Хакери, свързани с иранското правителство, са съсредоточили усилията си за атака върху ИТ и комуникационните компании в Израел, вероятно в опит да се насочат към реалните си цели. Кампаниите се приписват на иранската група APT, известна като Lyceum, Hexane и Siamesekitten, която провежда шпионски кампании поне от 2018г. . При множество атаки, открити през май и юли, хакерите комбинираха техники за социално инженерство с актуализиран вариант на зловреден софтуер, който в крайна сметка ще им даде отдалечен достъп до заразената машина.
В един случай хакерите използваха името на бивш HR мениджър в технологичната компания ChipPC, за да създадат фалшив профил в LinkedIn, което е ясна индикация, че нападателите са си написали домашното преди да започнат кампанията.
Изследвателите от компанията за киберсигурност ClearSky публикуваха доклад, който показва, че приоритетите на Siamesekitten са чрез използванефалшиви профили предоставят злонамерен софтуер на потенциални жертви по предложение за работа.
ClearSky вярва, че Siamesekitten са прекарали месеци в опити да проникнат в голям брой организации в Израел, използвайки инструменти по веригата на доставки. Изследователите казват, че IT и комуникационните компании в Израел са само средство за достигане на реалните цели. „Ние вярваме, че тези атаки и фокусът им върху ИТ и комуникационните компании имат за цел да улеснят атаките по веригата на доставки на техните клиенти. Според нашата оценка основната цел на групата е да извършва шпионаж и да използва заразената мрежа, за да получи достъп до мрежите на техните клиенти. Както при другите групи, възможно е шпионажът и събирането на разузнавателна информация да са първите стъпки към извършване на атаки насочени с рансъмуер или зловреден софтуер ” – казват от ClearSky. Изследователите откриха два уебсайта, които са част от инфраструктурата на Siamesekitten за кибершпионажните кампании, насочени към компании в Израел. Единият имитира сайта на немската корпоративна софтуерна компания Software AG, а другият имитира уебсайта на ChipPc. И в двата случая потенциалната жертва е помолена да изтегли файл на Excel (XLS), който уж съдържа подробности за офертата за работа или формата на автобиография. Двата файла включват защитен с парола злонамерен макрос, който стартира веригата на заразяване чрез извличане на задна врата, наречена MsNpENg.
