Intel 471 a analysé le groupe Turla, un acteur de cybercriminalité sophistiqué. Leur approche de détection met en évidence l’importance des IoCs, l’analyse comportementale et l’adaptabilité face aux menaces.
Intel 471, une société spécialisée dans le renseignement sur les cybermenaces, a récemment publié une analyse sur une chasse aux menaces ciblant le groupe Turla, un acteur bien connu de la cybercriminalité.
Turla est un groupe reconnu pour ses opérations cyber malveillantes sophistiquées, souvent associé à des activités d’espionnage ciblé. Son analyse détaille les principales méthodes de ce groupe ainsi que l’approche de détection mise en œuvre lors de cette chasse aux menaces.
Origines et évolution du groupe Turla
Intel 471 décrit le contexte historique du groupe Turla, apparu dans les années 1990 lorsque des hackers affiliés à l’État russe ont mené des attaques d’envergure, notamment le vol de documents classifiés auprès d’universités et d’agences américaines. Ces attaques, connues sous le nom de « Moonlight Maze », sont considérées comme l’une des premières menaces APT.
L'essentiel Cybersécurité, IA & Tech
Rejoignez la communauté. 3 fois par semaine, recevez l'analyse des tendances par Marc Barbezat. Pas de spam, juste de l'info.
Turla est aujourd’hui l’un des groupes les plus actifs et sophistiqués, opérant sous l’égide du FSB russe. En 2023, le Département de la Justice des États-Unis a lancé l’opération MEDUSA pour neutraliser le réseau Snake de Turla, un outil de cyberespionnage avancé. Ce réseau a été utilisé pour voler des informations sensibles et infiltrer des infrastructures critiques. Le FBI a réussi à développer un outil, PERSEUS, permettant de démanteler ce réseau, marquant un revers significatif pour Turla.
Un acteur persistant et sophistiqué
Turla se distingue par sa persistance et son usage d’outils sur mesure. Ce groupe, actif depuis plusieurs années, a recours à des stratégies avancées pour cibler principalement des entités gouvernementales, des institutions diplomatiques, ainsi que des organisations aérospatiales et de défense. Turla fait usage de techniques de compromission ciblées, exploitant des vulnérabilités pour pénétrer les réseaux de ses victimes et y maintenir une présence persistante.
La complexité des outils de Turla, souvent développés spécifiquement pour éviter la détection, est l’un des éléments qui rendent ce groupe particulièrement difficile à détecter et à contrer. En outre, ils adaptent constamment leurs méthodes pour contourner les solutions de sécurité modernes, notamment en utilisant des techniques de développement et d’exécution de logiciels malveillants qui tirent parti de composants légitimes présents dans les systèmes ciblés.
Techniques de chasse aux menaces
Lors de cette chasse aux menaces, l’équipe d’Intel 471 a utilisé une approche systématique pour identifier les traces laissées par Turla sur les réseaux compromis. Une partie essentielle de cette démarche consistait à analyser les indicateurs de compromission (IoCs) et les schémas comportementaux. Ces indicateurs comprennent des adresses IP suspectes, des hachages de fichiers malveillants, ainsi que des anomalies de trafic réseau. L’analyse comportementale a joué un rôle crucial dans la détection, permettant de relier des activités suspectes à des signatures de Turla connues.
Une autre technique importante était l’utilisation d’analyses forensiques pour mettre en évidence les éventuelles backdoors implantées par Turla. Ces backdoors permettent aux opérateurs d’accéder aux systèmes compromis de manière furtive. De plus, les chercheurs ont souligné l’importance de la corrélation des données de différentes sources pour identifier les patterns de compromission.
Les stratégies de détection et de mitigation
Le résultat de cette chasse aux menaces souligne la nécessité d’une approche proactive et adaptative pour contrer les opérations de Turla. La détection s’appuie sur une analyse approfondie des journaux d’activité réseau et des événements sur les hôtes. Une attention particulière a été portée aux techniques d’évasion de Turla, notamment l’utilisation de logiciels de contrôle à distance camouflés parmi les processus légitimes.
Pour mitiger les risques associés aux activités de Turla, il est également apparu essentiel d’implémenter des mesures de sécurité axées sur la segmentation des réseaux et la surveillance constante des accès aux ressources critiques. L’analyse des menaces évoque également l’importance de maintenir un niveau de vigilance élevé, en surveillant activement les nouvelles techniques d’attaque utilisées par Turla.
Enquête continue et ajustements des contrôles de sécurité
L’enquête sur les activités de Turla a mis en lumière la nature dynamique des opérations de cet acteur malveillant. Une caractéristique majeure de cette dynamique est l’adaptabilité de Turla face aux mesures de défense. Le groupe ajuste continuellement ses stratégies en fonction des contrôles de sécurité déployés par ses cibles, ce qui rend leur détection plus complexe.
Afin de maintenir une détection efficace, les spécialistes de la cybersécurité recommandent une mise à jour régulière des règles de détection et une adaptation continue des systèmes de monitoring. Les opérateurs de Turla exploitent souvent les outils et les accès existants au sein des réseaux compromis, ce qui implique une vigilance accrue pour distinguer les activités légitimes des actions malveillantes.
Pour en savoir plus
Threat Hunting Case Study: Uncovering Turla
Turla is still an active threat group. In this threat hunting case study, we’ll demonstrate how to use a hunt package in the Community Edition of HUNTER471 to hunt for a common persistence behavior associated with Turla.
(Re)découvrez également:
Serveurs, API, outils de veille.
DCOD est un projet indépendant sans revenu. L'infra a un coût. Participez aux frais.
