APT29

Cozy Bear、Midnight Blizzard、Nobelium、The Dukes、UNC2452 としても追跡されています

APT29 は、SVR と関連するロシアの国家支援スパイ活動グループで、SolarWinds 侵害の実行主体です。Microsoft 365 と Azure に対するクラウドおよびアイデンティティ攻撃を得意とします。トークンを偽造し、OAuth アプリケーションやサービスプリンシパルを悪用して、標的のメールを読み取ります。

クラウドでの手口

• 盗んだ署名証明書を使って SAML トークンを偽造し、クラウドサービスにアクセスします
• OAuth アプリやサービスプリンシパルに認証情報とロールを追加します
• ドメインのフェデレーション信頼を変更し、攻撃者が署名したトークンを受け入れるようにします
• 攻撃者のデバイスを登録し、メール収集のためにメールボックスの権限を付与します
• アプリケーションのアクセストークンを盗んでリプレイし、パスワードを回避します

MITRE ATT&CK テクニック

参考資料

• MITRE ATT&CK: APT29 (G0016)
• You Can't Audit Me: APT29 Continues Targeting Microsoft 365
• SVR Cyber Actors Adapt Tactics for Initial Cloud Access (AA24-057A)
• Midnight Blizzard: Guidance for responders on nation-state attack
• Customer Guidance on Recent Nation-State Cyber Attacks