Mandiant проучи операциите на UNC1860 – ирански APT, който действа като първоначален доставчик на достъп до високопоставени мрежи в Близкия изток. Според Mandiant UNC1860 е опортюнистична, спонсорирана от държавата хакерска група, насочена към правителствени и телекомуникационни структури в Близкия изток, и има сходства с други заплахи, свързани с Иран, и изглежда е свързана с иранското Министерство на разузнаването и сигурността (MOIS).
Арсеналът на групата включва специализирани инструменти като контролери за зловреден софтуер с графичен потребителски интерфейс, наречени TemplePlay и ViroGreen, които дават възможност на други групи да осъществяват отдалечен достъп до мрежите на жертвите чрез RDP и да контролират предварително инсталиран зловреден софтуер, казва Mandiant в нов доклад.
Ролята на UNC1860 за първоначален достъп се подсилва и от наблюдаваната дейност, приписвана на заподозрени групи от APT34 в мрежите на жертвите на UNC1860. „UNC1860 получава първоначален достъп до средите на жертвите по опортюнистичен начин чрез експлоатиране на уязвими сървъри, насочени към интернет, което води до разгръщане на уеб обвивка. След като се сдобие с първоначална опора, групата обикновено разгръща допълнителни комунални услуги и селективен набор от пасивни импланти, които са проектирани така, че да бъдат по-невидими от обичайните задни врати“, казват изследователите от Mandiant. Заплахата оперира с комунални услуги и backdoors, предназначени да създадат силна опора в мрежата на жертвата и да поддържат дългосрочен достъп, включително драйвер в режим на ядрото на Windows, извлечен от легитимен филтър на ирански антивирусен софтуер.
Уеб обвивки и дропери на хакерската група, включително StayShante и SasheyAway, могат да се използват в операция за предаване, като в последните са вградени пълни пасивни задни врати, като TempleDoor, FaceFace и SparkLoad. TemplePlay, отбелязва Mandiant, е .NET-базиран контролер за пасивната задна врата TempleDoor, който може да се използва като междинна кутия за достъп до целеви сървър, който не е достъпен директно от интернет.
Потребителска рамка за експлоатиране на SharePoint сървъри, уязвими към CVE-2019-0604, контролерът ViroGreen предоставя възможности за последваща експлоатация, включително сканиране на уязвимости, контрол на полезния товар, внедряване на задна врата, изпълнение на команди и изтегляне/зареждане на файлове.
За да се промъкнат под радара, пасивните импланти на заплахата не инициират изходящ трафик, не получават входящ трафик от нестабилни източници, не използват HTTPS за криптиране на трафика, не зареждат драйвери, без да предизвикват критични грешки, не използват недокументирани команди за управление на входно-изходните операции (имплантите Tofudrv и TofuLoad) и не имплементират помощна програма (TempleLock) за избягване на откриването (RotPipe и TempleDrop).
„Тези възможности показват, че UNC1860 е внушителен колектив, който вероятно поддържа различни цели, вариращи от шпионаж до операции за мрежови атаки. Тъй като напрежението в Близкия изток продължава да нараства, смятаме, че умението на този колектив да получава първоначален достъп до целеви среди представлява ценен актив за иранската кибернетична екосистема“, добавиха от Mandiant.
