Израелските организации са били обект на две различни кампании, организирани от иранския национален държавен извършител, известен като OilRig, през 2021 и 2022 г.

Кампаниите, наречени Outer Space (Външен космос) и Juicy Mix (Сочна смес), включваха използването на два документирани по-рано бекдора на първи етап, наречени Solar (Солар) и Mango (Манго), които бяха разгърнати за събиране на чувствителна информация от основните браузъри и мениджъра на удостоверенията на Windows.

„И двете задни врати бяха разположени чрез VBS дропъри, вероятно разпространени чрез spear-phishing имейли“, казва изследователят по сигурността в ESET Зузана Хромцова в анализ от четвъртък.

OilRig (известен още като APT34, Cobalt Gypsy, Hazel Sandstorm и Helix Kitten) е името, присвоено на набор за проникване, свързан с иранското Министерство на разузнаването и сигурността (MOIS). Активен от 2014 г. насам, участникът в заплахи използва широк набор от инструменти, с които разполага, за да извършва кражба на информация.

По-рано през февруари Trend Micro откри, че OilRig използва обикновена задна врата, за да открадне идентификационните данни на потребителите, като подчерта „гъвкавостта му да създава нов зловреден софтуер въз основа на проучените клиентски среди и нива на достъп“.

Групата също така е наблюдавана да доставя актуализирана версия на SideTwist като част от фишинг атака, вероятно насочена към американски предприятия.

Въпреки това използването на зловреден софтуер Mango вече беше отбелязано както от ESET, така и от Microsoft през май 2023 г., като последният го приписа на нововъзникващ клъстер за активност, който следи под името Storm-0133.

Storm-0133, също свързан с MOIS, е насочен изключително към израелски местни правителствени агенции и компании, обслужващи секторите на отбраната, настаняването и здравеопазването, заяви производителят на Windows.

Последните констатации на словашката фирма за киберсигурност установяват, че групата продължава да се фокусира върху Израел, като използва примамки за spear-phishing, за да подмами потенциалните цели да инсталират зловредния софтуер чрез прикачени файлове с капани.

В кампанията Outer Space, наблюдавана през 2021 г., OilRig компрометира израелски сайт за човешки ресурси и впоследствие го използва като сървър за командване и управление (C2) за Solar – основна задна врата на C#/.NET, способна да изтегля и изпълнява файлове и да събира информация.

Solar също така действа като средство за разгръщане на програма за изтегляне на данни, наречена SampleCheck5000 (или SC5k), която използва API на Office Exchange Web Services (EWS) за изтегляне на допълнителни инструменти за изпълнение, както и на програма за екфилтриране на данни от уеб браузъра Chrome, наречена MKG.

„След като SC5k влезе в отдалечения сървър на Exchange, той извлича всички имейли в директорията Drafts (Чернови), подрежда ги по най-скорошни, като запазва само черновите, които имат прикачени файлове“, казва Хромцова.

„След това се преглежда всяка чернова на съобщение с прикачен файл, като се търсят JSON прикачени файлове, които съдържат „данни“ в тялото. Той извлича стойността от ключовите данни в JSON файла, декодира и декриптира стойността по base64 и извиква cmd.exe, за да изпълни получения низ от команден ред.“

Резултатите от изпълнението на командата се инсценират и се изпращат обратно на операторите чрез ново имейл съобщение на сървъра Exchange и запазването му като чернова.

Кампанията Juicy Mix от 2022 г. включваше използването на Mango – подобрена версия на Solar, включваща допълнителни възможности и методи за замаскиране. За целите на C2 извиршителят е компрометирал легитимен уебсайт на израелски портал за работа.

„OilRig продължава да прави нововъведения и да създава нови импланти с възможности, подобни на backdoor, като същевременно намира нови начини за изпълнение на команди в отдалечени системи“, каза Хромцова.

„Групата разгръща набор от персонализирани инструменти след компрометиране, които се използват за събиране на идентификационни данни, „бисквитки“ и история на сърфирането от основните браузъри и от мениджъра на идентификационни данни на Windows.“