Spionaggio di hacker iraniani contro l'industria aerospaziale e delle telecomunicazioni del Medio Oriente

Sono emersi dettagli su una nuova campagna di spionaggio informatico diretta contro l'industria aerospaziale e delle telecomunicazioni, principalmente in Medio Oriente, con l'obiettivo di rubare informazioni sensibili su risorse critiche, infrastrutture e tecnologia delle organizzazioni rimanendo all'oscuro ed eludendo con successo le soluzioni di sicurezza .

La società di sicurezza informatica con sede a Boston Cybereason ha soprannominato gli attacchi " Operazione Ghostshell ", sottolineando l'uso di un trojan di accesso remoto (RAT) precedentemente non documentato e furtivo chiamato ShellClient che viene distribuito come il principale strumento di spionaggio preferito. Il primo segno degli attacchi è stato osservato nel luglio 2021 contro un insieme selezionato di vittime, indicando un approccio altamente mirato.

"ShellClient RAT è in fase di sviluppo almeno dal 2018, con diverse iterazioni che hanno introdotto nuove funzionalità, mentre è sfuggito agli strumenti antivirus ed è riuscito a rimanere inosservato e pubblicamente sconosciuto", i ricercatori Tom Fakterman, Daniel Frank, Chen Erlich e Assaf Dahan ha detto in un approfondimento tecnico pubblicato oggi.

Cybereason ha fatto risalire le radici di questa minaccia almeno al 6 novembre 2018, in precedenza operando come un reverse shell autonomo prima di evolversi in una sofisticata backdoor, evidenziando che il malware è stato in continuo sviluppo con nuove funzionalità e capacità aggiunte dai suoi autori. Inoltre, si dice che l'avversario dietro gli attacchi abbia distribuito un eseguibile sconosciuto chiamato "lsa.exe" per eseguire il dump delle credenziali.

L'indagine sull'attribuzione degli attacchi informatici ha anche prodotto un attore di minacce iraniano completamente nuovo di nome MalKamak che opera dallo stesso periodo e finora è sfuggito alla scoperta e all'analisi, con possibili connessioni ad altre minacce APT sponsorizzate dallo stato iraniano attori come Chafer APT (alias APT39) e Agrius APT , quest'ultimo dei quali è stato trovato in posa come operatori di ransomware nel tentativo di nascondere l'origine di una serie di hack di cancellazione dei dati contro entità israeliane.

Oltre a svolgere attività di ricognizione ed esfiltrazione di dati sensibili, ShellClient è progettato come un eseguibile portatile modulare in grado di eseguire operazioni di fingerprinting e registro. Degno di nota è anche l'abuso da parte del RAT dei servizi di cloud storage come Dropbox per le comunicazioni di comando e controllo (C2) nel tentativo di rimanere sotto il radar mescolandosi con il traffico di rete legittimo proveniente dai sistemi compromessi.

L'archivio Dropbox contiene tre cartelle, ciascuna contenente informazioni sulle macchine infette, i comandi che devono essere eseguiti da ShellClient RAT e i risultati di tali comandi. "Ogni due secondi, la macchina vittima controlla la cartella dei comandi, recupera i file che rappresentano i comandi, ne analizza il contenuto, quindi li elimina dalla cartella remota e li abilita per l'esecuzione", hanno affermato i ricercatori.

Il suddetto modus operandi rispecchia una tattica adottata da un altro attore di minacce chiamato IndigoZebra , che è stato scoperto basandosi sull'API Dropbox per memorizzare i comandi in una sottocartella specifica della vittima che viene recuperata dal malware prima dell'esecuzione.

I risultati arrivano anche giorni dopo che una nuova minaccia avanzata e persistente soprannominata " ChamelGang " è stata identificata dietro una serie di attacchi contro le industrie di produzione di carburante, energia e aviazione in Russia, Stati Uniti, India, Nepal, Taiwan e Giappone con l'obiettivo di rubare dati da reti compromesse.