APT29

Également suivi sous les noms Cozy Bear, Midnight Blizzard, Nobelium, The Dukes, UNC2452

APT29 est un groupe d'espionnage parrainé par l'État russe, lié au SVR et responsable des intrusions SolarWinds. Il est spécialisé dans les attaques contre le cloud et les identités visant Microsoft 365 et Azure. Il forge des jetons et détourne des applications OAuth et des principaux de service pour lire des courriels ciblés.

Techniques cloud

• Forge des jetons SAML avec des certificats de signature volés pour accéder aux services cloud
• Ajoute des identifiants et des rôles aux applications OAuth et aux principaux de service
• Modifie la confiance de fédération du domaine pour accepter des jetons signés par l'attaquant
• Enrôle des appareils de l'attaquant et accorde des permissions de boîte aux lettres pour la collecte d'e-mails
• Vole et rejoue des jetons d'accès applicatifs pour contourner les mots de passe

Techniques MITRE ATT&CK

Références

• MITRE ATT&CK: APT29 (G0016)
• You Can't Audit Me: APT29 Continues Targeting Microsoft 365
• SVR Cyber Actors Adapt Tactics for Initial Cloud Access (AA24-057A)
• Midnight Blizzard: Guidance for responders on nation-state attack
• Customer Guidance on Recent Nation-State Cyber Attacks