Gli hacker iraniani scatenano il nuovo malware "Tickler" in attacchi mirati alle infrastrutture critiche degli Stati Uniti e degli Emirati Arabi Uniti

In uno sviluppo preoccupante, il gruppo di hacker sponsorizzato dallo stato iraniano, Peach Sandstorm, è stato osservato mentre distribuiva un nuovo, sofisticato malware chiamato " Tickler ". Questo gruppo, monitorato anche con vari nomi quali APT33, Elfin, Holmium, Magnallium e Refined Kitten, ha intensificato le sue operazioni di cyber-spionaggio, prendendo di mira infrastrutture critiche negli Stati Uniti e negli Emirati Arabi Uniti (EAU).

La minaccia in evoluzione di Peach Sandstorm

Peach Sandstorm, noto per i suoi implacabili attacchi informatici, è stato una spina nel fianco della sicurezza globale, in particolare nei settori vitali per la difesa nazionale e la stabilità economica. Verso la fine del 2023, Microsoft ha identificato un'impennata di attività da parte di questo gruppo, che ha preso di mira specificamente i dipendenti all'interno della base industriale della difesa degli Stati Uniti. Questa escalation segna un cambiamento significativo, poiché il gruppo sfrutta la backdoor Tickler di recente sviluppo nelle sue operazioni.

La funzionalità di Tickler: una backdoor multi-fase

Tickler non è un semplice malware qualunque; è una backdoor personalizzata e multi-fase progettata pensando alla versatilità. Una volta infiltratosi in un sistema, Tickler consente agli aggressori di scaricare ulteriori payload dannosi, espandendo così il loro controllo sulla rete compromessa. Le capacità di questo malware sono estese: può raccogliere informazioni di sistema, eseguire comandi arbitrari, eliminare file e gestire i trasferimenti di file tra il sistema della vittima e il server di comando e controllo (C&C) dell'aggressore.

Obiettivi nel mirino: satelliti, comunicazioni e altro

Gli obiettivi principali dell'ultima campagna di Peach Sandstorm sono organizzazioni che sono pilastri delle infrastrutture moderne: sistemi di comunicazione satellitare, agenzie governative e compagnie petrolifere e del gas sia negli Stati Uniti che negli Emirati Arabi Uniti. Questi settori non sono solo essenziali per il funzionamento quotidiano di queste nazioni, ma sono anche di immensa importanza strategica, il che li rende obiettivi primari per la raccolta di informazioni e potenziali interruzioni.

Ingegneria sociale e tattiche di password spraying

Oltre a distribuire il malware Tickler, Peach Sandstorm ha continuato a sfruttare tecniche di ingegneria sociale tramite piattaforme come LinkedIn. Prendendo di mira professionisti in settori sensibili, mirano ad accedere a informazioni riservate. Inoltre, il gruppo è stato osservato condurre attacchi password spray, un metodo in cui gli aggressori utilizzano password comuni su molti account per ottenere un accesso non autorizzato. Questi attacchi sono stati particolarmente diretti a organizzazioni nei settori della difesa, dello spazio, dell'istruzione e del governo negli Stati Uniti e in Australia.

Sfruttare l'infrastruttura di Azure per il comando e il controllo

In un sofisticato colpo di scena, Peach Sandstorm ha utilizzato l'infrastruttura di Azure, in particolare sottoscrizioni fraudolente controllate dagli aggressori, per le loro operazioni C&C. Questa tattica non solo fornisce loro un'infrastruttura affidabile, ma rende anche più difficile tracciare e interrompere le loro attività, poiché sono nascoste all'interno di servizi cloud legittimi.

Un contesto più ampio delle minacce informatiche

La pubblicazione del rapporto di Microsoft sulle attività di Peach Sandstorm ha coinciso con altre importanti rivelazioni sulla sicurezza informatica. Lo stesso giorno, Mandiant di Google Cloud ha pubblicato un rapporto su un'operazione di controspionaggio iraniana e il governo degli Stati Uniti ha emesso un avviso che evidenziava la collaborazione tra attori sponsorizzati dallo stato iraniano e gruppi di ransomware. Questa sincronizzazione dei rapporti sottolinea la natura più ampia e coordinata delle minacce informatiche provenienti dall'Iran.

Proteggere le infrastrutture critiche: la via da seguire

Mentre Peach Sandstorm e altri attori di minacce sponsorizzati dallo stato continuano a sviluppare le loro tattiche, è fondamentale per le organizzazioni, in particolare quelle nei settori critici, rafforzare le loro misure di sicurezza informatica. Ciò include l'implementazione di solide policy sulle password, il miglioramento del monitoraggio dei servizi basati su cloud e l'educazione dei dipendenti sui rischi dell'ingegneria sociale.

La battaglia contro le minacce informatiche è tutt'altro che finita e, con strumenti sofisticati come Tickler in gioco, la vigilanza e le strategie di difesa proattive sono più importanti che mai.