APT29

Cozy Bear, Midnight Blizzard, Nobelium, The Dukes, UNC2452로도 추적됨

APT29는 SVR과 연계되어 있으며 SolarWinds 침해의 배후로 지목되는 러시아 국가 지원 첩보 그룹입니다. Microsoft 365와 Azure를 겨냥한 클라우드 및 신원 공격을 전문으로 합니다. 토큰을 위조하고 OAuth 애플리케이션과 서비스 주체를 악용하여 표적 이메일을 읽습니다.

클라우드 공격 수법

• 탈취한 서명 인증서로 SAML 토큰을 위조하여 클라우드 서비스에 접근합니다
• OAuth 앱과 서비스 주체에 자격 증명과 역할을 추가합니다
• 도메인 페더레이션 신뢰를 변경하여 공격자가 서명한 토큰을 수락하게 합니다
• 공격자 디바이스를 등록하고 이메일 수집을 위해 사서함 권한을 부여합니다
• 애플리케이션 액세스 토큰을 탈취하고 재생하여 비밀번호를 우회합니다

MITRE ATT&CK 기법

참고 자료

• MITRE ATT&CK: APT29 (G0016)
• You Can't Audit Me: APT29 Continues Targeting Microsoft 365
• SVR Cyber Actors Adapt Tactics for Initial Cloud Access (AA24-057A)
• Midnight Blizzard: Guidance for responders on nation-state attack
• Customer Guidance on Recent Nation-State Cyber Attacks