Exfiltration silencieuse de REDCap: comment INFINITERED et UNS6508 ont utilisé Google Workspace pour voler la recherche critique

Un groupe lié à la Chine, identifié par Google comme UNC6508, a profité d'une porte arrière installée sur des serveurs REDCap exposés pour rester au sein des réseaux de recherche médicale, universitaire et militaire nord-américains pendant plus d'un an, voler du courrier et des données sensibles sans générer le type de bruit que les campagnes traditionnelles produisent souvent. La conclusion la plus inquiétante n'était pas tant la porte arrière - GTIG appelé le module malveillant INFINITERED - mais la façon dont les attaquants ont publié l'information: ils ont modifié les règles légitimes de conformité de contenu dans Google Workspace à copier par BCC sur un compte Gmail contrôlé par eux tout courrier qui coïncidait avec près de 150 mots clés.

La technique est efficace parce qu'elle explore deux réalités de la cybersécurité actuelle : premièrement, de nombreuses institutions scientifiques et cliniques publient et exposent des outils tels que REDCap pour faciliter la recherche collaborative, et deuxièmement, les plateformes cloud intègrent des fonctions d'automatisation et de conformité qui, si elles tombent dans de mauvaises mains, permettent l'exfiltration de données sans installer de logiciels malveillants supplémentaires ou générer un trafic anormal. ROUGE Cap permet des versions légales en même temps que la version actuelle, ce qui facilite les attaques de retrait sur les versions vulnérables; INFINITERED a profité de cette situation pour s'intégrer dans le flux de mise à jour lui-même et maintenir la persistance. Au-delà de l'intrusion technique, la cible de la collecte - la politique géostratégique, le matériel militaire, la recherche avancée et même les termes épidémiologiques comme "chikungunya" - montre que les agresseurs ont cherché à la fois la propriété intellectuelle critique et le renseignement d'État.

Les implications sont doubles : d'une part, perte de la recherche biomédicale et impact possible sur les réponses en matière de santé et les collaborations universitaires; d'autre part, risque d'exfiltration d'informations affectant la sécurité nationale et la préparation militaire. Pour les institutions qui traitent des données sensibles, cela doit changer la priorisation des contrôles : il ne suffit pas de protéger les serveurs exposés, il est nécessaire d'auditer et de contrôler les fonctions de gestion du cloud qui peuvent transformer une fonction légitime en canal de fuite. Google a informé les victimes et désactivé le compte utilisé par les attaquants, mais l'épisode souligne que le périmètre n'est plus seulement la machine affectée, mais aussi les services gérés associés à cette identité administrative.

Les mesures spécifiques que tout agent technique ou de sécurité devrait mettre en œuvre immédiatement comprennent l'examen de toutes les instances REDCap accessibles à partir d'Internet, la suppression des anciennes versions plutôt que de permettre la coexistence, l'application de correctifs et la reconstruction de serveurs engagés à partir d'images propres; REDCap est un projet de référence et son site Web officiel contient des ressources utiles pour les gestionnaires, par exemple dans projetredcap.org. En parallèle, il est essentiel de vérifier la conformité et les règles d'envoi dans Google Workspace ou d'autres suites de messagerie en nuage: recherchez les règles qui font BCC, envoyez ou copiez des messages à des adresses externes et vérifiez les dossiers de gestion pour savoir qui et quand créés ou modifiés ces règles - la documentation officielle de Google sur les règles de contenu peut servir de point de départ: Établir des règles pour examiner le contenu et prendre des mesures.

Du point de vue de la détection et de la recherche, ne dépendent pas uniquement de la télémétrie du réseau. Examiner les registres de vérification de la gestion, les sessions des superutilisateurs et les changements dans les politiques de conformité; chercher à créer des règles comportant des erreurs typographiques délibérées (le rapport cite un terme erroné comme « Patroït ») et des modèles de mots clés liés aux collectes de renseignements. La recherche et la recherche d'indicateurs associés à INFINITERED et UNC6508, et leur corrélation avec l'accès aux comptes de service et les élévations de privilèges, sont une priorité; Google Threat Intelligence Group publie des analyses et des mesures qui peuvent aider à guider ces chasses, et sa page d'information offre des contextes utiles: Google Threat Analysis Group.

En ce qui concerne l'atténuation de l'organisation et de la gouvernance, appliquer un multifacteur d'authentification résistant au phishing dans tous les comptes administratifs et à risque élevé, les environnements de recherche segmentaire afin qu'un titre de compétence engagé ne permette pas de sauter directement vers des domaines critiques et limite la capacité de créer des règles de conformité à un groupe minimum avec approbation officielle. Mettre en place une détection en temps réel et des alertes sur les changements dans les politiques de courrier et la création de règles qui postent hors du domaine, et envisager des contrôles supplémentaires tels que des dossiers de vérification immuables et des procédures de double approbation pour les changements sensibles.

Si vous soupçonnez qu'elle a été affectée, traitez la réponse comme une intrusion latérale : déconnectez et préservez les systèmes pour l'analyse médico-légale, changez et faites pivoter les lettres d'identité et les clés associées, rétablissez les sessions d'administrateur, révoquez ou reconstruisez les serveurs REDCap compromis et recherchez des preuves de mouvement latéral vers des comptes de domaine ou des services de courrier. En outre, coordonner avec les partenaires et les autorités compétentes s'il existe des preuves d'exfiltration de données sanitaires ou d'informations réglementées. La communauté de la sécurité doit comprendre que cette affaire montre une tendance : les fonctionnalités de cloud conçues pour la conformité ou la commodité peuvent être le lien le plus silencieux et efficace pour l'exfiltration lorsqu'un acteur obtient des privilèges administratifs.

En bref, protéger les environnements de recherche n'est pas seulement patcher des applications; c'est contrôler qui peut manipuler les politiques de services en nuage et visualiser toute automatisation qui peut copier ou détourner des messages. L'audit de REDCap, l'application de politiques strictes de gestion du cloud, la demande de MFA résistant à l'hameçonnage et l'établissement de détections spécifiques pour les changements dans les règles de courrier sont des étapes qui réduisent le risque qu'une intrusion technique devienne une fuite massive de connaissances scientifiques et de données sensibles.