Contexte et acteurs

Kaspersky a identifié trois groupes de menace qui ciblent les entreprises russes : NightEagle (aussi nommé APT‑Q‑95), Hacking Cat, et Toy Ghouls. NightEagle opère depuis 2023 et se sert de comptes VPN compromis, souvent via des tunnels Cloudflare WARP ou des fournisseurs d’infrastructure européens. Hacking Cat, positionné comme hacktiviste pro‑ukrainien, a évolué de simples défacements vers des campagnes de chiffrement et de destruction. Toy Ghouls apparaît dans les rapports comme un acteur supplémentaire, bien que les détails techniques restent limités dans les sources publiques.

Techniques de persistance et de mouvement latéral

NightEagle utilise le module backdoor GhostContainer, capable d’injecter du code dans Microsoft Exchange Server en détournant le paramètre VIEWSTATE. L’injection repose sur l’extraction de clés cryptographiques du fichier de configuration ASP.NET, puis sur le remplacement du champ VIEWSTATE afin de charger le chargeur en mémoire. Le composant intègre des projets open‑source : le tunnel Neo‑reGeorg, l’exploit CVE‑2020‑0688 et la classe GhostWebShell issue de ysoserial. Pour le déplacement interne, le groupe télécharge des outils de tunneling (rdp2tcp) et exploite CVE‑2019‑0708 (BlueKeep) afin de créer des comptes locaux ajoutés aux groupes Administrators et Remote Desktop Users. Un DCSync est également réalisé pour récupérer les hachages de mots de passe de l’annuaire Active Directory, puis des tickets Kerberos à longue durée de vie sont utilisés pour accéder aux ressources critiques.

Mécanismes de chiffrement et d’effacement

Hacking Cat déploie le RAT Gorilla, écrit en Go, qui s’appuie sur les vulnérabilités Exchange CVE‑2021‑26855 et CVE‑2026‑42897 pour pénétrer les serveurs. Une fois installé, Gorilla ouvre un tunnel vers un serveur de commande et contrôle, permettant l’exécution de commandes, la collecte d’informations système et le transfert de fichiers. Le groupe diffuse plusieurs variantes du ransomware Monkey :

• Variante Rust : génère une clé de 32 octets et chiffre les fichiers avec ChaCha20‑Poly1305. Certaines versions ne conservent aucune clé, se comportant ainsi comme un wiper tout en laissant une note de rançon.
• Variante .NET : utilise AES‑256‑CBC avec une clé de 32 octets transmise au C2. Elle élève les privilèges, extrait les identifiants Outlook, supprime les fichiers de sauvegarde (.bak, .backup, .bkf, .bck) et s’autodétruit après exécution.
• Variante C++ : persistance via tâche planifiée ou clé de registre RunOnce, nettoyage des journaux, désactivation d’AMSI, d’ETW, de Defender, de Task Manager et de la console Windows, obtention de l’adresse IP publique via api.ipify.org et ipapi.co, et désactivation du service de copie d’ombre (VSS).
• Variante Golang : cible Linux et ESXi, persistance via crontab, désactivation de services de récupération similaires.

Implications et contre‑mesures

Les chaînes d’attaque combinent compromission d’identifiants légitimes, exploitation de vulnérabilités Exchange et de failles RDP, puis déploiement de backdoors modulaires. La présence de composants open‑source rend la détection difficile, car les binaires peuvent se fondre dans des processus légitimes. La mitigation passe par la rotation stricte des mots de passe VPN, la désactivation des tunnels Cloudflare non autorisés, la mise à jour immédiate des correctifs Exchange (CVE‑2021‑26855, CVE‑2026‑42897) et RDP (CVE‑2019‑0708), ainsi que la surveillance des appels système liés à VIEWSTATE et aux créations de tâches planifiées. La segmentation du réseau et le durcissement d’Active Directory (restriction des droits DCSync) réduisent l’impact d’un mouvement latéral réussi.