Gamaredon : l'APT russe à l'origine du malware avancé en Asie centrale

Le cyberespionnage et l'utilisation de logiciels malveillants dans les conflits géopolitiques atteignent de nouveaux sommets de sophistication, et l'un des groupes les plus notoires dans ce domaine est Gamarédon, un acteur des menaces persistantes avancées (APT) aligné sur Russie. Ce groupe, également connu sous le nom Ours primitif, ACTINIUM o Ver de mer, a été lié à Service fédéral de sécurité de Russie (FSB) et orchestre des cyberattaques de grande envergure depuis au moins 2014. Ses principaux objectifs ont inclus Ukraine et, plus récemment, aux anciens États soviétiques tels que Ouzbékistan y Kazakhstan.

Des découvertes récentes réalisées par des chercheurs ont révélé que Gamarédon a déployé deux familles de malwares pour Android: OsEspion y PlainGnome. Ces outils de surveillance ont été utilisés de manière stratégique pour surveiller les appareils et obtenir des informations confidentielles, exacerbant les tensions dans la région après l'invasion de Ukraine par Russie en 2022.

Le contexte de Gamaredon et son évolution au fil des années

Depuis sa première identification, Gamaredon constitue une menace importante pour la cybersécurité, surtout dans Ukraine. Selon les rapports du Service de sécurité ukrainien, ce groupe est actif depuis au moins 2013 et a mené des campagnes visant à interférer avec les institutions gouvernementales et les entreprises stratégiques. Attaques de phishing massives contre des entités liées à Ukraine, démarré depuis fin 2021.

Parmi les outils les plus destructeurs associés à ce groupe figurent Déplaceur de litière, un ver informatique qui se propage via les appareils USB. Ce malware infecte non seulement les ordinateurs, mais maintient une communication constante avec les serveurs de commande et de contrôle, exploités à partir d'infrastructures liées à Gamarédon. Son utilisation a généré des infections collatérales dans des pays comme États Unis y Chili, même si les impacts les plus importants ont été détectés dans Ukraine.

L'émergence de BoneSpy et PlainGnome

Parmi les outils les plus récents de Gamarédon Faits saillants OsEspion y PlainGnome, deux familles de logiciels espions pour Android conçus pour la surveillance des utilisateurs dans les pays de l'ex-Union soviétique. Selon les chercheurs de Laboratoire de surveillance des menaces, OsEspion dérive du logiciel de surveillance open source connu sous le nom de DroidWatcher, pendant que PlainGnome présente une architecture plus sophistiquée, comprenant une mise en œuvre en deux étapes.

OsEspion Il est utilisé depuis au moins 2021 et a considérablement évolué, s'imposant comme un instrument capable de collecter des informations telles que des messages SMS, des journaux d'appels, la localisation GPS et du contenu multimédia de l'appareil cible. Ses premières versions incluaient des applications trojanisées telles que des moniteurs de charge de batterie et de fausses applications, mais à des stades plus avancés, elles étaient déguisées en versions fonctionnelles de Telegram Cheval de Troie.

Pour sa part, PlainGnome Elle est apparue en 2024 comme une alternative encore plus complexe. Son modèle de déploiement en deux phases garantit que les logiciels malveillants ne sont pas détectés, en exécutant une surveillance uniquement lorsque l'appareil est inactif. De plus, il utilise des techniques avancées pour échapper à la détection, telles que l'enregistrement du son ambiant sans alerte visuelle sur l'appareil.

L'impact des attaques dans la région

Le déploiement de OsEspion y PlainGnome a mis plusieurs pays sous les projecteurs Asie centraleComme Ouzbékistan, Kazakhstan, Tadjikistan y Kirghizistan. Le choix de ces objectifs semble répondre aux tensions croissantes entre Russie et ces nations après le début de la guerre en Ukraine. Bien que Gamarédon Historiquement, elle a concentré ses efforts sur Ukraine, on soupçonne que sa diversification actuelle des objectifs géographiques est une tentative de créer de l'instabilité dans des régions stratégiques.

Les deux familles de logiciels malveillants partagent l'infrastructure avec les campagnes sur ordinateur attribuables à Gamarédon, selon des tests de domaines et d'adresses IP analysés par différents laboratoires de renseignement. Par exemple, le service DNS dynamique utilisé pour héberger les serveurs de commande et de contrôle est une constante depuis 2017.

Caractéristiques techniques et capacités de BoneSpy et PlainGnome

Les capacités de surveillance de OsEspion y PlainGnome Ils sont vastes et écrasants. Les fonctionnalités communes incluent :

• Obtention de données sensibles telles que des messages texte, des journaux d'appels et des contacts.
• Surveillance de la localisation GPS et accès à la caméra de l'appareil.
• Collecte d'informations sur le système d'exploitation et les applications installées.
• Télécommande par commandes SMS, notamment dans le cas de OsEspion.

PlainGnome Il utilise également des techniques avancées d’exfiltration de données, qui minimisent leur détection par l’utilisateur. Par exemple, les données sont envoyées uniquement lorsque le téléphone est en mode veille, ce qui réduit les chances d'être détectées en raison d'anomalies d'utilisation ou de consommation de la batterie.

La réponse internationale et les mesures pour atténuer les risques

Les attaques attribuées à Gamarédon ont suscité une inquiétude croissante à l’échelle internationale. agences de sécurité États Unis y Europe ont pointé ces cyberattaques comme une menace directe pour la stabilité des infrastructures critiques. De plus, des groupes de recherche indépendants tels que Lookout y Check Point Ils travaillent activement à l'identification des infrastructures et des techniques utilisées par le groupe.

Les mesures recommandées pour se protéger contre ce type de malware incluent :

• Évitez d'installer des applications en dehors des magasins officiels tels que Google JOUER.
• Vérifiez les paramètres de sécurité de l'appareil et désactivez les autorisations inutiles.
• Utilisez des solutions de sécurité mises à jour, capables de détecter les menaces en temps réel.

En outre, il est important pour les entreprises d’adopter des protocoles stricts pour la gestion des mobiles, surtout s’ils contiennent des informations confidentielles ou sont connectés à des réseaux d’entreprise.

Le cas de la Gamarédon met en évidence comment le cyberespionnage évolue vers des niveaux de plus en plus complexes et comment les acteurs étatiques influencent directement les conflits géopolitiques à travers le cyberespace. Les capacités de surveillance et de manipulation de OsEspion y PlainGnome Ils représentent une menace réelle, non seulement pour les individus mais pour des nations entières.