Organisations françaises sur le radar APT31 Threat Group

Comme les attaques de ransomware, les campagnes de cyberespionnage sont mortelles et peuvent causer des dommages irréparables au périmètre de sécurité informatique de l’entreprise. Le gouvernement et les organisations doivent appliquer des mesures de sécurité robustes pour identifier les opérations cybercriminelles avant d’exploiter l’architecture de sécurité d’une entreprise.

Récemment, l’Agence nationale française pour la sécurité des systèmes d’information (ANSSI) a mis en garde les organisations contre un groupe d’acteurs menaçants liés à la Chine APT31. Dans un avis de sécurité, l’ANSSI a indiqué que le groupe APT31 s’appuie sur des routeurs domestiques compromis pour s’introduire dans les réseaux des organisations ciblées. L’ANSSI a partagé la liste des Indicateurs de Compromis (IoC) et des adresses IP de la campagne en cours et a exhorté les organisations concernées à signaler tout élément de preuve de la campagne.

« L’ANSSI gère actuellement une vaste campagne d’intrusions impactant de nombreuses entités françaises. Les attaques sont toujours en cours et sont menées par un ensemble d’intrusions publiquement appelé APT31. Il ressort de nos enquêtes que l’acteur malveillant utilise un réseau de routeurs domestiques compromis comme boîtiers relais opérationnels pour effectuer une reconnaissance furtive ainsi que des attaques. A ce titre, des indicateurs de compromission (IOC) sont partagés pour aider à évaluer les compromissions possibles (les recherches devraient démarrer début 2021) et utilisés dans les services de détection », précise l’ANSSI.

L’APT31 est-il imparable ?

Également suivi sous les noms de Zirconium, Red Keres et Judgment Panda, le groupe APT31 aurait été impliqué dans diverses campagnes de cyberespionnage liées au gouvernement chinois. Ben Koehl, analyste des menaces au Threat Intelligence Center de Microsoft, a déclaré que les adresses IP partagées par l’ANSSI se trouvent principalement en Afrique, en Asie, en Russie et en Amérique latine.

“Les enquêtes montrent que ce mode de fonctionnement compromet les routeurs pour les utiliser comme relais d’anonymisation, avant de mener des actions de reconnaissance et d’attaque.”

– bk (Ben Koehl) (@bkMSFT) 21 juillet 2021

« ZIRCONIUM semble exploiter de nombreux réseaux de routeurs pour faciliter ces actions. Ils sont superposés et utilisés de manière stratégique. Si vous étudiez ces adresses IP, elles doivent être utilisées principalement comme IP source, mais à l’occasion, elles pointent le trafic d’implant vers le réseau », a ajouté Koehl.

Cybersécurité en France

Le gouvernement français déploie des efforts constants pour renforcer les normes de cybersécurité du pays et se défendre contre l’évolution des menaces. De l’amélioration des pratiques de sécurité à la sanction des contrevenants, les régulateurs français de la confidentialité des données ont toujours donné la priorité à la sécurité des données des utilisateurs. Récemment, l’Autorité de la concurrence (FCA) a condamné Google à une amende de 220 millions d’euros (environ 268 millions de dollars) pour avoir abusé de sa position dominante sur le marché publicitaire et favorisé ses services au détriment de ses concurrents. Lire la suite Ici…