APT29 (Cozy Bear / Midnight Blizzard)

APT29 est un groupe de cyberespionnage parrainé par l'État russe, attribué par les gouvernements américain, britannique et d'autres alliés au Service de renseignement extérieur russe (SVR). Actif depuis au moins 2008, c'est l'un des acteurs étatiques les plus capables et les plus persistants suivis par la communauté de la sécurité, défini par sa discrétion opérationnelle, ses longs temps de présence (dwell time) et son focus sur la collecte de renseignement plutôt que sur la perturbation ou la destruction. APT29 est également connu sous les noms de Cozy Bear, Midnight Blizzard (la désignation actuelle de Microsoft), Nobelium et The Dukes ; MITRE ATT&CK le suit sous la référence G0016. Il est surtout connu pour la compromission de la chaîne d'approvisionnement SolarWinds en 2020 et, plus récemment, pour avoir infiltré les systèmes d'entreprise de Microsoft. Contrairement aux acteurs plus bruyants, APT29 privilégie la sécurité opérationnelle et des accès difficiles à détecter, et s'est progressivement éloigné des intrusions lourdes en malwares pour adopter un savoir-faire centré sur le cloud et les identités. Cette page couvre l'attribution du groupe et ses alias, sa place dans l'écosystème des menaces russes, ses campagnes notables, ses méthodes opérationnelles actuelles et comment les organisations peuvent s'en défendre.

Ce qu'il faut retenir

APT29 est attribué au SVR russe. Les gouvernements américain, britannique et alliés estiment que le groupe fait presque certainement partie du Service de renseignement extérieur russe, menant des opérations d'espionnage alignées sur les priorités du Kremlin.
Il opère sous de nombreux noms. Cozy Bear, Midnight Blizzard, Nobelium, The Dukes, UNC2452 et Dark Halo désignent tous le même acteur, suivi par MITRE sous la référence G0016.
L'espionnage et la discrétion le définissent. APT29 favorise les intrusions longues et silencieuses pour dérober des informations gouvernementales, diplomatiques et de recherche sensibles, ce qui le distingue des acteurs perturbateurs ou destructeurs.
SolarWinds est son opération emblématique. La compromission de la chaîne d'approvisionnement en 2020 via SUNBURST a touché environ 18 000 organisations et redéfini les attentes du secteur face aux risques liés aux chaînes d'approvisionnement.
Il s'est tourné vers le cloud. APT29 cible de plus en plus les systèmes d'identité, les jetons OAuth et les plateformes cloud, utilisant des techniques de type « living off the land » (LOTL) pour se fondre dans l'activité normale et éviter de déployer des malwares détectables.

Attribution et alias

APT29 a été attribué au SVR par plusieurs gouvernements et éditeurs de cybersécurité, étayé par des preuves forensiques et analytiques solides : une infrastructure opérationnelle cohérente, des schémas distinctifs de développement de malwares, un ciblage correspondant aux priorités de renseignement du SVR, une activité alignée sur les horaires de travail moscovites et des artefacts en langue russe. Des déclarations formelles d'attribution ont accompagné les divulgations SolarWinds en 2021 par les États-Unis et le Royaume-Uni, et les rapports britanniques, américains et néerlandais ont répétidement renforcé le lien avec le SVR.

Parce que de nombreux éditeurs ont suivi le groupe indépendamment, il porte un ensemble inhabituellement large de noms. Les plus courants sont Cozy Bear, Midnight Blizzard (la désignation actuelle de Microsoft), Nobelium et The Dukes. D'autres incluent UNC2452, Dark Halo, CozyDuke, YTTRIUM, Cloaked Ursa, IRON RITUAL, IRON HEMLOCK, NobleBaron, StellarParticle et BlueBravo. Ils désignent tous le même acteur, ce qui explique pourquoi le recoupement des rapports d'éditeurs est indispensable pour l'étudier.

APT29 dans l'écosystème des menaces russes

APT29 est l'un des trois acteurs cyber liés à l'État russe les plus souvent cités, et les distinguer est utile car leur doctrine et leurs comportements diffèrent.

APT29 (SVR) est le spécialiste de l'espionnage : patient, discret et focalisé sur une collecte silencieuse de renseignement sur des mois ou des années. APT28, connu sous le nom de Fancy Bear, est attribué à l'agence de renseignement militaire GRU et est associé à des opérations plus agressives et perturbatrices. Turla est lié au FSB et est un autre acteur d'espionnage de longue date. Là où un groupe lié au GRU peut privilégier la vitesse et l'impact, le savoir-faire SVR d'APT29 favorise le maintien d'une présence indétectée pour continuer à collecter. Cette distinction compte pour la défense : APT29 ne veut pas être trouvé, ce qui rend la détection comportementale et le renseignement sur les menaces plus efficaces que la seule réponse réactive aux incidents.

Campagnes notables

L'historique opérationnel d'APT29 s'étend sur plus d'une décennie et suit de près les intérêts stratégiques russes.

L'ère des Dukes (2008–2014)

Les premières campagnes utilisaient une famille d'outils personnalisés souvent désignés sous le nom de Dukes, notamment MiniDuke, CosmicDuke, SeaDuke et CozyDuke, ciblant des ministères européens, l'OTAN et des groupes de réflexion américains. La discipline de ciblage et la focalisation sur l'espionnage étaient déjà caractéristiques. Kaspersky a publié les premiers rapports publics sur cet acteur, et une opération du renseignement néerlandais en 2014 a donné une rare visibilité directe sur le groupe.

Gouvernement américain et DNC (2014–2016)

APT29 a été lié à des intrusions dans les systèmes de messagerie du Département d'État américain et de la Maison-Blanche vers 2014–2015, ainsi qu'à la compromission du Comité national démocrate (DNC) en 2015–2016, activités plus tard regroupées dans les rapports gouvernementaux américains sous le nom GRIZZLY STEPPE. Cette période a cimenté la réputation du groupe pour les cibles de renseignement politique de haute valeur.

Ciblage du vaccin COVID-19 (2020)

En 2020, des agences britanniques, américaines et canadiennes ont averti qu'APT29 ciblait des organisations impliquées dans le développement du vaccin COVID-19, en utilisant des malwares personnalisés connus sous les noms WellMess et WellMail. Un exemple clair d'espionnage aligné sur une priorité stratégique nationale : celui qui contrôle un vaccin contrôle aussi un levier de négociation.

SolarWinds / SUNBURST (2020)

L'opération la plus conséquente d'APT29 a compromis le processus de build du produit de gestion IT Orion de SolarWinds et intégré la porte dérobée SUNBURST dans des mises à jour signées et de confiance. Cette compromission de la chaîne d'approvisionnement a distribué le malware à environ 18 000 organisations, et les acteurs ont sélectivement activé des outils supplémentaires, dont TEARDROP, contre des cibles de haute valeur incluant plusieurs agences fédérales américaines et de grandes entreprises technologiques. Les rapports indiquaient que le groupe avait maintenu l'accès pendant des mois avant la détection. SolarWinds a redéfini la façon dont le secteur pense au risque lié aux chaînes d'approvisionnement.

Compromissions Microsoft et ère cloud (2023–2024)

Plus récemment, APT29 a infiltré les systèmes de messagerie d'entreprise de Microsoft dans une intrusion divulguée début 2024, utilisant des attaques par pulvérisation de mots de passe et des abus OAuth pour accéder aux boîtes mail des dirigeants et des équipes de sécurité. Une intrusion comparable chez Hewlett Packard Enterprise a été attribuée au même acteur. Ces incidents illustrent le tournant décisif du groupe vers les opérations centrées sur les identités et le cloud : pas de malware personnalisé, seulement des jetons volés et des services légitimes détournés.

Comment opère APT29

Le savoir-faire d'APT29 a évolué des malwares personnalisés vers l'abus de services légitimes et des identités, mais quelques thèmes sont constants : discrétion, redondance des accès et intégration dans l'activité normale. Ses techniques se mappent clairement sur le référentiel MITRE ATT&CK.

Phase	Techniques représentatives
Accès initial	Hameçonnage ciblé (spearphishing), pulvérisation de mots de passe contre des comptes cloud, exploitation de services exposés sur internet et compromission de la chaîne d'approvisionnement (comme avec SolarWinds).
Persistance et élévation de privilèges	Abus des applications OAuth et des jetons de rafraîchissement, jetons SAML forgés (Golden SAML), abus d'ADFS et portes dérobées personnalisées on-premise.
Évasion des défenses	Living off the land avec PowerShell et WMI, implants redondants, et commandement et contrôle intégré dans des services de confiance tels que Microsoft 365, Dropbox et Google Drive.
Collecte et exfiltration	Accès aux boîtes mail et aux dépôts de documents, exfiltration sélective et à faible volume cadencée pour éviter de déclencher des alertes.

Du côté des malwares, le groupe a utilisé des familles incluant SUNBURST et TEARDROP (SolarWinds), WellMess et WellMail (ciblage des vaccins), GoldMax, HAMMERTOSS et des implants axés sur ADFS comme FOGGYWEB et MAGICWEB. De plus en plus, cependant, APT29 privilégie l'abus d'identifiants et de jetons plutôt que les malwares. Une grande partie de l'activité ressemble à des accès authentifiés légitimes, ce qui est précisément ce qui la rend difficile à détecter et explique pourquoi la surveillance des identités et le monitoring comportemental comptent plus que les outils basés sur les signatures pour cet acteur.

Qui APT29 cible-t-il ?

Le ciblage d'APT29 est cohérent avec la collecte de renseignement du SVR plutôt qu'avec un gain financier ou une perturbation. Les cibles principales incluent les gouvernements occidentaux, les missions diplomatiques et les ministères des Affaires étrangères, les groupes de réflexion et les instituts de recherche politique, les ONG, les secteurs de la défense et de l'aérospatiale, ainsi que les fournisseurs de services IT et les locataires cloud qui les soutiennent. Les attaques contre les chaînes d'approvisionnement et les prestataires de services sont particulièrement précieuses car elles offrent un accès à de nombreuses victimes en aval en une seule opération, un schéma que SolarWinds a rendu évident.

Comment se défendre contre APT29

Parce que le groupe s'appuie désormais sur les identités et les services légitimes plutôt que sur des malwares évidents, la défense se concentre sur la sécurité des identités, la posture cloud et la détection comportementale :

Durcir les identités et l'authentification. Appliquer l'authentification multifacteur (MFA) résistante au phishing, minimiser et surveiller les comptes à privilèges, et se défendre contre la pulvérisation de mots de passe, une méthode d'accès initial récurrente d'APT29.
Sécuriser les applications OAuth et la fédération. Auditer et restreindre le consentement des applications OAuth, surveiller les principaux de service et les enregistrements d'applications, et protéger les certificats de signature SAML et la confiance de fédération (ADFS), que le groupe a à plusieurs reprises exploités.
Surveiller le cloud et les e-mails pour détecter les accès anormaux. Comme une grande partie de l'activité ressemble à des sessions authentifiées valides, la surveillance comportementale de Microsoft 365 et des locataires cloud (utilisation inhabituelle des jetons, accès aux boîtes mail ou actions administratives anormales) est plus efficace que les seuls outils basés sur les signatures.
Gérer la confiance dans la chaîne d'approvisionnement et les tiers. Vérifier les éditeurs de logiciels et prestataires de services, surveiller les comportements anormaux dans les logiciels de confiance et limiter le rayon d'impact de toute intégration de confiance.
Traquer l'activité LOTL (living off the land). Surveiller PowerShell, WMI et autres outils natifs pour une utilisation suspecte, et corréler les signaux entre terminaux, identités et cloud pour faire remonter les intrusions furtives et à faible volume.

Éclairage expert : Détecter un acteur qui évite les malwares

Ce qui est le plus difficile dans la défense contre APT29, c'est que son meilleur savoir-faire laisse peu de prise aux outils traditionnels. Quand une intrusion repose sur un jeton OAuth volé, une assertion SAML forgée ou un identifiant valide obtenu par pulvérisation de mots de passe, il n'y a souvent aucun fichier malveillant à détonner et aucun exploit évident à bloquer. Les signaux significatifs sont comportementaux : une session authentifiée depuis un contexte inattendu, un nouveau principal de service aux permissions étendues, ou un schéma discret d'accès aux boîtes mail qui ne génère jamais de pic.

C'est là qu'une approche fondée sur le renseignement sur les menaces (CTI) est pertinente. Sekoia est un éditeur européen de cybersécurité dont l'équipe Threat Detection & Research (TDR) interne suit les acteurs étatiques comme APT29, et ce renseignement alimente la plateforme pour que les schémas de savoir-faire, d'infrastructure et de techniques connus soient reconnus en contexte. Plutôt que d'attendre une signature de malware, la plateforme AI SOC Sekoia corrèle la télémétrie sur les terminaux, les identités et le cloud, et mappe les détections sur MITRE ATT&CK, de sorte que les abus d'identités et de cloud qu'APT29 privilégie remontent comme des alertes plutôt que de passer pour une activité authentifiée normale. Le renseignement natif sur les menaces aide à prioriser les secteurs et les techniques qu'un acteur donné est le plus susceptible d'utiliser, et en tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est bien positionné pour protéger les organisations gouvernementales et diplomatiques que ce groupe cible le plus régulièrement.

Face à un acteur aussi discipliné, partez du principe que la prévention échouera parfois et investissez dans une détection qui couvre les identités, le cloud et les terminaux ensemble. La visibilité comportementale cross-surfaces est précisément la catégorie de défense que le savoir-faire d'APT29 a été conçu pour contourner, ce qui en fait le bon endroit où construire.