🇫🇷 L’ANSSI traite actuellement une vaste campagne de compromission touchant de nombreuses entités françaises. Cette dernière, toujours en cours et particulièrement virulente, est conduite par le mode opératoire APT31 (voir CERTFR-2021-CTI-012 pour plus d'informations).
Les investigations montrent que ce mode opératoire compromet des routeurs pour les utiliser comme relais d'anonymisation, préalablement à la conduite d’actions de reconnaissance et d’attaques. Ainsi, des marqueurs, issus des routeurs compromis par l’attaquant, sont fournis pour permettre de rechercher des compromissions (depuis le début de l’année 2021) et de les mettre en détection.
Toute détection à partir de ces éléments ne constitue pas nécessairement une preuve de compromission et doit être analysée afin de lever le doute.
L’ANSSI rappelle que l’intrusion dans un système d’information est une infraction pénale et pourra mettre en relation toute entité visée dans le cadre de cette campagne avec les services judiciaires compétents.
Merci de faire remonter à l’ANSSI tout incident découvert en lien avec cette campagne à l’adresse suivante : cert-fr.cossi@ssi.gouv.fr.
[Mise à jour] Les routeurs compromis dont sont issus les marqueurs de la présente publication ne sont plus utilisés à ce jour par l’attaquant comme relais d’anonymisation. En revanche, ces marqueurs peuvent toujours servir à des fins de recherches de compromission antérieure, depuis le début de l’année 2021.
🇬🇧 ANSSI is currently handling a large intrusion campaign impacting numerous French entities. Attacks are still ongoing and are led by an intrusion set publicly referred as APT31 (see CERTFR-2021-CTI-013 for more information).
It appears from our investigations that the threat actor uses a network of compromised home routers as operational relay boxes in order to perform stealth reconnaissance as well as attacks. As such, indicators of compromises (IOCs) are shared to help assess possible compromises (searches should start at the beginning of 2021) and used in detection services.
Finding one of the IOCs in logs does not mean the entire system has been compromised and further analysis will be required.
ANSSI encourages recipients to report additional information about any incident linked to this campaign and can be reached at cert-fr.cossi@ssi.gouv.fr
[Update] The infected home routers mentioned in this publication are no longer used by the threat actor. However, the shared IOCs can still be used to assess potential past breaches (from the beginning of 2021 onwards).
