Le portail documentaire du gouvernement ukrainien subit une cyberattaque
Fin février 2021, le gouvernement ukrainien a signalé une cyberattaque contre l'infrastructure gouvernementale de partage de documents. Le centre de cybersécurité du pays a déclaré que les «méthodes et moyens» de l'attaque suggèrent l'implication d'un «groupe d'espionnage de hackers» originaire de Russie.
L'attaque visait le système d'interaction électronique des organes exécutifs, un portail Web ukrainien utilisé pour partager des documents entre les organismes gouvernementaux et les autorités publiques.
Les autorités ukrainiennes ont découvert des documents malveillants téléchargés sur le portail contenant des macros. Ce n'est pas une approche d'attaque inhabituelle ou particulièrement nouvelle, mais malheureusement une approche qui fonctionne toujours assez bien.
Une fois qu'un document malveillant a été ouvert, il demande à l'utilisateur d'autoriser l'exécution de la macro. Si l'autorisation est donnée, les scripts de macro téléchargeraient tranquillement la charge utile réelle de tout malware préparé par les mauvais acteurs derrière l'attaque.
Ce type de vecteur d'attaque peut être utilisé pour distribuer toutes les manières de charges utiles de deuxième étape, des chevaux de Troie et des portes dérobées aux racleurs d'informations, aux enregistreurs de frappe et aux ransomwares.
Les autorités ukrainiennes n'ont nommé aucun organisme ou groupe en particulier portant un nom codifié, mais ont déclaré que l'attaque contenait un certain nombre d'indicateurs de compromission, y compris le domaine enterox.ru, ainsi qu'une adresse IP et une page PHP hébergée dessus. .
Sur la base des recherches menées par l'équipe de sécurité de ZDNet, le nom de domaine indiquait probablement que l'attaque était liée à l'APT Gamaredon. Gamaredon est considéré comme un groupe de pirates informatiques parrainé par l'État, opérant depuis la Russie, qui a lancé des attaques contre des réseaux ukrainiens dans le passé.
Quelques jours avant l'annonce de cette attaque, les autorités ukrainiennes ont également signalé que de mauvais acteurs russes avaient ciblé un certain nombre d'institutions ukrainiennes différentes, y compris le site Web des services de sécurité du pays, avec des attaques de déni de service distribuées.
