Търсене
Close this search box.

Иранската APT35 се насочва към израелски медии с модерен Spear-Phishing

Свързаната с Иран група за заплахи, известна като APT35 (известна още като Charming Kitten, Imperial Kitten или Tortoiseshell), е актуализирала арсенала си за кибератаки с подобрени възможности за прикриване на действията си, както и с подобрена персонализирана задна врата, която разпространява чрез spear-phishing кампания.

Твърди се, че напредналата постоянна заплаха (APT) действа от Иран и се занимава предимно със събиране на разузнавателна информация чрез компрометиране на идентификационните данни на акаунти и впоследствие на електронната поща на лица, които успешно атакува чрез spear-phish.

Според публикация в блога на Volexity, групата наскоро е направила опит за spear-phishing кампания, насочена към израелски журналист, с примамка „проектодоклад“. „Черновата на доклада“ е представлявала защитен с парола RAR файл, съдържащ зловреден LNK файл, който изтегля задна врата.

Инцидентът е бил силно целенасочена атака; преди да изпратят зловреден софтуер на жертвата, нападателите са попитали дали лицето би било отворено да прегледа написан от тях документ, свързан с външната политика на САЩ. Мишената се съгласила да го направи, тъй като това не е необичайна молба в журналистическата професия, но APT35 не го изпратила веднага – вместо това нападателите продължили взаимодействието с друг доброкачествен имейл, съдържащ списък с въпроси, на които след това мишената отговорила с отговори. След няколко дни на доброкачествено и привидно легитимно взаимодействие нападателите най-накрая изпратили „чернова на доклад“, заредена със зловреден софтуер.

Тоби Люис, глобален ръководител на отдела за анализ на заплахи в Darktrace, казва, че профилът на целите на APT35 е много близък до темата, която бихте очаквали да видите от група, свързана с иранското правителство. Той казва: „Това е група, която се опитва да бъде поръчкова, да бъде скрита и да остане под радара, така че за да го направи, ще се съсредоточи върху социалното инженерство, за да се опита да подобри възвръщаемостта на инвестициите.“

Зловредният софтуер PowerStar и развиващите се техники за Spear-Phishing

В тази последна кампания тя достави зловредния софтуер PowerStar – актуализирана версия на една от известните й задни врати, известна като CharmPower – която се праща чрез имейл, съдържащ .LNK файл в защитен с парола .RAR файл.Когато бъде изпълнен от потребител, .LNK файлът изтегля PowerStar от доставчика на хостинг услуги Backblaze и контролираната от нападателя инфраструктура, се посочва в доклада на Volexity. След това PowerStar събира малко количество системна информация от компрометираната машина и я изпраща чрез POST заявка до адрес за управление и контрол (C2), изтеглен от Backblaze.

Volexity смята, че този вариант на PowerStar е особено сложен, и подозира, че той вероятно се поддържа от персонализиран компонент от страна на сървъра, който автоматизира прости действия за оператора на зловредния софтуер. Освен това функцията за декриптиране се изтегля от отдалечено разположени файлове, което възпрепятства откриването на зловредния софтуер извън паметта и дава на нападателя превключвател за убиване, за да предотврати бъдещ анализ на ключовата функционалност на зловредния софтуер.

„С PowerStar, Charming Kitten се стремеше да ограничи риска от излагане на техния зловреден софтуер на анализ и откриване, като доставяше метода за декриптиране отделно от първоначалния код и никога не го записваше на диска“, заявиха от компанията. „Това е допълнителен бонус, който действа като оперативна защита, тъй като отделянето на метода за декриптиране от сървъра за управление и контрол предотвратява бъдещо успешно декриптиране на съответния полезен товар на PowerStar.“

Люис казва, че стремежът към възвръщаемост на инвестициите за APT групите понякога стимулира сравнително несложни кампании с ниски усилия, но по-често „имате групи, които ще станат толкова сложни, колкото е необходимо, за да постигнат целите си“. Някои ще могат да разработват „нулеви дни“, а не просто да използват нещо, което са получили от някой друг; други ще демонстрират сложност в начина, по който управляват и контролират инфраструктурата си.

Последното е случаят с APT35. „Когато имате търговския занаят, който тази група използва, ефективно сваляте потребителски товари, сваляте различни модули от услуги на трети страни“, казва той. „Всеки отделен полезен товар ще бъде малко по-различен, малко нагласен и малко настроен и … този вид подход е абсолютно това, което бихте очаквали да видите.“

Въпреки това изследователите на Volexity казват, че редовно наблюдават операции от APT, но смятат, че групата рядко разполага зловреден софтуер като част от атаките си. „Тази пестелива употреба на зловреден софтуер в операциите им вероятно увеличава трудността за проследяване на атаките им“, смятат от фирмата.

APT35 е активна от повече от десетилетие. Според блога на Darktrace от 2021 г. през това време APT35 е започнала мащабни кампании срещу организации и длъжностни лица в Северна Америка и Близкия изток; публичната атрибуция характеризира APT35 като базиран в Иран национален държавен извършител на кибератаки. Подозира се, че последните кампании са в услуга на потенциалното физическо насочване на ирански дисиденти за отвличане и други кинетични операции.

Източник: DARKReading

Подобни публикации

22 юни 2024

Пробивът в JAXA не е довел до изтичане на важна...

Японската космическа агенция твърди, че няма изтичане на класифицир...

Cyber Europe тества енергийния сектор

Седмото издание на Cyber Europe, едно от най-големите учения за киб...
22 юни 2024

ЕВРО 2024: Хакери удариха излъчването на Полша ...

Хакери нарушиха онлайн излъчването на мача на Полша с Австрия от Ев...
22 юни 2024

Panera Bread призна за изтичане на данни

Американската верига за бързо хранене Panera Bread е започнала да у...
21 юни 2024

Change Healthcare най-после с подробности за ат...

UnitedHealth за първи път потвърди какви видове медицински данни и ...
21 юни 2024

САЩ наложиха санкции на 12 ръководители на Kasp...

Службата за контрол на чуждестранните активи (OFAC) към Министерств...
21 юни 2024

Хакери на Хамас шпионират Палестина и Египет

Хакери, свързани с Хамас, са замесени в пет кампании за кибершпиона...
20 юни 2024

Сериозна уязвимост на Phoenix UEFI

Стотици модели компютри и сървъри, които използват процесори на Int...
20 юни 2024

Измама на Markopolo е насочена към потребителит...

Установен е извършител на заплаха с псевдоним markopolo, който стои...
Бъдете социални
Още по темата
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
21/06/2024

САЩ наложиха санкции на 12 ...

Службата за контрол на чуждестранните активи...
21/06/2024

Хакери на Хамас шпионират П...

Хакери, свързани с Хамас, са замесени...
Последно добавени
22/06/2024

Пробивът в JAXA не е довел ...

Японската космическа агенция твърди, че няма...
22/06/2024

Cyber Europe тества енергий...

Седмото издание на Cyber Europe, едно...
22/06/2024

ЕВРО 2024: Хакери удариха и...

Хакери нарушиха онлайн излъчването на мача...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!