🇫🇷 L’ANSSI traite actuellement une vaste campagne de compromission touchant de nombreuses entités françaises. Cette dernière, toujours en cours et particulièrement virulente, est conduite par le mode opératoire APT31.

Les investigations montrent que ce mode opératoire compromet des routeurs pour les utiliser comme relais d’anonymisation, préalablement à la conduite d’actions de reconnaissance et d’attaques. Ainsi, des marqueurs, issus des routeurs compromis par l’attaquant, sont fournis pour permettre de rechercher des compromissions (depuis le début de l’année 2021) et de les mettre en détection.

Toute détection à partir de ces éléments ne constitue pas nécessairement une preuve de compromission et doit être analysée afin de lever le doute.

L’ANSSI rappelle que l’intrusion dans un système d’information est une infraction pénale et pourra mettre en relation toute entité visée dans le cadre de cette campagne avec les services judiciaires compétents.

Merci de faire remonter à l’ANSSI tout incident découvert en lien avec cette campagne à l’adresse suivante : cert-fr.cossi@ssi.gouv.fr.

🇬🇧 ANSSI is currently handling a large intrusion campaign impacting numerous French entities. Attacks are still ongoing and are led by an intrusion set publicly referred as APT31.

It appears from our investigations that the threat actor uses a network of compromised home routers as operational relay boxes in order to perform stealth reconnaissance as well as attacks. As such, indicators of compromises (IOCs) are shared to help assess possible compromises (searches should start at the beginning of 2021) and used in detection services.

Finding one of the IOCs in logs does not mean the entire system has been compromised and further analysis will be required.

ANSSI encourages recipients to report additional information about any incident linked to this campaign and can be reached at cert-fr.cossi@ssi.gouv.fr

TÉLÉCHARGER LES IOCs (CSV)
🇬🇧 DOWNLOAD IOC (CSV)

TÉLÉCHARGER LES IOCs (JSON)
🇬🇧 DOWNLOAD IOC (JSON)