BASICSTAR bakdør brukt av iransk trusselskuespiller
Den iransk-tilknyttede trusselskuespilleren kjent som Charming Kitten, også referert til som APT35, CharmingCypress, Mint Sandstorm, TA453 og Yellow Garuda, har blitt identifisert i en nylig serie med angrep rettet mot Midtøsten-politiske eksperter. Disse angrepene involverer bruk av en ny bakdør kalt BASICSTAR, som distribueres gjennom en falsk webinarportal.
Charming Kitten har en historie med å gjennomføre ulike sosiale ingeniørkampanjer, med et spesielt fokus på tenketanker, frivillige organisasjoner og journalister. Taktikken deres inkluderer å engasjere mål i langvarige e-postsamtaler før de sender lenker til skadelig innhold, som bemerket av Volexity-forskerne Ankur Saini, Callum Roxan, Charlie Gardner og Damien Cash.
Microsoft rapporterte at høyprofilerte personer involvert i Midtøsten-saker ble målrettet av Charming Kitten for å distribuere skadelig programvare som MischiefTut og MediaPl (aka EYEGLASS), som er i stand til å trekke ut sensitiv informasjon. Trusselaktøren, som antas å være assosiert med Irans islamske revolusjonsgardekorps (IRGC), har også spredt forskjellige andre bakdører som PowerLess, BellaCiao, POWERSTAR (aka GorjolEcho) og NokNok det siste året, og demonstrert en vedvarende forpliktelse til cyberangrep mens tilpasse taktikk til tross for offentlig eksponering.
BASICSTAR utplassert som en del av langsiktig infiltrasjon
Phishing-angrep observert mellom september og oktober 2023 involverte Charming Kitten som poserte som Rasanah International Institute for Iranian Studies (IIIS) for å bygge tillit med mål. Angrepene inneholder bruk av kompromitterte e-postkontoer og en teknikk kalt Multi-Persona Impersonation (MPI), der flere trusselaktørkontrollerte e-postkontoer brukes.
Angrepskjedene bruker vanligvis RAR-arkiver som inneholder LNK-filer for å distribuere skadelig programvare. Potensielle mål oppfordres til å bli med på et falskt webinar om emner av interesse, noe som fører til en flertrinns infeksjonssekvens som distribuerer BASICSTAR og KORKULOADER, et PowerShell-nedlastingsskript.
BASICSTAR, en Visual Basic Script (VBS) malware, kan samle grunnleggende systeminformasjon, utføre kommandoer fra en kommando-og-kontroll-server (C2) og laste ned/vise lokke-PDF-filer. I tillegg skreddersyr noen angrep bakdøren avhengig av operativsystemet, og kompromitterer Windows-ofre med POWERLESS og Apple macOS-ofre gjennom en infeksjonskjede som kulminerer med NokNok via en VPN-applikasjon full av skadelig programvare.
