Iran-relateret spear-phishing: Angribere udgiver sig for at være Omans udenrigsministerium for at målrette offentlige enheder

Cybersikkerhedsforsker har afsløret en sofistikeret spear-phishing-kampagne med Iran-tilknytning, der udnyttede en kompromitteret e-mailkonto i Omans udenrigsministerium (MFA) i Paris. Angriberne brugte stjålne diplomatiske meddelelser og ondsindede makroer til at levere malware til regeringer og internationale organisationer verden over.

Diplomatiske lokkefugle med skadelige makroer

Angriberne kaprede en officiel e-mailkonto tilhørende det omanske udenrigsministerium i Paris og sendte beskeder, der så ud til at indeholde presserende opdateringer om multifaktorgodkendelse (MFA). Modtagere – herunder ambassader, konsulater og internationale organisationer – blev opfordret til at ”"Aktivér indhold"” at vise angiveligt legitime Word-dokumenter.

Disse dokumenter indeholdt en VBA-makrodropper, der genskabte en binær nyttelast fra trecifrede talsekvenser i et skjult formularfelt. Da dokumentet blev åbnet, startede det en firedelt kæde:

1. Forsinkelse og antianalyse: En indlejret løkkerutine kaldet laylay kørte tusindvis af iterationer for at forsinke analyse og blokere sandbox-miljøer.
2. Afkodning af nyttelast: Funktionen dddd fortolkede tripletter af tal til ASCII-tegn og byggede en eksekverbar binær fil.
3. Lydløs udgivelse og udførelse: Den afkodede nyttelast blev skrevet til C:\Brugere\Offentlige\Dokumenter\ManagerProc.log og blev kørt skjult via en Shell-kommando.
4. Vedholdenhed og oprydning: Forsinkelser og simpel fejlhåndtering skjulte eventuelle fejl og sikrede, at processen blev gennemført stille og roligt.

Denne makrobaserede forsyningskæde kombinerede numerisk kodning og tidsforsinkelser for at omgå både e-mailfiltre og dynamiske analyseværktøjer.

Global spionage under diplomatisk dække

En retsmedicinsk analyse afslørede, at 270 spear-phishing-e-mails blev sendt fra 104 kompromitterede adresser inden for Omans MFA-netværk. Kampagnen brugte NordVPN-noder i Jordan til at maskere sin oprindelse og var målrettet seks regioner:

• Europa: 10 lande, 73 adresser
• Afrika: 12 lande, 30 adresser
• Asien: 7 lande, 25 adresser
• Mellemøsten: 7 lande, 20 adresser
• Amerika: 11 lande, 35 adresser
• Internationale organisationer: 10 lig, 12 adresser

Europa syntes at være det primære mål, men afrikanske missioner blev også hårdt ramt. Angrebene blev rettet mod flere internationale organisationer, herunder FN, UNICEF og Verdensbanken, hvilket indikerer en interesse i strategisk diplomati og humanitære netværk.

Tidspunktet for kampagnen faldt sammen med følsomme regionale forhandlinger, hvilket tyder på, at målet var at indsamle efterretninger og påvirke diplomatiske resultater.

Undvigelse, rekognoscering og næste skridt

Den eksekverbare fil, der blev droppet – kaldet sysProcUpdate – demonstrerede høj teknisk sofistikering. Den brugte brugerdefinerede undtagelseshåndteringer og sektionspakning for at gøre reverse engineering vanskelig.

Da malwaren blev aktiveret, indsamlede den systemdata såsom brugernavn, computernavn og administrativ status. Oplysningerne blev krypteret og sendt via HTTPS POST til en kommando- og kontrolserver på https://screenai.online/Home/.
EN beaconing-løkke sikrede gentagne forsøg på forbindelse, selv i tilfælde af netværksafbrydelser.

For at bevare sit fodfæste replikerede sysProcUpdate sig selv til C:\ProgramData\sysProcUpdate.exe og ændrede Windows-registreringsdatabaseposter under DNS-cacheparametre – et tegn på mulig lateral bevægelse og forberedelse til fremtidig angreb.

Analytikere mener, at kampagnen primært fokuserede på rekognoscering og netværkskortlægning forud for mere avancerede indtrængen.

Anbefalinger til begrænsning

For at beskytte virksomheder mod denne type målrettede angreb anbefales følgende foranstaltninger:

• Blokering af indikator: Bloker kommunikation til screenai.online og isolere dokumenter, der matcher kendte hashværdier for sysProcUpdate.
• Makrosikkerhed: Sørg for, at Office-installationer har makroer deaktiveret som standard og kræver digital signatur for aktivering.
• Netværksovervågning: Gennemgå udgående POST-trafik til ukendte domæner og korreler den med brugeraktivitet.
• Gennemgang af registeret: Kontrollér regelmæssigt DNS- og TCP/IP-registreringsnøgler for uautoriserede ændringer.
• VPN-analyse: Identificer pludselige stigninger i VPN-brug eller exit-noder, der afviger fra normale mønstre.

Ved at kombinere stærk e-mailfiltrering, proaktivt netværksforsvar og brugeruddannelse kan organisationer reducere risikoen for at blive påvirket af lignende angreb betydeligt. angreb.

Indikatorer for kompromis (IoC'er)