Iraniin kytköksissä oleva keihästietojenkalastelu: hyökkääjät esiintyvät Omanin ulkoministeriönä kohdistaakseen hyökkäyksiään valtion yksiköihin

Kyberturvallisuustutkija on paljastanut hienostuneen Iraniin kytketyn keihästietojenkalastelukampanjan, jossa hyödynnettiin Omanin ulkoministeriön (MFA) vaarantunutta sähköpostitiliä Pariisissa. Hyökkääjät käyttivät varastettuja diplomaattisia viestejä ja haitallisia makroja haittaohjelmien toimittamiseen hallituksille ja kansainvälisille järjestöille maailmanlaajuisesti.

Diplomaattiset houkutuskeinot haitallisilla makroilla

Hyökkääjät kaappasivat Omanin ulkoministeriön virallisen sähköpostitilin Pariisissa ja lähettivät viestejä, jotka näyttivät sisältävän kiireellisiä päivityksiä monivaiheisesta todennuksesta (MFA). Vastaanottajia – mukaan lukien suurlähetystöjä, konsulaatteja ja kansainvälisiä järjestöjä – kehotettiin ”"Ota sisältö käyttöön"” näyttääkseen oletettavasti laillisia Word-asiakirjoja.

Näissä dokumenteissa oli VBA-makropistoke, joka loi binäärisen hyötykuorman uudelleen piilotetun lomakekentän kolminumeroisista lukusarjoista. Kun dokumentti avattiin, se käynnisti neliosaisen ketjun:

1. Viivästys ja anti-analyysi: Sisäkkäinen silmukkarutiini nimeltä kerros suoritti tuhansia iteraatioita viivästyttääkseen analyysiä ja estääkseen hiekkalaatikkoympäristöjä.
2. Hyötykuorman dekoodaus: Toiminto dddd tulkitsi numerokolmikkoja ASCII-merkeiksi ja rakensi suoritettavan binääritiedoston.
3. Hiljainen julkaisu ja toteutus: Dekoodattu hyötykuorma kirjoitettiin kohteeseen C:\Käyttäjät\Public\Documents\ManagerProc.log ja se suoritettiin piilotettuna Shell-komennon kautta.
4. Pysyvyys ja puhdistus: Viivästykset ja yksinkertainen virheiden käsittely peittivät mahdolliset virheet ja varmistivat prosessin sujuvan loppuun saattamisen.

Tämä makropohjainen toimitusketju yhdisti numeerisen koodauksen ja aikaviiveet ohittaakseen sekä sähköpostisuodattimet että dynaamiset analyysityökalut.

Maailmanlaajuista vakoilua diplomaattisen suojan alla

Oikeuslääketieteellinen analyysi paljasti, että Omanin MFA-verkon 104 vaarantuneesta osoitteesta lähetettiin 270 keihäshuijausviestiä. Kampanjassa käytettiin Jordanian NordVPN-solmuja alkuperän peittämiseen ja kohdistettiin kuuteen alueeseen:

• Eurooppa: 10 maata, 73 osoitetta
• Afrikka: 12 maata, 30 osoitetta
• Aasia: 7 maata, 25 osoitetta
• Lähi-itä: 7 maata, 20 osoitetta
• Amerikka: 11 maata, 35 osoitetta
• Kansainväliset järjestöt: 10 ruumista, 12 osoitetta

Eurooppa näytti olevan ensisijainen kohde, mutta myös Afrikan operaatiot kärsivät kovia iskuja. Hyökkäykset kohdistuivat useisiin kansainvälisiin järjestöihin, mukaan lukien YK, UNICEF ja Maailmanpankki, mikä osoittaa kiinnostusta strategisiin diplomatia ja humanitaarisia verkostoja.

Kampanjan ajoitus osui yksiin arkaluonteisten alueellisten neuvottelujen kanssa, mikä viittaa siihen, että tavoitteena oli kerätä tiedustelutietoa ja vaikuttaa diplomaattisiin tuloksiin.

Väistö, tiedustelu ja seuraavat vaiheet

Pudotettu suoritettava tiedosto – nimeltään sysProcUpdate – osoitti korkeaa teknistä hienostuneisuutta. Se käytti mukautettuja poikkeustenkäsittelijöitä ja osioiden pakkaamista vaikeuttaakseen takaisinmallintamista.

Kun haittaohjelma aktivoitui, se keräsi järjestelmätietoja, kuten käyttäjätunnuksen, tietokoneen nimen ja järjestelmänvalvojan tilan. Tiedot salattiin ja lähetettiin HTTPS POST -yhteyden kautta komento- ja ohjauspalvelimelle osoitteessa https://screenai.online/Home/.
A majakkasilmukka varmisti toistuvat yhteysyritykset jopa verkkokatkosten sattuessa.

Säilyttääkseen jalansijansa sysProcUpdate replikoi itsensä C:\ProgramData\sysProcUpdate.exe ja muokatut Windowsin rekisterimerkinnät DNS-välimuistiparametrien alla – merkki siitä, että mahdollinen sivuttaisliike ja tulevaisuuden varalle valmistautuminen hyökkäykset.

Analyytikot uskovat, että kampanja keskittyi ensisijaisesti tiedusteluun ja verkostokartoitukseen ennen edistyneempiä tunkeutumisia.

Suositukset rajoituksille

Yritysten suojaamiseksi tällaisilta kohdennetuilta hyökkäyksiltä suositellaan seuraavia toimenpiteitä:

• Indikaattorin esto: Estä viestintä kohteeseen screenai.online ja eristää dokumentit, jotka vastaavat tunnettuja hash-arvoja sysProcUpdate.
• Makroturvallisuus: Varmista, että Office-asennuksissa makrot on oletusarvoisesti poistettu käytöstä ja että aktivointi edellyttää digitaalista allekirjoitusta.
• Verkon valvonta: Tarkista tuntemattomiin verkkotunnuksiin lähtevä POST-liikenne ja korreloi se käyttäjien aktiivisuuteen.
• Rekisterin tarkistus: Tarkista säännöllisesti DNS- ja TCP/IP-rekisteriavaimet luvattomien muutosten varalta.
• VPN-analyysi: Tunnista äkilliset piikit VPN-käytössä tai normaalista poikkeavat poistumissolmut.

Yhdistämällä vahvan sähköpostin suodatuksen, ennakoivat verkon suojaukset ja käyttäjien koulutuksen organisaatiot voivat merkittävästi vähentää riskiä joutua vastaavien hyökkäysten kohteeksi. hyökkäykset.

Kompromissin indikaattorit (IoC)