Advanced Persistance Threat 33

APT 33 : Un groupe de pirates informatiques à la solde de l'Iran 

Salut à tous les Geeks !

Après notre dernier article consacré au groupe APT 29, nous allons aujourd'hui nous pencher sur un autre acteur notoire du paysage des menaces : le groupe de Black Hats connu sous le nom d'APT 33.

APT 33 est un groupe de cybercriminels hautement qualifiés, dont les activités sont attribuées à un soutien gouvernemental iranien. Leurs cibles principales sont les entreprises opérant dans des secteurs stratégiques tels que l'aviation, l'énergie et la pétrochimie. Géographiquement, leurs attaques se concentrent particulièrement sur les États-Unis, l'Arabie Saoudite et la Corée du Sud..

 Souvenez-vous, "APT" signifie "Advanced Persistent Threat". Cela implique trois choses essentielles :

1. Avancé : Ces acteurs utilisent des techniques complexes, des outils sophistiqués et font preuve d'une expertise technique pointue. Ce ne sont pas des scripts kiddies lançant des attaques basiques.
2. Persistant : Leur objectif n'est pas une attaque rapide et ponctuelle. Ils cherchent à s'infiltrer dans les systèmes de manière discrète et à y rester sur une longue durée, parfois des mois, voire des années. C'est comme un cambrioleur qui s'installe dans une maison sans que personne ne s'en aperçoive.
3. Menace : Leurs actions ont des conséquences réelles et potentiellement graves pour les organisations et les pays qu'ils ciblent.

Contexte et Attribution : Mettre un Nom sur le Visage (ou presque)

• Noms Alternatifs : Tout comme une personne peut avoir des surnoms, APT 33 est également connu sous les noms d'Elfin et Charming Kitten. Ces différents noms peuvent apparaître dans les rapports de différentes firmes de cybersécurité. Il est important de comprendre qu'ils désignent le même groupe.
• Origine Géopolitique : L'attribution est une partie délicate de la cybersécurité, mais de nombreux éléments convergent pour associer APT 33 à l'Iran. Ces éléments incluent :

Analyse Linguistique : La langue utilisée dans les outils, les communications (comme les emails de phishing) et les noms de fichiers retrouvés lors de leurs opérations contiennent des indices linguistiques persans.

Alignement des Cibles : Les secteurs et les pays principalement visés par APT 33 (notamment les États-Unis, l'Arabie Saoudite et la Corée du Sud dans les secteurs de l'aviation, de l'énergie et de la pétrochimie) correspondent souvent aux intérêts géopolitiques de l'Iran.

Similarités avec d'Autres Groupes : Des analystes ont observé des recoupements dans les tactiques, techniques et procédures (TTPs) avec d'autres groupes soupçonnés d'être liés à l'Iran. Cependant, il est crucial de noter que ces liens ne sont pas toujours formels et peuvent indiquer un partage d'outils ou une évolution des acteurs.

Décortiquons leurs Objectifs des APT33 : Pourquoi Font-ils Cela ?

Imaginez les motivations derrière leurs actions :

• Espionnage Industriel (Le Vol de Secrets) : C'est comme si une nation cherchait à obtenir les plans d'un nouveau moteur d'avion révolutionnaire ou la formule chimique d'un matériau de pointe sans avoir à investir dans la recherche et le développement. Cela donne un avantage compétitif.
• Sabotage (La Perturbation Délibérée) : Pensez à une attaque qui pourrait paralyser une centrale électrique ou perturber la chaîne d'approvisionnement d'une entreprise pétrolière. Le sabotage a pour but de causer des dommages directs, de semer le chaos et d'affaiblir l'adversaire.
• Propagation de la Désinformation (La Guerre de l'Information) : C'est l'art de manipuler l'opinion publique et de déstabiliser les gouvernements en diffusant de fausses nouvelles ou des informations biaisées. L'objectif est de créer la confusion, la méfiance et potentiellement influencer des décisions politiques.

Méthodes et Techniques de ces hackeurs : Comment Opèrent-ils ?

Voyons les outils du métier d'APT 33 :

1. L'Art de l'Intrusion (Vecteurs d'Attaque) :

• Le Phishing Sophistiqué : Ne vous imaginez pas seulement des emails grossiers avec des fautes d'orthographe. Les campagnes de phishing d'APT 33 peuvent être très ciblées (spear phishing), imitant des communications légitimes de collègues, de partenaires ou de services que la victime utilise. L'objectif est de vous pousser à :
  • Cliquer sur un lien malveillant : Ce lien peut vous diriger vers un faux site web qui ressemble à s'y méprendre au site légitime (pour voler vos identifiants) ou télécharger discrètement un malware sur votre ordinateur.
  • Ouvrir une pièce jointe infectée : Un document Word, un PDF ou un fichier Excel peut contenir un code malveillant qui s'active lorsque vous l'ouvrez.
• L'Exploitation de Vulnérabilités (Les Failles de Sécurité) : Imaginez un logiciel comme une maison avec des fenêtres et des portes. Si une fenêtre est cassée ou une porte n'est pas verrouillée (une vulnérabilité), un attaquant peut s'y introduire sans avoir besoin de tromper quelqu'un. APT 33 recherche activement ces failles dans les logiciels et les systèmes d'exploitation pour les exploiter et prendre le contrôle. On parle parfois d'exploits "zero-day" pour les failles qui ne sont pas encore connues du fabricant du logiciel.

2. Leur Boîte à Outils Malveillants (Malware) :

• Sofacy/FETI (Fronton/Spectre) : Considérez cela comme leur "cheval de Troie" préféré. Une fois installé sur un système, ce malware leur donne un accès à distance. Ils peuvent alors :
  • Exfiltrer des données : Copier des fichiers importants et les envoyer vers leurs propres serveurs.
  • Surveiller les activités : Enregistrer les frappes de clavier (keylogging), prendre des captures d'écran ou espionner le trafic réseau.
  • Maintenir l'accès : S'assurer qu'ils peuvent revenir même si la victime change ses mots de passe.
• Sourfaces (L'Art de la Discrétion) : C'est comme utiliser un langage codé pour ne pas être compris. Ils peuvent cacher leurs communications malveillantes dans des flux de données normaux (comme les requêtes DNS, qui servent à traduire les noms de sites web en adresses IP) ou utiliser des techniques de chiffrement complexes pour éviter la détection par les systèmes de sécurité.

3. Se Déplacer Incognito (Mouvement Latéral) et Devenir le Chef (Escalade de Privilèges) :

• Mouvement Latéral : Une fois qu'ils ont un pied dans le réseau (sur un seul ordinateur), ils ne s'arrêtent pas là. Ils utilisent ce point d'ancrage pour explorer le réseau interne, identifier d'autres systèmes importants (comme les serveurs contenant les données sensibles) et s'y propager. C'est comme un virus qui se propage d'un ordinateur à l'autre.
• Escalade de Privilèges : Imaginez que vous avez un accès limité à un ordinateur (un compte utilisateur standard). APT 33 cherche des moyens d'obtenir des droits d'administrateur, qui leur donnent un contrôle total sur le système. Ils peuvent exploiter des failles logicielles ou utiliser des techniques d'abus de configuration pour y parvenir.

4. Le Vol Discret (Exfiltration de Données) :

• Canaux d'Exfiltration : Ils ne vont pas simplement copier-coller des fichiers sur une clé USB. Ils utilisent des méthodes sophistiquées pour faire sortir les données volées sans éveiller les soupçons. Cela peut inclure :
  • Le tunneling : Envelopper les données volées dans des protocoles de communication normaux (comme le HTTP ou le DNS) pour les faire passer inaperçues.
  • Le chiffrement : Crypter les données avant de les envoyer pour qu'elles soient illisibles si elles sont interceptées.
  • L'utilisation de serveurs intermédiaires : Faire transiter les données par plusieurs serveurs situés dans différents pays pour masquer leur origine.

5. Rester en Place (Persistance) :

• Les Backdoors qui sont des Portes Dérobées : C'est comme installer une application secrète sur votre ordinateur qui leur permet d'y accéder à tout moment, même si vous changez votre mot de passe ou mettez à jour votre système. Ils peuvent modifier des fichiers système, créer de nouveaux comptes cachés ou exploiter des fonctionnalités légitimes du système pour maintenir leur accès.

Les Conséquences de Leurs Actions : Un Impact Réel

• Pertes Financières : Le coût de la réponse à une attaque, de la restauration des systèmes, de la perte de propriété intellectuelle et de l'atteinte à la réputation peut être colossal pour les entreprises victimes.
• Dommages à la Réputation : Une entreprise ou un gouvernement victime d'une attaque perd la confiance de ses clients, de ses partenaires et de ses citoyens.
• Menace à la Sécurité Nationale : Le vol d'informations sensibles dans les secteurs de la défense ou de l'énergie peut avoir des implications majeures pour la sécurité d'un pays.

Comment se Défendre contre ces Hackeurs : La Nécessité d'une Approche Globale

La défense contre des acteurs comme APT 33 nécessite une stratégie de sécurité multicouche :

• Sensibilisation et Formation : La première ligne de défense, ce sont les utilisateurs. Il est crucial de les éduquer sur les risques du phishing et des autres techniques d'ingénierie sociale.
• Gestion des Vulnérabilités : Maintenir les logiciels et les systèmes d'exploitation à jour avec les derniers correctifs de sécurité est essentiel pour combler les failles que les attaquants pourraient exploiter.
• Segmentation du Réseau : Diviser le réseau en zones isolées peut limiter la propagation d'une infection si un système est compromis.
• Surveillance et Détection : Mettre en place des outils et des processus pour surveiller en temps réel le trafic réseau et les activités des systèmes afin de détecter les comportements suspects.
• Sauvegardes et Plan de Reprise d'Activité : Avoir des sauvegardes régulières des données critiques et un plan pour restaurer rapidement les systèmes en cas d'attaque réussie est indispensable.
• Solutions de Sécurité Avancées : Déployer des firewalls de nouvelle génération, des systèmes de détection et de prévention des intrusions (IDS/IPS), des solutions de protection des endpoints (EDR) et des outils d'analyse comportementale pour identifier et bloquer les menaces sophistiquées.

Les Liens avec d'Autres Groupes des hackeurs  : Un Écosystème Complexe

Le monde de la cybercriminalité et du cyberespionnage est complexe et parfois opaque. Les liens entre différents groupes comme APT 33 sont souvent difficiles à établir avec certitude. Cependant, les analystes suggèrent qu'il pourrait y avoir :

• Partage d'Outils et d'Infrastructures : Différents groupes soutenus par le même État pourraient partager certains outils ou l'accès à des serveurs compromis.
• Coordination Opérationnelle : Dans certains cas, des groupes pourraient coordonner leurs actions pour atteindre des objectifs communs.
• Évolution des Acteurs : Les groupes peuvent évoluer, changer de tactiques, voire fusionner ou se scinder au fil du temps.

L'APT 33 est un adversaire redoutable qui nécessite une vigilance constante de la part des organisations. En comprenant les techniques utilisées par ce groupe et en mettant en place des mesures de sécurité robustes, il est possible de réduire considérablement les risques d'une cyberattaque.