Търсене
Close this search box.

OilRig се насочва към израелски организации

Израелските организации са били обект на две различни кампании, организирани от иранския национален държавен извършител, известен като OilRig, през 2021 и 2022 г.

Кампаниите, наречени Outer Space (Външен космос) и Juicy Mix (Сочна смес), включваха използването на два документирани по-рано бекдора на първи етап, наречени Solar (Солар) и Mango (Манго), които бяха разгърнати за събиране на чувствителна информация от основните браузъри и мениджъра на удостоверенията на Windows.

„И двете задни врати бяха разположени чрез VBS дропъри, вероятно разпространени чрез spear-phishing имейли“, казва изследователят по сигурността в ESET Зузана Хромцова в анализ от четвъртък.

OilRig (известен още като APT34, Cobalt Gypsy, Hazel Sandstorm и Helix Kitten) е името, присвоено на набор за проникване, свързан с иранското Министерство на разузнаването и сигурността (MOIS). Активен от 2014 г. насам, участникът в заплахи използва широк набор от инструменти, с които разполага, за да извършва кражба на информация.

По-рано през февруари Trend Micro откри, че OilRig използва обикновена задна врата, за да открадне идентификационните данни на потребителите, като подчерта „гъвкавостта му да създава нов зловреден софтуер въз основа на проучените клиентски среди и нива на достъп“.

Групата също така е наблюдавана да доставя актуализирана версия на SideTwist като част от фишинг атака, вероятно насочена към американски предприятия.

 

Въпреки това използването на зловреден софтуер Mango вече беше отбелязано както от ESET, така и от Microsoft през май 2023 г., като последният го приписа на нововъзникващ клъстер за активност, който следи под името Storm-0133.

Storm-0133, също свързан с MOIS, е насочен изключително към израелски местни правителствени агенции и компании, обслужващи секторите на отбраната, настаняването и здравеопазването, заяви производителят на Windows.

Последните констатации на словашката фирма за киберсигурност установяват, че групата продължава да се фокусира върху Израел, като използва примамки за spear-phishing, за да подмами потенциалните цели да инсталират зловредния софтуер чрез прикачени файлове с капани.

В кампанията Outer Space, наблюдавана през 2021 г., OilRig компрометира израелски сайт за човешки ресурси и впоследствие го използва като сървър за командване и управление (C2) за Solar – основна задна врата на C#/.NET, способна да изтегля и изпълнява файлове и да събира информация.

Solar също така действа като средство за разгръщане на програма за изтегляне на данни, наречена SampleCheck5000 (или SC5k), която използва API на Office Exchange Web Services (EWS) за изтегляне на допълнителни инструменти за изпълнение, както и на програма за екфилтриране на данни от уеб браузъра Chrome, наречена MKG.

„След като SC5k влезе в отдалечения сървър на Exchange, той извлича всички имейли в директорията Drafts (Чернови), подрежда ги по най-скорошни, като запазва само черновите, които имат прикачени файлове“, казва Хромцова.

„След това се преглежда всяка чернова на съобщение с прикачен файл, като се търсят JSON прикачени файлове, които съдържат „данни“ в тялото. Той извлича стойността от ключовите данни в JSON файла, декодира и декриптира стойността по base64 и извиква cmd.exe, за да изпълни получения низ от команден ред.“

Резултатите от изпълнението на командата се инсценират и се изпращат обратно на операторите чрез ново имейл съобщение на сървъра Exchange и запазването му като чернова.

Кампанията Juicy Mix от 2022 г. включваше използването на Mango – подобрена версия на Solar, включваща допълнителни възможности и методи за замаскиране. За целите на C2 извиршителят е компрометирал легитимен уебсайт на израелски портал за работа.

„OilRig продължава да прави нововъведения и да създава нови импланти с възможности, подобни на backdoor, като същевременно намира нови начини за изпълнение на команди в отдалечени системи“, каза Хромцова.

„Групата разгръща набор от персонализирани инструменти след компрометиране, които се използват за събиране на идентификационни данни, „бисквитки“ и история на сърфирането от основните браузъри и от мениджъра на идентификационни данни на Windows.“

 

 

Източник: The Hacker News

Подобни публикации

21 април 2024

Как OpenAI и Microsoft събудиха заспал софтуере...

Само преди десетилетие най-големият технологичен звяр в света беше ...
20 април 2024

Готви се нова методика за удостоверяване на съо...

Актуализирането на методиката за удостоверяване на съответствието н...
20 април 2024

Критична уязвимост на Forminator за WordPress и...

Плъгинът Forminator за WordPress, използван в над 500 000 сайта, е ...
20 април 2024

Бандата "Медуза" нанася нов удар

Въпреки че общинската агенция уверява обществеността, че малцина са...
19 април 2024

Пробиха MITRE чрез нулевите дни на Ivanti

Корпорацията MITRE твърди, че подкрепяна от държавата хакерска груп...
19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
Бъдете социални
Още по темата
18/04/2024

Групата "Sandworm" е основн...

Но дори и да се е...
16/04/2024

CISA издаде извънредна дире...

На 11 април Агенцията за киберсигурност...
15/04/2024

КНДР се възползва от 2 подт...

Този месец MITRE ще добави две...
Последно добавени
21/04/2024

Как OpenAI и Microsoft събу...

Само преди десетилетие най-големият технологичен звяр...
20/04/2024

Готви се нова методика за у...

Актуализирането на методиката за удостоверяване на...
20/04/2024

Критична уязвимост на Formi...

Плъгинът Forminator за WordPress, използван в...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!