Puerta trasera BASICSTAR utilizada por un actor de amenazas iraní
El actor de amenazas vinculado a Irán conocido como Charming Kitten, también conocido como APT35, CharmingCypress, Mint Sandstorm, TA453 y Yellow Garuda, ha sido identificado en una serie reciente de ataques dirigidos a expertos en políticas de Oriente Medio. Estos ataques implican el uso de una nueva puerta trasera llamada BASICSTAR, que se implementa a través de un portal de seminarios web falso.
Charming Kitten tiene un historial de realización de diversas campañas de ingeniería social, con especial atención a grupos de expertos, ONG y periodistas. Sus tácticas incluyen involucrar a los objetivos en conversaciones prolongadas por correo electrónico antes de enviar enlaces de contenido malicioso, como señalaron los investigadores de Volexity Ankur Saini, Callum Roxan, Charlie Gardner y Damien Cash.
Microsoft informó que Charming Kitten se centró en personas de alto perfil involucradas en asuntos de Oriente Medio para distribuir malware como MischiefTut y MediaPl (también conocido como EYEGLASS), capaz de extraer información confidencial. El actor de amenazas, que se cree que está asociado con el Cuerpo de la Guardia Revolucionaria Islámica de Irán (CGRI), también ha difundido otras puertas traseras como PowerLess, BellaCiao, POWERSTAR (también conocido como GorjolEcho) y NokNok durante el año pasado, lo que demuestra un compromiso persistente con los ataques cibernéticos mientras adaptando tácticas a pesar de la exposición pública.
BASICSTAR implementado como parte de una infiltración a largo plazo
Los ataques de phishing observados entre septiembre y octubre de 2023 involucraron a Charming Kitten haciéndose pasar por el Instituto Internacional Rasanah de Estudios Iraníes (IIIS) para generar confianza entre los objetivos. Los ataques incluyen el uso de cuentas de correo electrónico comprometidas y una técnica llamada suplantación de múltiples personas (MPI), donde se utilizan múltiples cuentas de correo electrónico controladas por actores de amenazas.
Las cadenas de ataque suelen utilizar archivos RAR que contienen archivos LNK para distribuir malware. Se anima a los objetivos potenciales a unirse a un seminario web falso sobre temas de interés, lo que lleva a una secuencia de infección de varias etapas que implementa BASICSTAR y KORKULOADER, un script de descarga de PowerShell.
BASICSTAR, un malware de Visual Basic Script (VBS), puede recopilar información básica del sistema, ejecutar comandos desde un servidor de comando y control (C2) y descargar/mostrar archivos PDF señuelo. Además, algunos ataques adaptan la puerta trasera según el sistema operativo, comprometiendo a las víctimas de Windows con POWERLESS y a las víctimas de Apple macOS a través de una cadena de infección que culmina en NokNok a través de una aplicación VPN mezclada con malware.
