Les pirates russes de Sandworm ont infiltré 11 opérateurs ukrainiens depuis mai
-
Le groupe de piratage Sandworm parrainé par l’État Russe, a compromis onze prestataires de services de télécommunications en Ukraine entre mai et septembre 2023.
Cette information est basée sur un nouveau rapport de l’équipe ukrainienne d’intervention en cas d’urgence informatique (CERT-UA - Computer Emergency Response Team) citant des «ressources publiques» et des informations récupérées auprès de certains fournisseurs victimes de Sandworm.
L’agence déclare que les pirates russes “ont interféré” avec les systèmes de communication de 11 opérateurs de télécommunications dans le pays, ce qui a entraîné des interruptions de service et des potentielles vols de données.
Sandworm est un groupe d’espionnage très actif lié au GRU russe (forces armées). Les assaillants se sont concentrés sur l’Ukraine tout au long de 2023, en utilisant le phishing, des malwares Android, et des data-wipers.
Cibler les opérateurs télécoms
Les attaques commencent quand Sandworm effectue des reconnaissances sur les réseaux des sociétés de télécommunications en utilisant l’outil masscan pour effectuer des analyses et scans sur le réseau de la cible.
– Exemple du script masscan (CERT-UA)Sandworm recherche principalement des ports ouverts et des interfaces RDP ou SSH non protégées qu’ils peuvent exploiter pour pénétrer le réseau.
De plus, les attaquants utilisent des outils tels que ffuf, dirbuster, gowitness et nmap pour trouver des vulnérabilités potentielles dans les services Web qui peuvent être exploitées pour y accéder.
Des comptes VPN compromis qui n’étaient pas protégés par l’authentification multifactorielle (2FA) ont également été exploités pour accéder au réseau.
Pour rendre leurs intrusions plus furtives, Sandworm utilise Dante,
socks5et d’autres serveurs proxy pour acheminer leurs activités malveillantes via d’autres serveurs dans la région Internet ukrainienne qu’ils ont compromis auparavant, ce qui le rend moins suspect.Le rapport détaillé du CERT-UA (très intéressant au passage) à repéré deux portes dérobées dans les systèmes ISP compromis, à savoir
PoemgateetPoseidon.Poemgatecapture les informations d’identification des administrateurs qui tentent de s’authentifier dans des accès compromis, offrant aux attaquants un accès à des comptes supplémentaires qu’ils peuvent utiliser pour une infiltration plus profonde du réseau.Poseidonest une porte dérobée Linux qui, selon l’agence ukrainienne, “comprend la gamme complète d’outils de contrôle informatique à distance.”
La persistance dePoséidonest obtenue en modifiantCronpour ajouter des jobs compromettant le système.
– Modification binaire de CRON pour ajouter de la persistance à Poséidon (CERT-UA)Sandworm utilise l’outil
Whitecatpour supprimer les traces de l’attaque et supprimer les journaux d’accès (log).Aux dernières étapes de l’attaque, les pirates ont été repérés en train de déployer des scripts qui provoqueraient une perturbation du service, en particulier en se concentrant sur des équipements Mikrotik, et en supprimant les backups pour rendre la récupération de données plus difficile.
– Script pour altérer les appareils Mikrotik (CERT-UA)Le CERT-UA informe que tous les fournisseurs de services du pays doivent suivre les recommandations de leur guide pour rendre plus difficile pour les cyber-intrus d’infiltrer leurs systèmes.
– Sources
