En Ukraine, ESET a découvert que le groupe notoire Sandworm avait utilisé un wiper inconnu jusqu’alors contre une entreprise du secteur de l’énergie. Les groupes APT sont habituellement dirigés par des acteurs des États-nations ou parrainés par l’État ; l’attaque en question a eu lieu au mois d’octobre, au moment où les forces armées russes ont procédé à des tirs de missile contre des infrastructures énergétiques. Bien qu’ESET ne soit pas en mesure de démontrer que ces événements sont coordonnés, l’entreprise sous-entend que Sandworm et les forces militaires de Russie auraient des objectifs connexes.

Le wiper le plus récent d’une série de wipers déjà découverts a été surnommé NikoWiper par ESET. Ce wiper a été utilisé contre une société du secteur de l’énergie en Ukraine en octobre 2022. NikoWiper est basé sur SDelete, un utilitaire de ligne de commande de Microsoft utilisé pour supprimer les fichiers en toute sécurité.

En plus des logiciels malveillants qui suppriment les données, ESET a découvert que Sandworm se servait d’un logiciel de rançon comme wiper lors de ses attaques, dont le but final, en dépit de l’utilisation de ce logiciel de rançon, était le même que lorsque des wipers étaient utilisés, c’est-à-dire la destruction des données. Contrairement aux attaques classiques à l’aide de logiciels de rançon, les opérateurs de Sandworm n’ont pas l’intention de fournir de clé de déchiffrement.

En octobre 2022, ESET a décelé l’utilisation du logiciel de rançon Prestige contre des entreprises de logistique en Ukraine et en Pologne. Et en novembre 2022, ESET a détecté un nouveau logiciel de rançon en Ukraine développé en .NET, que nous avons appelé RansomBoggs. ESET Research a rendu cette campagne publique sur son compte Twitter. Outre Sandworm, d’autres groupes russes d’APT tels que Callisto et Gamaredon ont poursuivi leur campagne d’hameçonnage ciblé contre l’Ukraine en vue de dérober des données d’accès et d’implanter des programmes malveillants.

Les chercheurs d’ESET ont également mis au jour une campagne d’hameçonnage ciblé de MirrorFace visant des entités politiques au Japon et s’est rendu compte que certains groupes alignés sur la Chine avaient progressivement modifié le type de cible visée, avec par exemple Goblin Panda qui a commencé à servir les intérêts de Mustang Panda dans les pays d’Europe. En novembre dernier, ESET a découvert une nouvelle porte dérobée développée par Goblin Panda, que nous avons surnommée TurboSlate, au sein d’une organisation gouvernementale de l’Union européenne. Le groupe Mustang Panda a lui aussi continué à cibler des organisations européennes ; en septembre dernier nous avons identifié un chargeur Korplug dont Mustang Panda s’est servi contre une organisation suisse du secteur de l’énergie et de l’ingénierie.

Les groupes en faveur de l’Iran ont eux aussi continué leurs attaques ; outre les entreprises israéliennes, POLONIUM a commencé à prendre pour cible des filiales étrangères de sociétés israéliennes, et MuddyWater est probablement responsable de la mise en danger d’un fournisseur de services de sécurité infogérés.

Les groupes alignés sur les positions de la Corée du Nord ont eu recours à d’anciens exploits informatiques pour compromettre la sécurité d’entreprises et bureaux de change de cryptomonnaie dans diverses régions du monde. Il est intéressant de noter que le groupe Konni a élargi l’éventail de langues disponibles dans ses documents leurres pour y inclure l’anglais, ce qui pourrait signifier un changement par rapport à ses cibles habituelles la Russie et la Corée du Sud.

Pour plus de renseignements d’ordre technique, vous pouvez consulter le « Rapport d’activité d’ESET sur les APT » dans son intégralité sur WeLiveSecurity. Assurez-vous de suivre ESET Research sur Twitter pour connaître les dernières nouvelles d’ESET Research.

Les rapports d’activité d’ESET sur les APT ne contiennent qu’une petite fraction des données de Cyber Threat intelligence disponible aux clients par des rapports privés d’ESET sur les APT. ESET rédige des rapports techniques détaillés et des mises à jour régulières sur les activités de certains groupes d’APT sous forme de rapports PREMIUM afin d’aider les organisations chargées de la protection des citoyens, des infrastructures nationales essentielles et des actifs de grande valeur à lutter contre les cyberattaques criminelles et dirigées contre les États / nations. Pour plus de renseignements sur les rapports PREMIUM sur les APT, qui contiennent des informations stratégiques, concrètes et tactiques de qualité sur les menaces informatiques, rendez-vous sur ce lien : Données ESET sur les menaces.