APT29

También rastreado como Cozy Bear, Midnight Blizzard, Nobelium, The Dukes, UNC2452

APT29 es un grupo de espionaje patrocinado por el Estado ruso, vinculado al SVR y responsable de las intrusiones de SolarWinds. Se especializa en ataques a la nube y a la identidad contra Microsoft 365 y Azure. Falsifica tokens y abusa de aplicaciones OAuth y de entidades de servicio para leer el correo de sus objetivos.

Técnicas cloud

• Falsifica tokens SAML con certificados de firma robados para acceder a servicios cloud
• Añade credenciales y roles a aplicaciones OAuth y entidades de servicio
• Cambia la confianza de federación del dominio para aceptar tokens firmados por el atacante
• Registra dispositivos del atacante y concede permisos de buzón para recopilar correo electrónico
• Roba y reutiliza tokens de acceso de aplicaciones para eludir las contraseñas

Técnicas de MITRE ATT&CK

Referencias

• MITRE ATT&CK: APT29 (G0016)
• You Can't Audit Me: APT29 Continues Targeting Microsoft 365
• SVR Cyber Actors Adapt Tactics for Initial Cloud Access (AA24-057A)
• Midnight Blizzard: Guidance for responders on nation-state attack
• Customer Guidance on Recent Nation-State Cyber Attacks