Acteur de la menace Turla (alias Uroboros, Snake)
Turla est un groupe de cyberespionnage parrainé par l'État russe, attribué au Service fédéral de sécurité russe (FSB). Actif depuis au moins 2004, certaines évaluations le reliant à des intrusions remontant à la fin des années 1990, il a compromis des organisations dans plus de 50 pays et s'est concentré de façon constante sur les ministères des Affaires étrangères, les ambassades, les organisations de défense, les forces militaires, les institutions de recherche et les entreprises pharmaceutiques. Turla est l'un des groupes d'espionnage les plus anciens et les plus techniquement capables jamais documentés, connu pour développer ses propres malwares plutôt que de s'appuyer sur des outils génériques, et pour un savoir-faire que d'autres acteurs tentent rarement. Le groupe est suivi sous un long liste de noms, le plus souvent Snake, Uroburos, Waterbug et Venomous Bear, et MITRE ATT&CK le recense sous la référence G0010. Cette page couvre les alias et l'attribution de Turla, ses cibles, ses méthodes opérationnelles, ce qui rend son savoir-faire distinctif et comment les organisations s'en défendent, en s'appuyant en partie sur des recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.
Ce qu'il faut retenir
- Turla est attribué au FSB russe. Il mène un espionnage à long terme aligné sur les priorités du renseignement russe, et l'attribution est étayée par des avis gouvernementaux conjoints et une opération internationale de perturbation en 2023.
- Il opère sous de nombreux noms. Snake, Uroburos, Waterbug, Venomous Bear, Krypton et Secret Blizzard désignent tous le même acteur, suivi par MITRE sous la référence G0010.
- Ses cibles sont diplomatiques et militaires. Ministères des Affaires étrangères, ambassades, organisations de défense et institutions de recherche dans plus de 50 pays.
- Il développe ses propres malwares. Le groupe a maintenu une famille d'implants maison pendant deux décennies, dont le rootkit Uroburos qui lui a valu l'un de ses noms.
- Son savoir-faire est inhabituel. Turla dissimule ses communications de commandement et contrôle (C2) dans des services cloud légitimes et a pris le contrôle d'infrastructures et d'outils appartenant à d'autres acteurs de la menace.
Les autres noms de Turla
Turla a été suivi indépendamment par de nombreuses équipes de recherche pendant deux décennies, ce qui explique sa longue liste de désignations. Elles pointent toutes vers le même acteur : Snake, Uroburos (aussi écrit Uroboros), Waterbug, Venomous Bear, Krypton, Secret Blizzard, IRON HUNTER, Group 88, WhiteBear, BELUGASTURGEON, Pensive Ursa, et G0010 (MITRE ATT&CK).
Deux points méritent d'être clarifiés lors de la lecture des sources. D'abord, Snake et Uroburos sont les noms du rootkit phare du groupe, et celui-ci est fréquemment désigné par son malware plutôt que par un label distinct, de sorte que le même mot peut désigner soit l'outil soit l'acteur selon le contexte. Ensuite, WhiteBear décrit une grappe d'activité qui chevauche Turla mais semble avoir eu un focus distinct, si bien que certains rapports la traitent comme un sous-ensemble plutôt qu'un synonyme direct.
Attribution
Turla est attribué au FSB, le Service fédéral de sécurité russe. L'attribution repose sur deux décennies de ciblage aligné sur les exigences du renseignement russe, l'utilisation constante de malwares développés en interne, et des analyses publiées par des agences gouvernementales et la communauté de recherche. Des avis conjoints des autorités de cybersécurité occidentales ont documenté en détail les outils du groupe, et en 2023 une opération internationale a perturbé le réseau de machines faisant tourner son implant Snake, accompagnée de déclarations gouvernementales nommant l'unité FSB responsable.
Les origines du groupe sont datées différemment selon les sources. MITRE ATT&CK enregistre une activité depuis au moins 2004, tandis que certaines évaluations, dont celle de Sekoia, rattachent Turla à des intrusions remontant à la fin des années 1990, notamment la campagne Moonlight Maze contre des réseaux américains entre 1996 et 1999, et au ver Agent.BTZ qui a atteint des réseaux de défense américains sensibles en 2008. Ce qui n'est pas contesté, c'est la continuité : le même groupe opère, évolue et reconstruit son arsenal depuis très longtemps.
Qui Turla cible-t-il ?
Le ciblage de Turla est avant tout diplomatique et militaire, et correspond étroitement aux intérêts de politique étrangère russes :
- Les ministères des Affaires étrangères et les ambassades : le focus le plus constant du groupe tout au long de son histoire.
- Les organisations de défense et les forces militaires, y compris les institutions alliées et affiliées à l'OTAN.
- Les administrations gouvernementales, à travers l'Europe, l'espace post-soviétique, le Moyen-Orient et au-delà.
- La recherche et l'enseignement supérieur, notamment les institutions travaillant sur la défense et la politique stratégique.
- Les entreprises de télécommunications et pharmaceutiques, ainsi que d'autres organisations privées détenant des informations à valeur stratégique.
Le groupe a affecté des organisations dans plus de 50 pays. L'investigation de Sekoia, décrite ci-dessous, a mis au jour une infrastructure Turla préparée pour une utilisation contre un établissement d'enseignement militaire balte, un organisme autrichien disposant d'un rôle formel dans les décisions nationales sur les sanctions économiques, et une plateforme e-learning de l'OTAN utilisée par le personnel militaire et gouvernemental, illustrant avec précision comment le ciblage suit les exigences du renseignement politique et militaire.
Comment Turla opère
Turla combine une intrusion patiente et silencieuse avec une véritable capacité d'ingénierie. Son activité se mappe sur le référentiel MITRE ATT&CK.
Le groupe a maintenu une famille d'implants maison tout au long de son existence, dont le rootkit Uroburos, ComRAT, Carbon, Crutch, Gazer, la boîte à outils Mosquito, la porte dérobée légère TinyTurla, et plus récemment les portes dérobées Lunar observées contre des missions diplomatiques. Turla utilise également des outils publics quand cela lui convient, personnalisant des frameworks de vol d'identifiants et de post-exploitation bien connus plutôt que de tout écrire from scratch.
Ce qui rend le savoir-faire de Turla distinctif
Plusieurs caractéristiques distinguent ce groupe, et elles méritent d'être connues car elles déterminent la façon dont il peut être détecté.
Il dissimule les C2 dans des services impossibles à bloquer. Turla a acheminé ses communications via des services de stockage cloud, des dépôts de code, des sites de partage de texte, et même une plateforme cloud de scripting. Le trafic va vers un domaine que l'organisation utilise légitimement, ce qui contrecarre la détection basée sur une infrastructure inconnue.
Il prend le contrôle de l'infrastructure et des outils d'autres acteurs. Des rapports gouvernementaux ont documenté Turla utilisant des serveurs appartenant à un groupe iranien de menaces compromis, et récupérant des malwares obtenus auprès d'autres acteurs. Cela complique l'attribution pour quiconque analyse une intrusion, car les artefacts pointent ailleurs.
Il opère au niveau du noyau. Le rootkit Uroburos et les outils ultérieurs fonctionnaient à une profondeur que la plupart des groupes ne tentent pas, ce qui historiquement rendait les implants difficiles à trouver avec les outils de terminal standard.
Il collecte parfois du renseignement sans déployer de malware. Comme le montrent les recherches de Sekoia ci-dessous, une opération de Turla peut ne consister qu'en un document qui rappelle à la maison sans que le lecteur ne s'en aperçoive, sans aucun code malveillant à détecter.
Les recherches de Sekoia sur Turla
L'équipe TDR de Sekoia a enquêté sur l'infrastructure de Turla en 2022 et publié ses conclusions, qui avaient d'abord été transmises aux clients sous forme d'un rapport Flash Intelligence. En partant de domaines publiquement signalés, l'équipe a étendu l'investigation et mis au jour une infrastructure supplémentaire de l'attaquant construite sur des domaines typosquattés usurpant l'identité de trois institutions spécifiques : le Baltic Defence College, un centre d'éducation militaire stratégique fondé par l'Estonie, la Lettonie et la Lituanie ; la Chambre fédérale économique d'Autriche, un organisme que les gouvernements autrichiens sont légalement tenus de consulter sur la réglementation, y compris les sanctions économiques ; et une plateforme e-learning de l'OTAN utilisée par le personnel militaire et gouvernemental.
La découverte la plus significative concernait ce que les documents faisaient réellement. Chaque fichier hébergé ressemblait à un document d'information légitime et ne contenait aucun code malveillant. Il référençait en revanche une image externe via le web, de sorte que sa simple ouverture causait un rappel vers le serveur de l'attaquant. Cette seule requête révélait quelle version du traitement de texte le destinataire utilisait, utile pour sélectionner un exploit adapté plus tard, et divulguait l'adresse réseau de la cible, un sélecteur précieux pour un service de renseignement disposant de capacités de renseignement d'origine électromagnétique. Une pure reconnaissance, délibérément conçue pour ne laisser rien à la détection de malwares. Sekoia a publié des règles de détection et des indicateurs de compromission (IoC) aux côtés de l'analyse.
Comment se défendre contre Turla
Parce que Turla privilégie les services légitimes et les techniques discrètes plutôt que les malwares bruyants, une défense efficace combine prévention et surveillance comportementale :
- Durcir contre le phishing et les attaques par point d'eau (watering hole). Le filtrage e-mail, la sensibilisation des utilisateurs et l'examen des documents qui accèdent à des ressources externes ferment les principales voies d'entrée du groupe.
- Surveiller l'utilisation des services cloud légitimes. Parce que les C2 se cachent dans des services que l'organisation utilise réellement, surveiller les schémas d'accès anormaux plutôt que de se fier à la réputation des domaines.
- Activer et surveiller les journaux PowerShell et de scripts. La journalisation des blocs de scripts et la surveillance des commandes obfusquées font remonter une technique dont le groupe dépend fortement.
- Surveiller les mécanismes de persistance qu'il privilégie. Alerter sur les nouveaux abonnements aux événements WMI, les profils PowerShell modifiés, les entrées de démarrage automatique inattendues et les charges utiles écrites dans le registre.
- Contrôler le chargement des pilotes et les supports amovibles. Bloquer les pilotes vulnérables limite l'escalade au niveau noyau, et restreindre l'exécution depuis les supports amovibles adresse une voie de collecte que le groupe a utilisée.
- Chasser de façon comportementale, avec du renseignement actualisé. Turla reconstruit régulièrement son arsenal, donc suivre ses techniques et schémas d'infrastructure compte plus que la correspondance de fichiers connus.
Éclairage expert : L'espionnage patient se détecte par le contexte, pas par les signatures
Turla opère depuis vingt ans non pas parce qu'il dispose d'une capacité unique imbattable, mais parce que le groupe travaille dur pour ressembler à rien. Un document qui récupère une image. Un script qui s'exécute via un utilitaire Windows natif. Un téléversement vers un service de stockage cloud que l'organisation utilise quotidiennement. Examiné un par un, chacun de ces événements est banal, et c'est précisément le design. Une détection qui demande uniquement si un fichier est connu comme malveillant trouvera très peu à signaler dans une intrusion Turla.
La corrélation et le renseignement doivent travailler ensemble. Sekoia est un éditeur européen de cybersécurité dont l'équipe TDR interne a enquêté sur Turla directement, cartographié son infrastructure et transformé ses découvertes en règles de détection et indicateurs partagés. Ces recherches alimentent la plateforme AI SOC Sekoia, où les signaux des terminaux, du réseau, des identités et du cloud sont corrélés et confrontés à des règles mappées sur MITRE ATT&CK, de sorte qu'une séquence, un document qui rappelle à la maison, un hôte de scripting qui se lance, un téléversement inhabituel vers un service familier, est reconnue comme une seule intrusion plutôt que trois événements sans lien.
Pour les ministères des Affaires étrangères, organisations de défense et institutions de recherche que ce groupe cible à travers l'Europe, le fait qu'un éditeur européen avec une posture de souveraineté des données traite cette télémétrie n'est pas un détail mineur. La question utile n'est jamais seulement de savoir si un fichier est malveillant. C'est pourquoi ce document a contacté un serveur externe, pourquoi ce processus exécute un script, et pourquoi ce compte téléverse des données à cette heure. Répondre à ces questions exige une visibilité sur l'ensemble de l'environnement, lue face au renseignement actuel sur la façon dont le groupe opère.