APT28 Arme l'Outil Open-Source Covenant
Le groupe de menaces APT28, parrainé par l'État russe, a déployé une version fortement modifiée du framework open-source Covenant pour l'exploitation postérieure dans des campagnes d'espionnage en cours. Les chercheurs en sécurité ont découvert la variante personnalisée utilisée pour un accès persistant aux réseaux compromis.
Le groupe, également connu sous le nom de Fancy Bear, a adapté l'outil légitime de red team pour échapper à la détection tout en maintenant une présence à long terme dans les environnements victimes. BleepingComputer a rapporté que les modifications incluent des capacités de furtivité améliorées et des protocoles de communication personnalisés.
Secteurs Gouvernementaux et de la Défense Ciblés
Les opérations d'espionnage ciblent principalement les agences gouvernementales, les sous-traitants de la défense et les organisations diplomatiques dans plusieurs pays. L'objectif d'APT28 reste cohérent avec les campagnes précédentes visant à collecter des renseignements sur les capacités militaires et les décisions de politique étrangère.
Les organisations utilisant des outils de sécurité standard peuvent avoir du mal à détecter le framework Covenant modifié en raison de ses origines légitimes et de ses techniques d'évasion personnalisées. La nature open-source de l'outil permet aux attaquants d'étudier les méthodes de détection et de développer des contre-mesures.
Framework Personnalisé Permettant un Accès Persistant
La variante modifiée de Covenant inclut des communications de commande et de contrôle chiffrées et des fonctionnalités anti-analyse absentes de l'outil original. Les opérateurs d'APT28 utilisent le framework pour exécuter des reconnaissances, des récoltes d'identifiants et des mouvements latéraux au sein des réseaux compromis.
Les équipes de sécurité devraient surveiller les modèles de trafic réseau inhabituels et mettre en œuvre une analyse comportementale pour détecter les activités d'exploitation postérieure. L'outil personnalisé démontre comment les acteurs de la menace arment des frameworks de sécurité légitimes à des fins malveillantes.
