Търсене
Close this search box.

Иранската APT35 се насочва към израелски медии с модерен Spear-Phishing

Свързаната с Иран група за заплахи, известна като APT35 (известна още като Charming Kitten, Imperial Kitten или Tortoiseshell), е актуализирала арсенала си за кибератаки с подобрени възможности за прикриване на действията си, както и с подобрена персонализирана задна врата, която разпространява чрез spear-phishing кампания.

Твърди се, че напредналата постоянна заплаха (APT) действа от Иран и се занимава предимно със събиране на разузнавателна информация чрез компрометиране на идентификационните данни на акаунти и впоследствие на електронната поща на лица, които успешно атакува чрез spear-phish.

Според публикация в блога на Volexity, групата наскоро е направила опит за spear-phishing кампания, насочена към израелски журналист, с примамка „проектодоклад“. „Черновата на доклада“ е представлявала защитен с парола RAR файл, съдържащ зловреден LNK файл, който изтегля задна врата.

Инцидентът е бил силно целенасочена атака; преди да изпратят зловреден софтуер на жертвата, нападателите са попитали дали лицето би било отворено да прегледа написан от тях документ, свързан с външната политика на САЩ. Мишената се съгласила да го направи, тъй като това не е необичайна молба в журналистическата професия, но APT35 не го изпратила веднага – вместо това нападателите продължили взаимодействието с друг доброкачествен имейл, съдържащ списък с въпроси, на които след това мишената отговорила с отговори. След няколко дни на доброкачествено и привидно легитимно взаимодействие нападателите най-накрая изпратили „чернова на доклад“, заредена със зловреден софтуер.

Тоби Люис, глобален ръководител на отдела за анализ на заплахи в Darktrace, казва, че профилът на целите на APT35 е много близък до темата, която бихте очаквали да видите от група, свързана с иранското правителство. Той казва: „Това е група, която се опитва да бъде поръчкова, да бъде скрита и да остане под радара, така че за да го направи, ще се съсредоточи върху социалното инженерство, за да се опита да подобри възвръщаемостта на инвестициите.“

Зловредният софтуер PowerStar и развиващите се техники за Spear-Phishing

В тази последна кампания тя достави зловредния софтуер PowerStar – актуализирана версия на една от известните й задни врати, известна като CharmPower – която се праща чрез имейл, съдържащ .LNK файл в защитен с парола .RAR файл.Когато бъде изпълнен от потребител, .LNK файлът изтегля PowerStar от доставчика на хостинг услуги Backblaze и контролираната от нападателя инфраструктура, се посочва в доклада на Volexity. След това PowerStar събира малко количество системна информация от компрометираната машина и я изпраща чрез POST заявка до адрес за управление и контрол (C2), изтеглен от Backblaze.

Volexity смята, че този вариант на PowerStar е особено сложен, и подозира, че той вероятно се поддържа от персонализиран компонент от страна на сървъра, който автоматизира прости действия за оператора на зловредния софтуер. Освен това функцията за декриптиране се изтегля от отдалечено разположени файлове, което възпрепятства откриването на зловредния софтуер извън паметта и дава на нападателя превключвател за убиване, за да предотврати бъдещ анализ на ключовата функционалност на зловредния софтуер.

„С PowerStar, Charming Kitten се стремеше да ограничи риска от излагане на техния зловреден софтуер на анализ и откриване, като доставяше метода за декриптиране отделно от първоначалния код и никога не го записваше на диска“, заявиха от компанията. „Това е допълнителен бонус, който действа като оперативна защита, тъй като отделянето на метода за декриптиране от сървъра за управление и контрол предотвратява бъдещо успешно декриптиране на съответния полезен товар на PowerStar.“

Люис казва, че стремежът към възвръщаемост на инвестициите за APT групите понякога стимулира сравнително несложни кампании с ниски усилия, но по-често „имате групи, които ще станат толкова сложни, колкото е необходимо, за да постигнат целите си“. Някои ще могат да разработват „нулеви дни“, а не просто да използват нещо, което са получили от някой друг; други ще демонстрират сложност в начина, по който управляват и контролират инфраструктурата си.

Последното е случаят с APT35. „Когато имате търговския занаят, който тази група използва, ефективно сваляте потребителски товари, сваляте различни модули от услуги на трети страни“, казва той. „Всеки отделен полезен товар ще бъде малко по-различен, малко нагласен и малко настроен и … този вид подход е абсолютно това, което бихте очаквали да видите.“

Въпреки това изследователите на Volexity казват, че редовно наблюдават операции от APT, но смятат, че групата рядко разполага зловреден софтуер като част от атаките си. „Тази пестелива употреба на зловреден софтуер в операциите им вероятно увеличава трудността за проследяване на атаките им“, смятат от фирмата.

APT35 е активна от повече от десетилетие. Според блога на Darktrace от 2021 г. през това време APT35 е започнала мащабни кампании срещу организации и длъжностни лица в Северна Америка и Близкия изток; публичната атрибуция характеризира APT35 като базиран в Иран национален държавен извършител на кибератаки. Подозира се, че последните кампании са в услуга на потенциалното физическо насочване на ирански дисиденти за отвличане и други кинетични операции.

Източник: DARKReading

Подобни публикации

28 февруари 2024

Китай стартира нов план за киберзащита на индус...

Тази седмица Министерството на промишлеността и информационните тех...
28 февруари 2024

Уязвимостта на плъгина WordPress LiteSpeed изла...

В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигур...
28 февруари 2024

Xeno RAT се превръща в мощна заплаха в GitHub

В GitHub е публикуван „сложно проектиран“ троянски кон ...
28 февруари 2024

Хакването на Optum е свързано с рансъмуера Blac...

Кибератаката срещу дъщерното дружество на UnitedHealth Group Optum,...
28 февруари 2024

Новата версия на IDAT loader използва стеганогр...

Хакерска група, проследена като „UAC-0184“, е забелязан...
28 февруари 2024

DOOM идва в интелигентните косачки Husqvarna

Ако някога сте искали да играете DOOM на косачка за трева, скоро ще...
28 февруари 2024

Белият дом призовава да се премине към езици за...

Службата на националния кибердиректор на Белия дом (ONCD) призова д...
Бъдете социални
Още по темата
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
Последно добавени
28/02/2024

Китай стартира нов план за ...

Тази седмица Министерството на промишлеността и...
28/02/2024

Уязвимостта на плъгина Word...

В плъгина LiteSpeed Cache за WordPress...
28/02/2024

Xeno RAT се превръща в мощ...

В GitHub е публикуван „сложно проектиран“...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!