Iráni hackerek új „Tickler” rosszindulatú szoftvert szabadítanak fel az Egyesült Államok és az Egyesült Arab Emírségek kritikus infrastruktúrája elleni célzott támadások során

Aggodalomra ad okot, hogy az iráni állam által szponzorált hackercsoport, a Peach Sandstorm egy új, kifinomult malware-t telepített, a " Tickler " néven. Ez a csoport, amelyet különféle neveken is nyomon követnek, mint például az APT33, az Elfin, a Holmium, a Magnallium és a Refined Kitten, fokozta kiberkémtevékenységét, az Egyesült Államok és az Egyesült Arab Emírségek (EAE) kritikus infrastruktúráit célozva meg.

Peach Sandstorm fejlődő veszélye

A könyörtelen kibertámadásairól ismert Peach Sandstorm szálka volt a globális biztonságban, különösen azokban az ágazatokban, amelyek létfontosságúak a nemzetvédelem és a gazdasági stabilitás szempontjából. 2023 végén a Microsoft megállapította, hogy e csoport tevékenysége megugrott, különösen az Egyesült Államok védelmi ipari bázisán dolgozó alkalmazottakat célozva. Ez az eszkaláció jelentős elmozdulást jelez, mivel a csoport az újonnan kifejlesztett Tickler-hátsóajtót hasznosítja működésében.

A Tickler funkcionalitása: többlépcsős hátsó ajtó

A Tickler nem egy egyszerű rosszindulatú program; ez egy egyedi, többlépcsős hátsó ajtó, amelyet a sokoldalúság szem előtt tartásával terveztek. Miután beszivárgott egy rendszerbe, a Tickler lehetővé teszi a támadók számára, hogy további rosszindulatú rakományokat töltsenek le, ezáltal kibővítve ellenőrzésüket a feltört hálózat felett. Ennek a rosszindulatú programnak a lehetőségei kiterjedtek – rendszerinformációkat gyűjthet, tetszőleges parancsokat hajthat végre, fájlokat törölhet, valamint kezelheti a fájlátvitelt az áldozat rendszere és a támadó parancs- és vezérlőkiszolgálója (C&C) között.

Célok a célkeresztben: műhold, kommunikáció és egyebek

A Peach Sandstorm legújabb kampányának elsődleges célpontjai olyan szervezetek, amelyek a modern infrastruktúra pillérei – műholdas kommunikációs rendszerek, kormányzati szervek, olaj- és gázipari vállalatok az Egyesült Államokban és az Egyesült Arab Emírségekben egyaránt. Ezek az ágazatok nemcsak létfontosságúak e nemzetek mindennapi működése szempontjából, hanem óriási stratégiai jelentőséggel is bírnak, így a hírszerzés és az esetleges zavarok elsődleges célpontjai.

Társadalmi tervezés és jelszószórási taktika

A Tickler kártevő telepítése mellett a Peach Sandstorm folytatta a social engineering technikák kihasználását olyan platformokon, mint a LinkedIn. Az érzékeny iparágak szakembereit megcélozva célja a bennfentes információkhoz való hozzáférés. Ezenkívül megfigyelték, hogy a csoport jelszavas támadásokat hajt végre – egy olyan módszert, amikor a támadók számos fiókban közös jelszavakat használnak, hogy jogosulatlan hozzáférést szerezzenek. Ezek a támadások különösen a védelmi, az űrkutatási, az oktatási és a kormányzati szektor szervezetei ellen irányultak az Egyesült Államokban és Ausztráliában.

Az Azure Infrastructure kihasználása a Command and Control számára

Egy kifinomult csavarral a Peach Sandstorm az Azure-infrastruktúrát, különösen a támadók által ellenőrzött csalárd előfizetéseket használta C&C műveleteihez. Ez a taktika nemcsak megbízható infrastruktúrát biztosít számukra, hanem megnehezíti tevékenységeik nyomon követését és leállítását is, mivel a törvényes felhőszolgáltatásokban rejtőznek.

A kiberfenyegetések tágabb kontextusa

A Microsoft Peach Sandstorm tevékenységéről szóló jelentésének közzététele egybeesett más jelentős kiberbiztonsági leleplezésekkel. Ugyanezen a napon a Google Cloud Mandiant közzétett egy iráni kémelhárítási műveletről szóló jelentést, az Egyesült Államok kormánya pedig egy tanácsadót adott ki, amelyben kiemelte az iráni államilag támogatott szereplők és zsarolóvírus-csoportok közötti együttműködést. A jelentések ilyen szinkronizálása aláhúzza az Iránból származó kiberfenyegetések szélesebb körű, összehangolt jellegét.

A létfontosságú infrastruktúrák védelme: az út előre

Mivel a Peach Sandstorm és más, államilag támogatott fenyegetettségi szereplők folyamatosan fejlesztik taktikájukat, kulcsfontosságú, hogy a szervezetek, különösen a kritikus szektorokban működő szervezetek megerősítsék kiberbiztonsági intézkedéseiket. Ez magában foglalja a robusztus jelszóházirendek bevezetését, a felhőalapú szolgáltatások nyomon követésének javítását, valamint az alkalmazottak oktatását a social engineering kockázatairól.

A kiberfenyegetések elleni küzdelem még korántsem ért véget, és az olyan kifinomult eszközökkel, mint a Tickler játékban, az éberség és a proaktív védelmi stratégiák fontosabbak, mint valaha.