Le groupe APT russe Gamaredon perfectionne la diffusion de ses logiciels malveillants et la dissimulation de son infrastructure

Le groupe de cybermenace lié à l’État russe connu sous le nom de Gamaredon semble avoir amélioré à la fois le chargement de code malveillant et la dissimulation des serveurs utilisés pour ses opérations, selon de récentes informations sur cette campagne.

Gamaredon, que les chercheurs en sécurité associent à des activités de renseignement liées au Service fédéral de sécurité russe, cible depuis longtemps des organisations présentant un intérêt stratégique. Les dernières évolutions suggèrent que le groupe continue de perfectionner ses méthodes, ce qui pourrait compliquer la détection et la perturbation de ses opérations.

Ce qui a changé

Selon les chercheurs, l’opération est devenue plus efficace dans la diffusion de ses logiciels malveillants, réduisant probablement les chances que les défenseurs puissent inspecter ou bloquer la charge utile avant son exécution. Parallèlement, le groupe prend davantage de mesures pour dissimuler l’infrastructure utilisée pour le contrôle-commande, ce qui rend plus difficile l’identification des systèmes concernés et leur mise hors ligne rapide.

Ces ajustements ne constituent peut-être pas une refonte complète de la campagne, mais ils témoignent d’efforts constants pour améliorer sa fiabilité et sa capacité de survie. Pour les défenseurs, cela signifie généralement des délais de réaction plus courts et une dépendance accrue à des méthodes de détection en couches, plutôt qu’aux seules signatures.

Pourquoi c’est important

La dissimulation de l’infrastructure peut retarder les efforts d’attribution et de démantèlement, tandis que des techniques de chargement de logiciels malveillants plus flexibles peuvent aider les attaquants à contourner les défenses statiques. Ensemble, ces évolutions peuvent accroître la probabilité qu’une intrusion reste active suffisamment longtemps pour collecter des données, se déplacer latéralement ou préparer des actions ultérieures.

Les organisations susceptibles de figurer parmi les cibles de Gamaredon devraient examiner leurs contrôles de surveillance et de confinement, en particulier en ce qui concerne l’exécution suspecte de scripts, les connexions sortantes inhabituelles et les tentatives répétées de contacter des serveurs externes.

Priorités défensives

• Renforcer la surveillance des terminaux afin de détecter les comportements inhabituels des processus et des scripts.
• Inspecter le trafic sortant à la recherche d’anomalies et de destinations inconnues.
• Utiliser les renseignements sur les menaces pour suivre les changements d’infrastructure liés à la campagne.
• Limiter les déplacements des attaquants en appliquant le principe du moindre privilège et la segmentation.

Si les dernières évolutions du groupe ne modifient pas nécessairement ses objectifs généraux, elles montrent néanmoins qu’il continue de s’adapter. Pour les défenseurs, le message est clair : les protections existantes devront peut-être être actualisées pour suivre le rythme d’une opération qui devient plus efficace à la fois dans la diffusion et dans la dissimulation.