Iran-tilknyttet spear-phishing: Angripere utgir seg for å være Omans utenriksdepartement for å målrette statlige enheter

Forsker på nettsikkerhet har avdekket en sofistikert spear-phishing-kampanje med tilknytning til Iran som utnyttet en kompromittert e-postkonto hos Omans utenriksdepartement (MFA) i Paris. Angriperne brukte stjålet diplomatisk kommunikasjon og ondsinnede makroer for å levere skadelig programvare til myndigheter og internasjonale organisasjoner over hele verden.

Diplomatiske lokkefugler med skadelige makroer

Angriperne kapret en offisiell e-postkonto som tilhørte det omanske utenriksdepartementet i Paris og sendte meldinger som så ut til å inneholde viktige oppdateringer om flerfaktorautentisering (MFA). Mottakere – inkludert ambassader, konsulater og internasjonale organisasjoner – ble oppfordret til å ”Aktiver innhold” å vise angivelig legitime Word-dokumenter.

Disse dokumentene inneholdt en VBA-makrodropper som gjenskapte en binær nyttelast fra tresifrede tallsekvenser i et skjult skjemafelt. Da dokumentet ble åpnet, startet det en firedelt kjede:

1. Forsinkelse og antianalyse: En nestet løkkerutine kalt laylay kjørte tusenvis av iterasjoner for å forsinke analyse og blokkere sandkassemiljøer.
2. Dekoding av nyttelast: Funksjonen dddd tolket tripletter av tall til ASCII-tegn og bygde en kjørbar binærfil.
3. Stille utgivelse og utførelse: Den dekodede nyttelasten ble skrevet til C:\Brukere\Offentlig\Dokumenter\ManagerProc.log og ble kjørt skjult via en Shell-kommando.
4. Utholdenhet og opprydding: Forsinkelser og enkel feilhåndtering skjulte eventuelle feil og sørget for at prosessen ble fullført stille.

Denne makrobaserte forsyningskjeden kombinerte numerisk koding og tidsforsinkelser for å omgå både e-postfiltre og dynamiske analyseverktøy.

Global spionasje under diplomatisk dekke

En rettsmedisinsk analyse avdekket at 270 spear-phishing-e-poster ble sendt fra 104 kompromitterte adresser innenfor Omans MFA-nettverk. Kampanjen brukte NordVPN-noder i Jordan for å maskere opprinnelsen, og målrettet seg mot seks regioner:

• Europa: 10 land, 73 adresser
• Afrika: 12 land, 30 adresser
• Asia: 7 land, 25 adresser
• Midtøsten: 7 land, 20 adresser
• Amerika: 11 land, 35 adresser
• Internasjonale organisasjoner: 10 lik, 12 adresser

Europa så ut til å være hovedmålet, men afrikanske misjoner ble også hardt rammet. Angrepene ble rettet mot flere internasjonale organisasjoner, inkludert FN, UNICEF og Verdensbanken, noe som indikerer en interesse for strategisk diplomati og humanitære nettverk.

Tidspunktet for kampanjen falt sammen med sensitive regionale forhandlinger, noe som tyder på at målet var å samle etterretning og påvirke diplomatiske resultater.

Unnvikelse, rekognosering og neste steg

Den kjørbare filen som ble slettet – kalt sysProcUpdate – demonstrerte høy teknisk sofistikasjon. Den brukte tilpassede unntaksbehandlere og seksjonspakking for å gjøre reverse engineering vanskelig.

Da skadevaren ble aktivert, samlet den inn systemdata som brukernavn, datamaskinnavn og administratorstatus. Informasjonen ble kryptert og sendt via HTTPS POST til en kommando- og kontrollserver på https://screenai.online/Home/.
EN beaconing-løkke sørget for gjentatte tilkoblingsforsøk selv ved nettverksbrudd.

For å opprettholde fotfestet sitt, replikerte sysProcUpdate seg selv til C:\ProgramData\sysProcUpdate.exe og modifiserte Windows-registeroppføringer under DNS-cache-parametere – et tegn på mulig lateral bevegelse og forberedelse for fremtidige angrep.

Analytikere mener at kampanjen først og fremst fokuserte på rekognosering og nettverkskartlegging i forkant av mer avanserte inntrenginger.

Anbefalinger for begrensning

For å beskytte bedrifter mot denne typen målrettede angrep anbefales følgende tiltak:

• Blokkering av indikator: Blokker kommunikasjon til screenai.online og isoler dokumenter som samsvarer med kjente hashverdier for sysProcUpdate.
• Makrosikkerhet: Sørg for at Office-installasjoner har makroer deaktivert som standard og krever digital signering for aktivering.
• Nettverksovervåking: Gjennomgå utgående POST-trafikk til ukjente domener og korreler den med brukeraktivitet.
• Registergjennomgang: Sjekk DNS- og TCP/IP-registernøkler regelmessig for uautoriserte endringer.
• VPN-analyse: Identifiser plutselige topper i VPN-bruk eller exit-noder som avviker fra normale mønstre.

Ved å kombinere sterk e-postfiltrering, proaktivt nettverksforsvar og brukeropplæring, kan organisasjoner redusere risikoen for å bli rammet av lignende angrep betydelig. angrep.

Indikatorer for kompromiss (IoC-er)