Ιρανοί hackers παρουσιάζονται ως ακαδημαϊκοί σε νέα phishing εκστρατεία.
Ιρανοί hackers πραγματοποίησαν phishing επιθέσεις, παριστάνοντας ακαδημαϊκούς από πανεπιστήμιο του Ηνωμένου Βασιλείου. Στόχος τους ήταν να κλέψουν passwords εμπειρογνωμόνων σε θέματα της Μέσης Ανατολής, από πανεπιστήμια, ομάδες προβληματισμού και τα μέσα ενημέρωσης.
Δείτε επίσης: Ιρανοί χρησιμοποιούν fake Instagram accounts για να προσελκύσουν και να βλάψουν Ισραηλινούς
Ερευνητές ασφαλείας της Proofpoint ονόμασαν την εκστρατεία Operation SpoofedScholars. Οι Ιρανοί hackers προσπάθησαν να συλλέξουν τα passwords των θυμάτων με ψεύτικες σελίδες που υποτίθεται τους προσκαλούσαν να μιλήσουν σε διαδικτυακό σεμινάριο για θέματα που σχετίζονται με τη Μέση Ανατολή.
Οι ερευνητές της Proofpoint έχουν συνδέσει τη phishing εκστρατεία με μια APT ομάδα από το Ιράν, γνωστή ως TA453, Charming Kitten και Phosphorus. Λέγεται ότι η ομάδα δουλεύει για λογαριασμό του Islamic Revolutionary Guard Corps (IRGC), ένα τμήμα των ιρανικών ενόπλων δυνάμεων.
Οι επιτιθέμενοι χρησιμοποίησαν διευθύνσεις Gmail, οι οποίες έμοιαζαν με emails ακαδημαϊκών του School of Oriental and African Studies (SOAS) του Πανεπιστημίου του Λονδίνου.
Οι επιτιθέμενοι έστειλαν μηνύματα στα θύματα, προσκαλώντας τους σε ένα διαδικτυακό συνέδριο με θέμα “Οι προκλήσεις ασφαλείας των ΗΠΑ στη Μέση Ανατολή“. Στα emails, έλεγαν επίσης, ότι ήταν δυνατή και τηλεφωνική επικοινωνία για περισσότερες λεπτομέρειες, κάτι που είναι αρκετά ασυνήθιστο.
Χρήσιμη πληροφορία: Phishing: Χωρίς εκπαίδευση, ένας στους τρεις πέφτει θύμα επίθεσης
Τελικά, οι εισβολείς έστειλαν έναν εξατομικευμένο “σύνδεσμο εγγραφής”, που οδηγούσε σε μια υποτιθέμενη SOAS webinar πλατφόρμα.
Στην πραγματικότητα χρησιμοποιήθηκε ένα νόμιμο site που ανήκε στο SOAS Radio του Πανεπιστημίου του Λονδίνου, το οποίο όμως είχε παραβιαστεί από τους hackers. Τα θύματα καλούνταν να συνδεθούν στην πλατφόρμα μέσω διεύθυνσης ηλεκτρονικού ταχυδρομείου. Ανάλογα με τον πάροχο email, υπήρχαν διαφορετικά links.
Οι επιλογές περιελάμβαναν: Google, Yahoo, Microsoft, iCloud, Facebook και άλλα. Αν ο χρήστης έκανε κλικ σε ένα σύνδεσμο, οδηγούνταν σε μια πλαστογραφημένη έκδοση της σελίδας σύνδεσης του παρόχου email. Από εκεί, οι Ιρανοί hackers μπορούν να κλέψουν τα ονόματα χρήστη και τα passwords των θυμάτων.
Οι ερευνητές είναι πεπεισμένοι ότι η εκστρατεία συνδέεται με το Ιράν.
“Η σύνδεση βασίζεται σε ομοιότητες με προηγούμενες εκστρατείες της TA453. Η TA453 χρησιμοποιεί συχνά δωρεάν παρόχους email για να πλαστογραφήσει άτομα που είναι εξοικειωμένα με τους στόχους τους (για να αυξήσει την πιθανότητα επιτυχούς παραβίασης)“, δήλωσε η Sherrod DeGrippo, στέλεχος της Proofpoint.
Δείτε επίσης: Kaseya: Προειδοποιεί για phishing εκστρατεία που προωθεί fake ενημερώσεις ασφαλείας
Οι ερευνητές λένε ότι οι Ιρανοί hackers παρουσιάζονται ως ακαδημαϊκοί και κλέβουν credentials για μελλοντικές phishing επιθέσεις.
Δεν είναι γνωστό εάν οι επιτιθέμενοι κατάφεραν να κλέψουν πληροφορίες. Το παραβιασμένο site ωστόσο αφαιρέθηκε από το SOAS.
“Μόλις μάθαμε για το παραβιασμένο site, το διορθώσαμε αμέσως και αναφέραμε την παραβίαση. Εξετάσαμε τον τρόπο με τον οποίο έγινε αυτό και έχουμε λάβει μέτρα για την περαιτέρω βελτίωση της προστασίας αυτών των συστημάτων“, δήλωσε εκπρόσωπος του SOAS.
Πηγή: ZDNet
