APT29

Auch bekannt als Cozy Bear, Midnight Blizzard, Nobelium, The Dukes, UNC2452

APT29 ist eine staatlich geförderte russische Spionagegruppe, die mit dem SVR in Verbindung steht und für die SolarWinds-Einbrüche verantwortlich ist. Sie ist auf Cloud- und Identitätsangriffe gegen Microsoft 365 und Azure spezialisiert. Sie fälscht Tokens und missbraucht OAuth-Anwendungen und Service Principals, um gezielt E-Mails zu lesen.

Cloud-Tradecraft

• Fälscht SAML-Tokens mit gestohlenen Signierzertifikaten, um auf Cloud-Dienste zuzugreifen
• Fügt OAuth-Apps und Service Principals Anmeldeinformationen und Rollen hinzu
• Ändert das Domain-Föderationsvertrauen, um vom Angreifer signierte Tokens zu akzeptieren
• Registriert Angreifergeräte und gewährt Postfach-Berechtigungen zum Sammeln von E-Mails
• Stiehlt und spielt Anwendungs-Zugriffstoken erneut ab, um Passwörter zu umgehen

MITRE ATT&CK-Techniken

Referenzen

• MITRE ATT&CK: APT29 (G0016)
• You Can't Audit Me: APT29 Continues Targeting Microsoft 365
• SVR Cyber Actors Adapt Tactics for Initial Cloud Access (AA24-057A)
• Midnight Blizzard: Guidance for responders on nation-state attack
• Customer Guidance on Recent Nation-State Cyber Attacks