Иранската APT35 се насочва към израелски медии с модерен Spear-Phishing

Свързаната с Иран група за заплахи, известна като APT35 (известна още като Charming Kitten, Imperial Kitten или Tortoiseshell), е актуализирала арсенала си за кибератаки с подобрени възможности за прикриване на действията си, както и с подобрена персонализирана задна врата, която разпространява чрез spear-phishing кампания.

Твърди се, че напредналата постоянна заплаха (APT) действа от Иран и се занимава предимно със събиране на разузнавателна информация чрез компрометиране на идентификационните данни на акаунти и впоследствие на електронната поща на лица, които успешно атакува чрез spear-phish.

Според публикация в блога на Volexity, групата наскоро е направила опит за spear-phishing кампания, насочена към израелски журналист, с примамка „проектодоклад“. „Черновата на доклада“ е представлявала защитен с парола RAR файл, съдържащ зловреден LNK файл, който изтегля задна врата.

Инцидентът е бил силно целенасочена атака; преди да изпратят зловреден софтуер на жертвата, нападателите са попитали дали лицето би било отворено да прегледа написан от тях документ, свързан с външната политика на САЩ. Мишената се съгласила да го направи, тъй като това не е необичайна молба в журналистическата професия, но APT35 не го изпратила веднага – вместо това нападателите продължили взаимодействието с друг доброкачествен имейл, съдържащ списък с въпроси, на които след това мишената отговорила с отговори. След няколко дни на доброкачествено и привидно легитимно взаимодействие нападателите най-накрая изпратили „чернова на доклад“, заредена със зловреден софтуер.

Тоби Люис, глобален ръководител на отдела за анализ на заплахи в Darktrace, казва, че профилът на целите на APT35 е много близък до темата, която бихте очаквали да видите от група, свързана с иранското правителство. Той казва: „Това е група, която се опитва да бъде поръчкова, да бъде скрита и да остане под радара, така че за да го направи, ще се съсредоточи върху социалното инженерство, за да се опита да подобри възвръщаемостта на инвестициите.“

Зловредният софтуер PowerStar и развиващите се техники за Spear-Phishing

В тази последна кампания тя достави зловредния софтуер PowerStar – актуализирана версия на една от известните й задни врати, известна като CharmPower – която се праща чрез имейл, съдържащ .LNK файл в защитен с парола .RAR файл.Когато бъде изпълнен от потребител, .LNK файлът изтегля PowerStar от доставчика на хостинг услуги Backblaze и контролираната от нападателя инфраструктура, се посочва в доклада на Volexity. След това PowerStar събира малко количество системна информация от компрометираната машина и я изпраща чрез POST заявка до адрес за управление и контрол (C2), изтеглен от Backblaze.

Volexity смята, че този вариант на PowerStar е особено сложен, и подозира, че той вероятно се поддържа от персонализиран компонент от страна на сървъра, който автоматизира прости действия за оператора на зловредния софтуер. Освен това функцията за декриптиране се изтегля от отдалечено разположени файлове, което възпрепятства откриването на зловредния софтуер извън паметта и дава на нападателя превключвател за убиване, за да предотврати бъдещ анализ на ключовата функционалност на зловредния софтуер.

„С PowerStar, Charming Kitten се стремеше да ограничи риска от излагане на техния зловреден софтуер на анализ и откриване, като доставяше метода за декриптиране отделно от първоначалния код и никога не го записваше на диска“, заявиха от компанията. „Това е допълнителен бонус, който действа като оперативна защита, тъй като отделянето на метода за декриптиране от сървъра за управление и контрол предотвратява бъдещо успешно декриптиране на съответния полезен товар на PowerStar.“

Люис казва, че стремежът към възвръщаемост на инвестициите за APT групите понякога стимулира сравнително несложни кампании с ниски усилия, но по-често „имате групи, които ще станат толкова сложни, колкото е необходимо, за да постигнат целите си“. Някои ще могат да разработват „нулеви дни“, а не просто да използват нещо, което са получили от някой друг; други ще демонстрират сложност в начина, по който управляват и контролират инфраструктурата си.

Последното е случаят с APT35. „Когато имате търговския занаят, който тази група използва, ефективно сваляте потребителски товари, сваляте различни модули от услуги на трети страни“, казва той. „Всеки отделен полезен товар ще бъде малко по-различен, малко нагласен и малко настроен и … този вид подход е абсолютно това, което бихте очаквали да видите.“

Въпреки това изследователите на Volexity казват, че редовно наблюдават операции от APT, но смятат, че групата рядко разполага зловреден софтуер като част от атаките си. „Тази пестелива употреба на зловреден софтуер в операциите им вероятно увеличава трудността за проследяване на атаките им“, смятат от фирмата.

APT35 е активна от повече от десетилетие. Според блога на Darktrace от 2021 г. през това време APT35 е започнала мащабни кампании срещу организации и длъжностни лица в Северна Америка и Близкия изток; публичната атрибуция характеризира APT35 като базиран в Иран национален държавен извършител на кибератаки. Подозира се, че последните кампании са в услуга на потенциалното физическо насочване на ирански дисиденти за отвличане и други кинетични операции.

Източник: DARKReading

Подобни публикации

4 октомври 2023

Моделите на PyTorch са уязвими за изпълнение на...

Изследователи в областта на киберсигурността са разкрили множество ...
4 октомври 2023

Qualcomm издава кръпка за 3 нови нулеви дни

Производителят на чипове Qualcomm пусна актуализации за сигурност, ...
4 октомври 2023

Над 3 дузини зловредни пакети npm са насочени к...

Според констатации на Fortinet FortiGuard Labs в хранилището за пак...
4 октомври 2023

Милиони мейл сървъри на Exim са изложени на zer...

Критична уязвимост от типа „нулев ден“ във всички верси...
3 октомври 2023

Cyber Security Talks Bulgaria – ОКТОМВРИ 2023

На 10.10.2023 г. във Висшето военноморско училище в гр. Варна ще се...
3 октомври 2023

ФБР предупреждава за ръст на измамите с "фантом...

ФБР публикува съобщение за обществена услуга, в което предупреждава...
3 октомври 2023

Новият ASMCrypt Malware Loader лети под радара

Киберпрестъпници продават нов софтуер за криптиране и зареждане, на...
2 октомври 2023

Рансъмуер банди вече използват критичен недоста...

Бандите за изнудване сега се насочват към наскоро поправена критичн...
2 октомври 2023

Motel One призна нарушение на сигурността на да...

Групата Motel One обяви, че е била обект на атака от страна на изну...
Бъдете социални
Още по темата
03/10/2023

ФБР предупреждава за ръст н...

ФБР публикува съобщение за обществена услуга,...
28/09/2023

OilRig се насочва към израе...

Израелските организации са били обект на...
28/09/2023

Фишинг атаки на тема "Черве...

Наблюдава се, че нова  заплаха, известна...
Последно добавени
04/10/2023

Моделите на PyTorch са уязв...

Изследователи в областта на киберсигурността са...
04/10/2023

Qualcomm издава кръпка за 3...

Производителят на чипове Qualcomm пусна актуализации...
04/10/2023

Над 3 дузини зловредни паке...

Според констатации на Fortinet FortiGuard Labs...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!