Οι hackers Charming Kitten συνδέθηκαν με νέες επιθέσεις που στοχεύουν ειδικούς σε θέματα πολιτικών στη Μέση Ανατολή. Σε αυτή την εκστρατεία, οι Ιρανοί hackers Charming Kitten χρησιμοποιούν ένα νέο backdoor με το όνομα BASICSTAR, δημιουργώντας ένα ψεύτικο webinar portal.
Οι Ιρανοί hackers είναι, επίσης, γνωστοί ως APT35, CharmingCypress, Mint Sandstorm, TA453 και Yellow Garuda και έχουν συνδεθεί με πολλές επιθέσεις social engineering εναντίον think tanks, ΜΚΟ και δημοσιογράφων.
Σύμφωνα με ερευνητές της Volexity, οι hackers χρησιμοποιούν συχνά ασυνήθιστες τακτικές social engineering, όπως η εμπλοκή στόχων σε παρατεταμένες συνομιλίες μέσω email. Αφού εδραιωθεί μια επικοινωνία, οι hackers στέλνουν συνδέσμους που οδηγούν σε κακόβουλο περιεχόμενο.
Δείτε επίσης: RustDoor MacOS Backdoor: Στοχεύει εταιρείες κρυπτονομισμάτων με ψεύτικες ευκαιρίες εργασίας
Τον περασμένο μήνα, η Microsoft αποκάλυψε ότι άτομα υψηλού προφίλ που εργάζονται σε υποθέσεις της Μέσης Ανατολής έχουν στοχοποιηθεί από την ομάδα και οι συσκευές τους μολύνονται με κακόβουλο λογισμικό όπως το MischiefTut και το MediaPl (γνωστό και ως EYEGLASS). Αυτά τα malware συλλέγουν ευαίσθητες πληροφορίες από έναν παραβιασμένο κεντρικό υπολογιστή.
Οι hackers Charming Kitten εκτιμάται ότι συνδέονται με το Σώμα Φρουρών της Ισλαμικής Επανάστασης του Ιράν (IRGC) και διανέμουν κι άλλα backdoor πέρα από το BASICSTAR, συμπεριλαμβανομένων των PowerLess, BellaCiao, POWERSTAR και NokNok.
Οι επιθέσεις phishing που παρατηρήθηκαν μεταξύ Σεπτεμβρίου και Οκτωβρίου 2023, παρίσταναν το Rasanah International Institute for Iranian Studies (IIIS) και ξεγελούσαν τα θύματα ώστε να ξεκινήσουν να επικοινωνούν.
Οι απόπειρες phishing της ομάδας χαρακτηρίζονται επίσης από τη χρήση παραβιασμένων λογαριασμών email που ανήκουν σε νόμιμες επαφές και πολλαπλών λογαριασμών email που ελέγχονται από παράγοντες απειλών.
Συνήθως, χρησιμοποιούνται αρχεία RAR που περιέχουν αρχεία LNK ως σημείο εκκίνησης για τη διανομή του backdoor. Τα phishing emails παροτρύνουν τα θύματα να συμμετάσχουν σε ένα ψεύτικο διαδικτυακό σεμινάριο για θέματα που τους ενδιαφέρουν. Κάπως έτσι, τα θύματα καταλήγουν να κατεβάζουν το BASICSTAR backdoor στις συσκευές τους.
Δείτε επίσης: Οι Ρώσοι hackers Turla στοχεύουν ΜΚΟ με το νέο TinyTurla-NG backdoor
Το BASICSTAR backdoor μπορεί να συλλέγει βασικές πληροφορίες συστήματος, να εκτελεί εξ αποστάσεως εντολές και να κατεβάζει και να εμφανίζει ένα αρχείο PDF-δόλωμα.
Επιπλέον, ορισμένες από αυτές τις επιθέσεις phishing έχουν σχεδιαστεί για να διανέμουν διαφορετικά backdoor, ανάλογα με το λειτουργικό σύστημα του μηχανήματος. Για παράδειγμα, τα θύματα των Windows επηρεάζονται από το POWERLESS και τα θύματα του Apple macOS από το NokNok.
“Αυτός ο παράγοντας απειλής είναι ιδιαίτερα αφοσιωμένος στη διεξαγωγή επιτήρησης στους στόχους του, προκειμένου να προσδιορίσει τον καλύτερο τρόπο χειραγώγησης και ανάπτυξης κακόβουλου λογισμικού“, δήλωσαν οι ερευνητές. “Επιπλέον, λίγοι άλλοι hackers έχουν πραγματοποιήσει με συνέπεια τόσες εκστρατείες, χρησιμοποιώντας ανθρώπους χειριστές για να υποστηρίξουν τις συνεχείς προσπάθειές τους“.
Προστασία
Οι οργανισμοί μπορούν να προστατεύσουν τα δίκτυά τους από το BASICSTAR backdoor, εφαρμόζοντας διάφορες στρατηγικές ασφάλειας. Καταρχάς, είναι σημαντικό να διατηρούν τα συστήματά τους ενημερωμένα. Αυτό σημαίνει ότι θα πρέπει να εγκαθιστούν τακτικά τις τελευταίες ενημερώσεις και διορθώσεις ασφαλείας σε όλα τα λειτουργικά συστήματα και τις εφαρμογές.
Επιπλέον, οι οργανισμοί πρέπει να χρησιμοποιούν λύσεις ασφάλειας που περιλαμβάνουν την ανίχνευση εισβολών και την προστασία από κακόβουλο λογισμικό. Αυτές οι λύσεις μπορούν να βοηθήσουν στην ανίχνευση και την αποτροπή των επιθέσεων.
Δείτε επίσης: Το DSLog backdoor εγκαθίσταται μέσω ευπάθειας SSRF στο Ivanti
Η εκπαίδευση του προσωπικού είναι επίσης κρίσιμη για την αποφυγή του BASICSTAR backdoor. Οι εργαζόμενοι πρέπει να γνωρίζουν τους κινδύνους που συνδέονται με την κυβερνοασφάλεια και τις τακτικές που χρησιμοποιούν οι επιτιθέμενοι, όπως το phishing.
Τέλος, οι οργανισμοί πρέπει να εφαρμόζουν την αρχή της ελάχιστης πρόσβασης. Αυτό σημαίνει ότι οι χρήστες και οι συσκευές πρέπει να έχουν μόνο τις απαραίτητες άδειες πρόσβασης που χρειάζονται για την εκτέλεση των καθηκόντων τους.
Πηγή: thehackernews.com