APT28 et APT29 : les opérations cyber russes décryptées

Deux groupes, deux services de renseignement

La Russie dispose de deux groupes APT (Advanced Persistent Threat) majeurs, chacun rattaché à un service de renseignement différent :

APT28 (Fancy Bear, Sofacy, Pawn Storm, Strontium) est attribué à l'unité 26165 du GRU (renseignement militaire russe). Ses opérations sont souvent agressives, rapides et axées sur la déstabilisation politique.

APT29 (Cozy Bear, Nobelium, Midnight Blizzard, The Dukes) est attribué au SVR (service de renseignement extérieur russe). Ses opérations sont plus furtives, plus patientes et orientées vers le renseignement stratégique à long terme.

APT28 : opérations notables

Piratage du Comité national démocrate (2016)

APT28 a compromis les systèmes du DNC et exfiltré des milliers d'emails qui ont été publiés par WikiLeaks pendant la campagne présidentielle américaine. L'objectif était la déstabilisation politique.

Vecteur : spear phishing ciblé avec des liens vers de faux portails de connexion Google.

Piratage de TV5Monde (2015)

APT28 a pris le contrôle des systèmes de la chaîne française TV5Monde, interrompant la diffusion pendant plusieurs heures. L'attaque avait été initialement attribuée à l'État islamique (une fausse bannière), avant que l'ANSSI ne l'attribue au groupe russe.

Campagnes contre les élections européennes

APT28 a ciblé les processus électoraux en France (2017), en Allemagne (Bundestag, 2015), et dans d'autres pays européens. Les techniques incluent le spear phishing, la compromission de boîtes mail et la publication de documents volés.

APT29 : opérations notables

SolarWinds (2020)

La compromission de SolarWinds Orion est l'opération la plus sophistiquée attribuée à APT29. L'insertion d'une backdoor dans le processus de compilation d'un logiciel utilisé par 18 000 organisations démontre une capacité technique et une patience exceptionnelles.

Compromission de Microsoft (2023-2024)

APT29 a accédé aux emails de cadres dirigeants de Microsoft en exploitant un ancien compte de test qui n'avait pas le MFA activé. L'attaque a utilisé du password spraying et a permis au groupe de lire les emails de responsables de la sécurité et de la direction juridique de Microsoft.

Ciblage des laboratoires de vaccins COVID-19 (2020)

Pendant la pandémie, APT29 a ciblé les laboratoires pharmaceutiques travaillant sur les vaccins COVID-19 au Royaume-Uni, aux États-Unis et au Canada. L'objectif était le vol de propriété intellectuelle.

Tactiques, techniques et procédures comparées

APT28 :

APT29 :

Implications pour les entreprises européennes

Les entreprises françaises et européennes sont des cibles régulières de ces groupes, en particulier :

Défenses recommandées

Authentification renforcée : le MFA résistant au phishing (FIDO2) est indispensable pour les comptes à haut privilège.

Détection du mouvement latéral : les APT se déplacent lentement dans le réseau. La détection des connexions inhabituelles entre systèmes est critique.

Monitoring des accès cloud : les deux groupes utilisent des services cloud légitimes. Surveillez les accès OAuth inhabituels et les configurations de tenant.

Exercices de red team : simulez les TTP de ces groupes pour tester vos défenses.

La menace APT est réelle pour les entreprises françaises, y compris les PME qui font partie de la supply chain d'entreprises stratégiques. CleanIssue aide à identifier les surfaces d'attaque que ces groupes exploitent.