Свързаната с Иран група за заплахи, известна като APT35 (известна още като Charming Kitten, Imperial Kitten или Tortoiseshell), е актуализирала арсенала си за кибератаки с подобрени възможности за прикриване на действията си, както и с подобрена персонализирана задна врата, която разпространява чрез spear-phishing кампания.

Твърди се, че напредналата постоянна заплаха (APT) действа от Иран и се занимава предимно със събиране на разузнавателна информация чрез компрометиране на идентификационните данни на акаунти и впоследствие на електронната поща на лица, които успешно атакува чрез spear-phish.

Според публикация в блога на Volexity, групата наскоро е направила опит за spear-phishing кампания, насочена към израелски журналист, с примамка „проектодоклад“. „Черновата на доклада“ е представлявала защитен с парола RAR файл, съдържащ зловреден LNK файл, който изтегля задна врата.

Инцидентът е бил силно целенасочена атака; преди да изпратят зловреден софтуер на жертвата, нападателите са попитали дали лицето би било отворено да прегледа написан от тях документ, свързан с външната политика на САЩ. Мишената се съгласила да го направи, тъй като това не е необичайна молба в журналистическата професия, но APT35 не го изпратила веднага – вместо това нападателите продължили взаимодействието с друг доброкачествен имейл, съдържащ списък с въпроси, на които след това мишената отговорила с отговори. След няколко дни на доброкачествено и привидно легитимно взаимодействие нападателите най-накрая изпратили „чернова на доклад“, заредена със зловреден софтуер.

Тоби Люис, глобален ръководител на отдела за анализ на заплахи в Darktrace, казва, че профилът на целите на APT35 е много близък до темата, която бихте очаквали да видите от група, свързана с иранското правителство. Той казва: „Това е група, която се опитва да бъде поръчкова, да бъде скрита и да остане под радара, така че за да го направи, ще се съсредоточи върху социалното инженерство, за да се опита да подобри възвръщаемостта на инвестициите.“

Зловредният софтуер PowerStar и развиващите се техники за Spear-Phishing

В тази последна кампания тя достави зловредния софтуер PowerStar – актуализирана версия на една от известните й задни врати, известна като CharmPower – която се праща чрез имейл, съдържащ .LNK файл в защитен с парола .RAR файл.Когато бъде изпълнен от потребител, .LNK файлът изтегля PowerStar от доставчика на хостинг услуги Backblaze и контролираната от нападателя инфраструктура, се посочва в доклада на Volexity. След това PowerStar събира малко количество системна информация от компрометираната машина и я изпраща чрез POST заявка до адрес за управление и контрол (C2), изтеглен от Backblaze.

Volexity смята, че този вариант на PowerStar е особено сложен, и подозира, че той вероятно се поддържа от персонализиран компонент от страна на сървъра, който автоматизира прости действия за оператора на зловредния софтуер. Освен това функцията за декриптиране се изтегля от отдалечено разположени файлове, което възпрепятства откриването на зловредния софтуер извън паметта и дава на нападателя превключвател за убиване, за да предотврати бъдещ анализ на ключовата функционалност на зловредния софтуер.

„С PowerStar, Charming Kitten се стремеше да ограничи риска от излагане на техния зловреден софтуер на анализ и откриване, като доставяше метода за декриптиране отделно от първоначалния код и никога не го записваше на диска“, заявиха от компанията. „Това е допълнителен бонус, който действа като оперативна защита, тъй като отделянето на метода за декриптиране от сървъра за управление и контрол предотвратява бъдещо успешно декриптиране на съответния полезен товар на PowerStar.“

Люис казва, че стремежът към възвръщаемост на инвестициите за APT групите понякога стимулира сравнително несложни кампании с ниски усилия, но по-често „имате групи, които ще станат толкова сложни, колкото е необходимо, за да постигнат целите си“. Някои ще могат да разработват „нулеви дни“, а не просто да използват нещо, което са получили от някой друг; други ще демонстрират сложност в начина, по който управляват и контролират инфраструктурата си.

Последното е случаят с APT35. „Когато имате търговския занаят, който тази група използва, ефективно сваляте потребителски товари, сваляте различни модули от услуги на трети страни“, казва той. „Всеки отделен полезен товар ще бъде малко по-различен, малко нагласен и малко настроен и … този вид подход е абсолютно това, което бихте очаквали да видите.“

Въпреки това изследователите на Volexity казват, че редовно наблюдават операции от APT, но смятат, че групата рядко разполага зловреден софтуер като част от атаките си. „Тази пестелива употреба на зловреден софтуер в операциите им вероятно увеличава трудността за проследяване на атаките им“, смятат от фирмата.

APT35 е активна от повече от десетилетие. Според блога на Darktrace от 2021 г. през това време APT35 е започнала мащабни кампании срещу организации и длъжностни лица в Северна Америка и Близкия изток; публичната атрибуция характеризира APT35 като базиран в Иран национален държавен извършител на кибератаки. Подозира се, че последните кампании са в услуга на потенциалното физическо насочване на ирански дисиденти за отвличане и други кинетични операции.