ensuite exploitée.

Activités de l'acteur de la menace après la brèche 

Après avoir reçu une alerte relative à l'attaque du attaque par le plus proche voisinles experts en sécurité ont commencé à rechercher des fichiers écrits et exécutés à partir de la racine du répertoire "C:\NProgramData". "C:\ProgramData directory". Les activités de piratage qui ont été découvertes sont les suivantes :

• Un fichier nommé "C:\ProgramData\servtask.bat" est écrit et exécuté.
• Un fichier nommé "servtask.bat" invoquant l'utilitaire de registre en ligne de commande de Microsoft et PowerShell pour exécuter plusieurs commandes, notamment :
  • reg save hklm\sam C:\ProgramData\sam.save
  • reg save hklm\security C:\ProgramData\security.save
  • reg save hklm\system C:\NProgramData\system.save
  • Powershell -c "Get-ChildItem C:\ProgramData\sam.save, C:\ProgramData\security.save, C:\ProgramData\system.save ^| Compress-Archive -DestinationPath C:\ProgramData\out.zip"

Étant donné que des ruches de registre sensibles avaient été exportées et compressées dans un fichier ZIP, l'équipe de sécurité a commencé à examiner l'historique des événements EDR, la mémoire du système et les principaux attributs du disque. Cet examen a révélé les éléments suivants :  

• Une connexion provenant d'un compte d'utilisateur non privilégié sur le serveur s'est produite via RDP.
• Un fichier nommé "DefragmentSrv.zip" était présent sur le système dans le répertoire de cet utilisateur et a également été désarchivé via la version GUI de WinRAR sur le système.
• Deux fichiers nommés "DefragmentSrv.exe" et "DefragmentSrv.bat" ont également été écrits et exécutés, ce qui a finalement conduit au fichier "servtask.bat" a été écrit et exécuté.
• Un fichier nommé "wayzgoose52.dll" a également été écrit dans un faux répertoire situé à l'adresse suivante “C:\ProgramData\Adobe\v3.80.15456.”

Pour en savoir plus sur les activités d'attaque des voisins les plus proches, les experts ont déclaré que

"L'attaquant avait exécuté un utilitaire natif de Microsoft appelé Cipher.exe, qui couvrait ses traces en effaçant les fichiers en toute sécurité. Bien que ce ne soit pas la première fois que Volexity rencontre un attaquant qui couvre ses traces avec des méthodes anti-forensics, c'est la première fois que Volexity voit cela fait avec l'utilitaire Cipher.exe".

Mesures d'atténuation contre les pirates militaires russes

Pendant que l'enquête se poursuivait, Volexity a travaillé avec l'organisation compromise et a pris diverses initiatives pour atténuer et prévenir les attaques. Certaines de ces initiatives comprennent la mise en œuvre de contre-mesures et l'amélioration des domaines où la journalisation et la visibilité du réseau n'étaient pas présentes auparavant. 

Grâce à ces protocoles, les experts en sécurité ont pu acquérir une compréhension plus approfondie des éléments suivants l'attaque du voisin le plus proche. Même si leurs informations d'identification ont été réinitialisées, l'attaque du attaque du voisin le plus proche a de nouveau pu accéder au réseau Wi-Fi de l'entreprise.

Cependant, les protocoles de journalisation et de visibilité du réseau qui ont été déployés au cours de l'enquête ont permis aux experts de lancer une capture complète des paquets de toutes les activités impliquant les systèmes connectés au Wi-Fi. Commentant le contenu du paquet capturé, les experts ont déclaré ce qui suit : 

"L'analyse de cette capture de paquets a révélé que le système de l'attaquant avait envoyé des requêtes NetBIOS Name Service (NBNS) qui révélaient le nom de son ordinateur et le domaine Active Directory auquel il était rattaché. Ce domaine active directory a révélé exactement d'où l'attaquant se connectait, ce qui s'est avéré être une organisation ("Organisation B") située juste en face de la rue".

Un examen plus approfondi a révélé que la majorité des données de l'incident avaient été recopiées sur le système de l'attaquant. Cependant, dans certains cas, l'attaque du attaque du plus proche voisin avait stocké les données dans des répertoires sur un serveur web public et les fichiers avaient ensuite été exfiltrés à l'aide de téléchargements externes.

Il convient de noter qu'il s'agit d'une technique couramment utilisée par les attaquants dans divers types de violations. Il peut être difficile de surveiller les protocoles pour cette activité. Toutefois, il est possible de surveiller les fichiers inattendus sur les serveurs web ou les transferts de fichiers volumineux. Veiller au bon fonctionnement des weblogs peut également contribuer à l'identification de ces activités. 

Conclusion 

L'attaque du l'attaque du voisin le plus proche représente une évolution effrayante du cyber-espionnage, mêlant des brèches basées sur la proximité à des tactiques sophistiquées de vol d'informations d'identification et de lutte contre la criminalité informatique. En exploitant des faiblesses telles que l'absence de MFA et en s'appuyant sur des réseaux proches, des pirates comme APT28 montrent comment les menaces avancées peuvent cibler des données sensibles avec précision.

Les organisations doivent adopter contre-mesures robustesLes organisations doivent adopter de solides contre-mesures, notamment l'authentification multifactorielle, l'amélioration de la visibilité du réseau et l'analyse approfondie des journaux, pour limiter les risques. La vigilance à l'égard de ces nouvelles techniques est cruciale, car les cybermenaces continuent d'évoluer et de repousser les limites des défenses de sécurité traditionnelles.

Les sources de cet article comprennent des articles parus dans Wired et Volexity.