APT28

Selon le blog PolySwarm, le groupe lié au renseignement russe Fancy Bear (APT28) a déployé NotDoor, un backdoor sophistiqué pour Outlook visant des pays membres de l’OTAN. • Le malware repose sur des macros VBA et abuse un binaire Microsoft OneDrive.exe signé vulnérable au DLL side-loading pour charger une SSPICLI.dll malveillante. Cette DLL installe des macros dans VbaProject.OTM d’Outlook, fournissant le point d’accès du backdoor. • NotDoor surveille des déclencheurs e-mail tels que « Daily Report », puis parse des commandes chiffrées via un encodage Base64 personnalisé avec préfixes aléatoires. Il prend en charge quatre types de commandes: cmd, cmdno, dwn, upl. ...

Source: LAB52 (équipe renseignement de S2 Grupo). Contexte: analyse technique d’un nouvel artefact d’APT28 (« NotDoor ») ayant compromis des entreprises de divers secteurs dans des pays membres de l’OTAN. 🔍 Livraison et installation: Le malware est une macro VBA pour Outlook installée via DLL side‑loading en abusant du binaire légitime Microsoft OneDrive.exe qui charge une SSPICLI.dll malveillante. Cette DLL installe la backdoor en copiant un fichier préparé (c:\programdata\testtemp.ini) vers %APPDATA%\Microsoft\Outlook\VbaProject.OTM, puis désactive des protections macro et boîtes de dialogue via la base de registre. ...

Selon Picus Security, s’appuyant sur une découverte du CERT ukrainien, un nouveau malware baptisé LameHug et attribué à APT28 (Fancy Bear) constitue le premier cas documenté publiquement d’un logiciel malveillant intégrant opérationnellement un LLM pour générer des commandes en temps réel. LameHug est un infostealer Python déployé via des campagnes de spear-phishing ciblant des agences gouvernementales ukrainiennes. Il utilise le modèle Qwen 2.5-Coder-32B-Instruct d’Alibaba Cloud via l’API Hugging Face pour produire à la volée des chaînes de commandes Windows, permettant des attaques adaptatives sans mise à jour binaire et en évitant les signatures traditionnelles. 🤖 ...

L’article de Bleeping Computer rapporte une campagne de cyberespionnage menée par des hackers affiliés à APT28, également connus sous les noms de Fancy Bear ou Forest Blizzard. Cette campagne, soutenue par l’État russe, a débuté en 2022 et cible principalement les organisations internationales. L’objectif principal de ces attaques est de perturber les efforts d’aide destinés à l’Ukraine, dans le contexte du conflit en cours. Les hackers utilisent des techniques sophistiquées pour infiltrer les systèmes informatiques de leurs cibles, compromettant ainsi la sécurité et la confidentialité des données sensibles. ...

Une alerte coordonnée contre les cyberopérations russes Les agences de cybersécurité des États-Unis, du Canada et de plusieurs pays européens tirent la sonnette d’alarme : la Russie mène depuis plusieurs années des campagnes de cyberespionnage très ciblées, centrées sur les infrastructures critiques des pays occidentaux. Le groupe de hackers APT28, aussi connu sous le nom de Fancy Bear, affilié à l’unité 26165 du renseignement militaire russe (GRU), aurait infiltré des caméras de vidéosurveillance publiques et privées, en particulier à proximité de gares, ports, aéroports et points de passage frontaliers. ...

L’information avec attribution provient d’un communiqué du ministère de l’Europe et des affaires étrangères français et met en lumière la condamnation par la France des cyberattaques orchestrées par le GRU russe. Depuis 2021, le mode opératoire d’attaque APT28 a été utilisé pour cibler et compromettre une dizaine d’entités françaises, incluant des services publics, des entreprises privées et une organisation sportive impliquée dans les Jeux olympiques et paralympiques 2024. Historiquement, ce mode opératoire a été employé pour des attaques notables telles que le sabotage de TV5Monde en 2015 et la tentative de déstabilisation des élections françaises en 2017. ...

🎯 La France accuse le groupe APT28 d’espionnage stratégique et de déstabilisation Le ministère français des Affaires étrangères a publiquement accusé le groupe APT28, lié au renseignement militaire russe (GRU), d’avoir ciblé ou compromis au moins 12 entités françaises depuis 2021. Les cibles identifiées relèvent des secteurs : Gouvernemental Défense Aérospatial Financier Associatif (ONG) Ces attaques avaient pour objectif la collecte de renseignements sensibles et, dans certains cas, la déstabilisation politique, comme lors de l’élection présidentielle de 2017 ou en lien avec les Jeux olympiques de Paris. ...