BASICSTAR-achterdeur gebruikt door Iraanse bedreigingsacteur
De aan Iran gelieerde dreigingsactor, bekend als Charming Kitten, ook wel APT35, CharmingCypress, Mint Sandstorm, TA453 en Yellow Garuda genoemd, is geïdentificeerd in een recente reeks aanvallen gericht op beleidsexperts uit het Midden-Oosten. Bij deze aanvallen wordt gebruik gemaakt van een nieuwe achterdeur genaamd BASICSTAR, die wordt ingezet via een nep-webinarportaal.
Charming Kitten heeft een geschiedenis in het uitvoeren van diverse social engineering-campagnes, met een bijzondere focus op denktanks, NGO's en journalisten. Hun tactieken omvatten onder meer het betrekken van doelwitten in langdurige e-mailgesprekken voordat ze links naar kwaadaardige inhoud verzenden, zoals opgemerkt door Volexity-onderzoekers Ankur Saini, Callum Roxan, Charlie Gardner en Damien Cash.
Microsoft meldde dat spraakmakende personen die betrokken zijn bij zaken in het Midden-Oosten het doelwit waren van Charming Kitten om malware zoals MischiefTut en MediaPl (ook bekend als EYEGLASS) te verspreiden, die in staat zijn gevoelige informatie te extraheren. De bedreigingsacteur, vermoedelijk geassocieerd met de Iraanse Islamitische Revolutionaire Garde (IRGC), heeft het afgelopen jaar ook verschillende andere achterdeurtjes verspreid, zoals PowerLess, BellaCiao, POWERSTAR (ook bekend als GorjolEcho) en NokNok, waarmee hij blijk geeft van een aanhoudende toewijding aan cyberaanvallen terwijl het aanpassen van tactieken ondanks publieke bekendheid.
BASICSTAR ingezet als onderdeel van langetermijninfiltratie
Bij phishing-aanvallen die tussen september en oktober 2023 werden waargenomen, was Charming Kitten betrokken die zich voordeed als het Rasanah International Institute for Iraanse Studies (IIIS) om vertrouwen op te bouwen met doelwitten. Bij de aanvallen wordt gebruik gemaakt van gecompromitteerde e-mailaccounts en een techniek genaamd Multi-Persona Impersonation (MPI), waarbij meerdere door bedreigingsactors gecontroleerde e-mailaccounts worden gebruikt.
De aanvalsketens maken doorgaans gebruik van RAR-archieven met LNK-bestanden om malware te verspreiden. Potentiële doelwitten worden aangemoedigd om deel te nemen aan een nep-webinar over interessante onderwerpen, wat leidt tot een infectiereeks in meerdere fasen waarbij BASICSTAR en KORKULOADER, een PowerShell-downloaderscript, worden ingezet.
BASICSTAR, een Visual Basic Script (VBS)-malware, kan basissysteeminformatie verzamelen, opdrachten uitvoeren vanaf een command-and-control (C2)-server en lok-PDF-bestanden downloaden/weergeven. Bovendien passen sommige aanvallen de achterdeur aan, afhankelijk van het besturingssysteem, waardoor Windows-slachtoffers met POWERLESS en Apple macOS-slachtoffers in gevaar worden gebracht via een infectieketen die culmineert in NokNok via een VPN-applicatie doorspekt met malware.
