Активна от септември миналата година фишинг кампания е насочена към потребители на LinkedIn и други платформи, като се представя за лица, набиращи персонал за работа в аерокосмическата индустрия.

ClearSky приписва кампанията на свързания с Иран колектив TA455, който използва подхода spear-phishing, за да се насочи към лица и да ги примами. След като се свържат с жертвите си, заплахите ги насърчават да изтеглят zip файл, наречен „SIgnedConnection.zip“.

Заедно с това  предоставят на жертвите си и PDF ръководство, за да ги инструктират как безопасно да изтеглят и отворят zip файловете.

Файлът zip съдържа изпълним файл, който зарежда зловредния софтуер на устройството на жертвата чрез странично зареждане на DLL. В системата им се зарежда DLL файл, наречен „secure32[.]dll“, който позволява на нападателя достъп за стартиране на неоткрит код.

След като това бъде направено, зловредният софтуер инициира верига на заразяване, която в крайна сметка разгръща зловредния софтуер Snail Resin, отваряйки задна врата, озаглавена „SlugResin“. Според изследователите от ClearSky този зловреден софтуер и backdoor се приписват на Charming Kitten, друг ирански колектив.

Групата използва няколко метода за избягване на откриването, включително кодиране на комуникациите за командване и контрол (C2) в GitHub, за да затрудни традиционните инструменти за откриване да разпознаят, че става въпрос за заплаха, и имитира тактики, свързани с Lazarus Group, което води до усложнения при приписването.

Подобно на предишни кампании, TA455 е насочена към специалисти в областта на космическите технологии, така че лицата в тази област в платформи като LinkedIn трябва да внимават за съобщения и връзки, които получават от неизвестни източници.