Logiciel malveillant GooseEgg lié à l'APT Russian Fancy Bear
APT28, un acteur malveillant lié à la Russie, a utilisé une vulnérabilité de sécurité dans le composant Microsoft Windows Print Spooler pour déployer un nouveau malware personnalisé nommé GooseEgg. Cet outil post-compromission, opérationnel depuis au moins juin 2020 et potentiellement dès avril 2019, exploitait une faille désormais corrigée permettant une élévation de privilèges (CVE-2022-38028, score CVSS : 7,8). Microsoft a résolu ce problème dans des mises à jour publiées en octobre 2022, en attribuant le mérite à la National Security Agency (NSA) des États-Unis pour l'avoir initialement signalé.
Fancy Bear a déployé GooseEgg contre diverses cibles
Selon des découvertes récentes de l'équipe de renseignement sur les menaces de Microsoft, APT28 (également connu sous le nom de Fancy Bear et Forest Blizzard) a utilisé cette vulnérabilité dans des attaques ciblant des organisations gouvernementales, non gouvernementales, de l'éducation et des transports en Ukraine, en Europe occidentale et en Amérique du Nord.
Forest Blizzard, qui serait associé à l'unité 26165 de l'agence de renseignement militaire russe GRU, est actif depuis une quinzaine d'années, se concentrant principalement sur la collecte de renseignements pour soutenir les objectifs de politique étrangère russe.
Attaques précédentes de Fancy Bear
En plus de GooseEgg, APT28 a exploité d'autres vulnérabilités, comme une faille d'élévation de privilèges dans Microsoft Outlook (CVE-2023-23397, score CVSS : 9,8) et un bug d'exécution de code dans WinRAR (CVE-2023-38831, score CVSS : 7,8). ), démontrant leur agilité à intégrer les exploits publics dans leurs tactiques.
L'objectif du déploiement de GooseEgg, selon Microsoft, est d'obtenir un accès élevé aux systèmes cibles et de voler des informations d'identification et des informations. Le malware est généralement déployé avec un script batch et permet d'exécuter des commandes pour déclencher l'exploit et lancer des applications spécifiées avec des autorisations élevées, en vérifiant le succès grâce à des commandes telles que whoami.
