Un examen plus approfondi de l’acteur de la menace persistante avancée Turla

Dans le domaine de la cybersécurité, le paysage des menaces persistantes et en évolution pose continuellement des défis aux défenseurs du monde entier. Parmi la myriade d’adversaires, un groupe a retenu l’attention pour sa sophistication, sa persistance et sa nature insaisissable : Turla, également connu sous le nom de Waterbug, Venomous Bear ou Uroboros.

Origines et évolution

Les racines de Turla remontent au début des années 2000, où il est apparu comme un groupe de cyberespionnage ciblant principalement les gouvernements, les institutions militaires, les ambassades et les organismes de recherche. Initialement, Turla s'est concentrée sur l'exfiltration d'informations sensibles pour obtenir un avantage stratégique. Cependant, au fil du temps, ses tactiques, techniques et procédures (TTP) ont évolué, faisant preuve d’une adaptabilité et d’une résilience remarquables face aux mesures défensives.

Premières opérations et tactiques

À ses débuts, Turla s’est appuyée sur des outils malveillants de base et des tactiques d’ingénierie sociale pour infiltrer les réseaux cibles. Les vecteurs courants comprenaient les e-mails de spear phishing contenant des pièces jointes ou des liens malveillants, l'exploitation des vulnérabilités des logiciels et l'exploitation des attaques par points d'eau pour compromettre les sites Web légitimes fréquentés par le groupe démographique cible.

Les premiers logiciels malveillants du groupe comprenaient des chevaux de Troie d'accès à distance (RAT) tels que « Agent.BTZ » et « Turla », permettant le contrôle à distance des systèmes compromis. Ces outils ont facilité l’exfiltration de données, l’enregistrement des frappes et les activités de surveillance, jetant ainsi les bases d’opérations plus sophistiquées dans les années à venir.

Maturation et capacités avancées

À mesure que les défenses de cybersécurité évoluaient, Turla s'est adaptée, en intégrant des techniques d'évasion avancées et en tirant parti des exploits du jour zéro pour maintenir l'accès aux réseaux cibles. Le groupe a notamment développé des outils personnalisés adaptés à des cibles spécifiques, démontrant un haut niveau de sophistication opérationnelle et d'expertise dans le développement de logiciels malveillants.

L'une des techniques phares de Turla est l'abus d'infrastructures légitimes de communication de commandement et de contrôle (C2). En détournant des domaines de confiance, en utilisant des serveurs compromis ou en exploitant des services cloud, le groupe masque ses activités malveillantes, ce qui rend l'attribution et la détection difficiles pour les défenseurs.

Arsenal de logiciels malveillants : un examen plus approfondi

Au cœur des opérations de Turla se trouve sa boîte à outils de logiciels malveillants diversifiée et en constante évolution. Au fil des années, le groupe a déployé une gamme de logiciels malveillants sophistiqués, chacun étant conçu pour remplir des objectifs spécifiques tout en échappant à la détection des solutions antivirus et des défenses du réseau.

Au sein du vaste répertoire de logiciels malveillants déployés par le groupe Turla Advanced Persistent Threat (APT), plusieurs variantes notables ont laissé une marque significative sur le paysage de la cybersécurité. Parmi eux, « Kazuar », « ComRAT » et « TinyTurla » se distinguent comme de formidables outils utilisés par Turla dans ses campagnes d'espionnage.

Kazuar : le caméléon de l'espionnage

Kazuar, bien nommé d'après l'esturgeon de la mer Caspienne, incarne l'adaptabilité et la furtivité de Turla. Cet outil d'accès à distance modulaire (RAT), identifié pour la première fois en 2017, sert d'instrument polyvalent pour pénétrer et surveiller les réseaux cibles. La force de Kazuar réside dans sa conception modulaire, permettant aux opérateurs Turla de personnaliser ses fonctionnalités en fonction des objectifs de mission spécifiques.

Les principales fonctionnalités de Kazuar incluent :

Opération furtive : Kazuar utilise des techniques d'évasion avancées pour échapper à la détection par les solutions de sécurité, permettant ainsi un déploiement secret dans les environnements cibles.
Communication robuste : facilitant une interaction transparente entre les points finaux compromis et les opérateurs distants, Kazuar exploite des canaux de communication sécurisés tels que HTTP et HTTPS.
Capacités flexibles : de la collecte de frappes au clavier et de captures d'écran à la collecte de métadonnées du système, Kazuar offre un large éventail de fonctionnalités d'espionnage adaptées aux besoins opérationnels de Turla.
Avec sa capacité à s'adapter à l'évolution des mesures défensives et son vaste ensemble de fonctionnalités, Kazuar reste un outil puissant dans l'arsenal de Turla, posant un formidable défi aux défenseurs cherchant à détecter et atténuer son impact.

ComRAT : une plateforme d'espionnage persistante

ComRAT, également connu sous le nom d'Agent.BTZ et le malware « de deuxième étape » de Turla, représente la pierre angulaire des opérations de cyberespionnage de Turla. Apparu en 2007, ComRAT a connu plusieurs itérations, évoluant vers une plate-forme d'espionnage sophistiquée capable d'effectuer une surveillance approfondie et de maintenir un accès persistant aux réseaux compromis.

Les principaux attributs de ComRAT incluent :

Collecte de données avancée : ComRAT excelle dans la collecte d'un large éventail d'informations sensibles à partir de systèmes compromis, notamment des documents, des e-mails et des informations d'identification.
Communication secrète : employant des techniques telles que le tunneling DNS et la stéganographie, ComRAT facilite l'exfiltration discrète de données tout en échappant à la détection par les mécanismes de surveillance du réseau.
Architecture modulaire : Semblable à Kazuar, ComRAT présente une conception modulaire, permettant aux opérateurs Turla d'adapter ses fonctionnalités aux exigences opérationnelles spécifiques.
En tant que plateforme d'espionnage à part entière, ComRAT souligne l'engagement de Turla en faveur de l'innovation technologique et de l'excellence opérationnelle dans la poursuite de ses objectifs.

TinyTurla : l'agent d'espionnage léger

TinyTurla, un agent d'espionnage léger observé pour la première fois en 2019, représente une rupture avec les tactiques traditionnelles de malware de Turla. Contrairement à ses prédécesseurs, qui reposaient souvent sur des capacités complexes et sophistiquées, TinyTurla adopte une approche minimaliste, axée sur la furtivité et l'agilité.

Les principales caractéristiques de TinyTurla incluent :

Conception compacte : le faible encombrement et le code minimaliste de TinyTurla le rendent difficile à détecter et à analyser, permettant un déploiement furtif dans les environnements cibles.
Surveillance ciblée : malgré sa simplicité, TinyTurla excelle dans la surveillance ciblée, la collecte d'informations sensibles et la facilitation de l'accès à distance aux systèmes compromis.
Faible consommation de ressources : conçu pour fonctionner efficacement sur des systèmes aux ressources limitées, TinyTurla minimise son impact sur les points finaux compromis, réduisant ainsi la probabilité de détection.
Bien que moins riche en fonctionnalités que Kazuar et ComRAT, la conception légère et l'agilité de TinyTurla en font un atout précieux dans les campagnes d'espionnage de Turla, soulignant encore davantage l'adaptabilité et l'innovation du groupe face à l'évolution des défenses de cybersécurité.

TinyTurla-NG ou Next Generation a été utilisé dans une campagne d'attaque visant des ONG polonaises fin 2023. Selon un rapport de Cisco Talos, TinyTurla-NG fonctionne comme une petite porte dérobée de « dernière chance », conçue pour être utilisée lorsque d'autres outils d'accès non autorisés ont échoué. ou ont été détectés sur des systèmes compromis.

Le Pelmeni Wrapper est un autre outil de l'arsenal malveillant de Turla, démontrant les capacités suivantes :

• Journalisation opérationnelle : il crée un fichier journal caché avec des noms et des extensions aléatoires pour surveiller discrètement l'activité de la campagne.
• Payload Delivery : utilise une méthode de décryptage sur mesure utilisant un générateur de nombres pseudo-aléatoires pour permettre le chargement et l'exécution de fonctions.
• Redirection du flux d'exécution : manipule les threads de processus et introduit l'injection de code pour rediriger l'exécution vers un assemblage .NET déchiffré hébergeant les composants centraux du malware.

Pour l’avenir, contrer la menace Turla nécessite une approche à multiples facettes englobant le partage de renseignements sur les menaces, des stratégies proactives de défense des réseaux et une collaboration entre les entités des secteurs public et privé. En comprenant les tactiques du groupe, en tirant parti des technologies de sécurité de pointe et en favorisant une culture de sensibilisation à la cybersécurité, les organisations peuvent mieux se défendre contre la menace en constante évolution posée par Turla et les acteurs de menaces persistantes avancées similaires.