Spear-phishing in verband met Iran: aanvallers doen zich voor als het ministerie van Buitenlandse Zaken van Oman om overheidsinstanties aan te vallen

Cybersecurity-onderzoeker heeft een geavanceerde spearfishingcampagne ontdekt die verband houdt met Iran. Deze campagne maakte gebruik van een gehackt e-mailaccount bij het Omaanse Ministerie van Buitenlandse Zaken (MFA) in Parijs. De aanvallers gebruikten gestolen diplomatieke communicatie en schadelijke macro's om malware te verspreiden naar overheden en internationale organisaties wereldwijd.

Diplomatieke lokmiddelen met schadelijke macro's

De aanvallers kaapten een officieel e-mailaccount van het Omaanse ministerie van Buitenlandse Zaken in Parijs en stuurden berichten die dringende updates leken te bevatten over multifactorauthenticatie (MFA). Ontvangers – waaronder ambassades, consulaten en internationale organisaties – werden opgeroepen om ”Inhoud inschakelen” om zogenaamd legitieme Word-documenten weer te geven.

Deze documenten bevatten een VBA-macrodropper die een binaire payload reconstrueerde op basis van driecijferige getallenreeksen in een verborgen formulierveld. Bij het openen van het document startte het een keten van vier delen:

1. Vertraging en anti-analyse: Een geneste lusroutine genaamd laylay duizenden iteraties uitgevoerd om de analyse te vertragen en sandbox-omgevingen te blokkeren.
2. Payload-decodering: De functie dddd interpreteerde drietallen van getallen in ASCII-tekens en bouwde een uitvoerbaar binair bestand.
3. Stille vrijlating en executie: De gedecodeerde payload werd geschreven naar C:\Gebruikers\Openbaar\Documenten\ManagerProc.log en werd verborgen uitgevoerd via een Shell-opdracht.
4. Volharding en opruimen: Door vertragingen en eenvoudige foutbehandeling bleven eventuele fouten verborgen en verliep het proces geruisloos.

Deze macrogebaseerde toeleveringsketen combineerde numerieke codering en tijdvertragingen om zowel e-mailfilters als dynamische analysehulpmiddelen te omzeilen.

Wereldwijde spionage onder diplomatieke dekmantel

Uit forensisch onderzoek bleek dat er 270 spearphishing-e-mails werden verzonden vanaf 104 gecompromitteerde adressen binnen het MFA-netwerk van Oman. De campagne gebruikte NordVPN-knooppunten in Jordanië om de oorsprong te verhullen en richtte zich op zes regio's:

• Europa: 10 landen, 73 adressen
• Afrika: 12 landen, 30 adressen
• Azië: 7 landen, 25 adressen
• Midden-Oosten: 7 landen, 20 adressen
• Amerika: 11 landen, 35 adressen
• Internationale organisaties: 10 lichamen, 12 adressen

Europa leek het primaire doelwit, maar ook Afrikaanse missies werden zwaar getroffen. De aanvallen waren gericht op verschillende internationale organisaties, waaronder VN, UNICEF en de Wereldbank, wat duidt op een interesse in strategische diplomatie en humanitaire netwerken.

De timing van de campagne viel samen met gevoelige regionale onderhandelingen, wat suggereert dat het doel was om inlichtingen te verzamelen en diplomatieke uitkomsten te beïnvloeden.

Ontwijking, verkenning en volgende stappen

Het uitvoerbare bestand dat werd neergezet – genaamd sysProcUpdate – toonde een hoge technische verfijning. Het gebruikte aangepaste exception handlers en sectie-packing om reverse engineering moeilijk te maken.

Toen de malware werd geactiveerd, verzamelde deze systeemgegevens zoals gebruikersnaam, computernaam en beheerdersstatus. De informatie werd versleuteld en via HTTPS POST verzonden naar een command-and-control-server op https://screenai.online/Home/.
A bakenlus zorgde voor herhaaldelijke verbindingspogingen, zelfs bij netwerkuitval.

Om zijn positie te behouden, repliceerde sysProcUpdate zichzelf naar C:\ProgramData\sysProcUpdate.exe en gewijzigde Windows-registervermeldingen onder DNS-cacheparameters – een teken van mogelijke zijwaartse beweging en voorbereiding op de toekomst aanvallen.

Analisten zijn van mening dat de campagne zich vooral richtte op verkenning en netwerkkartering ter voorbereiding op geavanceerdere inbraken.

Aanbevelingen voor beperking

Om bedrijven tegen dit soort gerichte aanvallen te beschermen, worden de volgende maatregelen aanbevolen:

• Indicatorblokkering: Blokkeer communicatie naar schermai.online en isoleer documenten die overeenkomen met bekende hashwaarden voor sysProcUpdate.
• Macrobeveiliging: Zorg ervoor dat bij Office-installaties macro's standaard zijn uitgeschakeld en dat digitale ondertekening vereist is voor activering.
• Netwerkbewaking: Controleer uitgaand POST-verkeer naar onbekende domeinen en correleer dit met gebruikersactiviteit.
• Registerbeoordeling: Controleer regelmatig de DNS- en TCP/IP-registersleutels op ongeautoriseerde wijzigingen.
• VPN-analyse: Identificeer plotselinge pieken in VPN-gebruik of exit nodes die afwijken van normale patronen.

Door sterke e-mailfiltering, proactieve netwerkverdediging en gebruikerseducatie te combineren, kunnen organisaties het risico op soortgelijke aanvallen aanzienlijk verkleinen. aanvallen.

Indicatoren van Compromise (IoC's)