Irańscy hakerzy uwalniają nowe złośliwe oprogramowanie „Tickler” w ukierunkowanych atakach na krytyczną infrastrukturę USA i Zjednoczonych Emiratów Arabskich

W niepokojącym rozwoju wydarzeń, irańska grupa hakerska sponsorowana przez państwo, Peach Sandstorm, została zauważona wdrażając nowy, wyrafinowany kawałek złośliwego oprogramowania o nazwie „ Tickler ”. Ta grupa, śledzona również pod różnymi nazwami, takimi jak APT33, Elfin, Holmium, Magnallium i Refined Kitten, zintensyfikowała swoje operacje cybernetycznego szpiegostwa, atakując krytyczną infrastrukturę w Stanach Zjednoczonych i Zjednoczonych Emiratach Arabskich (ZEA).

Rozwijające się zagrożenie Peach Sandstorm

Peach Sandstorm, znany z nieustannych cyberataków, jest solą w oku globalnego bezpieczeństwa, szczególnie w sektorach, które są kluczowe dla obrony narodowej i stabilności gospodarczej. Pod koniec 2023 r. Microsoft zidentyfikował wzrost aktywności tej grupy, szczególnie ukierunkowanej na pracowników w amerykańskiej bazie przemysłowej sektora obronnego. Ta eskalacja oznacza znaczącą zmianę, ponieważ grupa wykorzystuje nowo opracowane tylne drzwi Tickler w swoich operacjach.

Funkcjonalność Tickler: wieloetapowe tylne wejście

Tickler to nie jest zwykły malware; to niestandardowe, wieloetapowe backdoory zaprojektowane z myślą o wszechstronności. Po infiltracji systemu Tickler umożliwia atakującym pobranie dodatkowych złośliwych ładunków, rozszerzając w ten sposób kontrolę nad zainfekowaną siecią. Możliwości tego malware są rozległe — może zbierać informacje systemowe, wykonywać dowolne polecenia, usuwać pliki i zarządzać transferami plików między systemem ofiary a serwerem poleceń i kontroli (C&C) atakującego.

Cele na celowniku: satelita, komunikacja i inne

Głównymi celami najnowszej kampanii Peach Sandstorm są organizacje, które są filarami nowoczesnej infrastruktury — systemy komunikacji satelitarnej, agencje rządowe oraz firmy naftowe i gazowe zarówno w USA, jak i w Zjednoczonych Emiratach Arabskich. Sektory te są nie tylko kluczowe dla codziennego funkcjonowania tych narodów, ale mają również ogromne znaczenie strategiczne, co czyni je głównymi celami gromadzenia informacji wywiadowczych i potencjalnych zakłóceń.

Inżynieria społeczna i taktyki rozpylania haseł

Oprócz wdrażania złośliwego oprogramowania Tickler, Peach Sandstorm nadal wykorzystuje techniki inżynierii społecznej za pośrednictwem platform takich jak LinkedIn. Poprzez atakowanie profesjonalistów z wrażliwych branż, grupa ta ma na celu uzyskanie dostępu do informacji poufnych. Ponadto zaobserwowano, że grupa przeprowadza ataki typu password spray — metodę, w której atakujący używają wspólnych haseł na wielu kontach, aby uzyskać nieautoryzowany dostęp. Ataki te były szczególnie skierowane na organizacje z sektora obronnego, kosmicznego, edukacyjnego i rządowego w USA i Australii.

Wykorzystanie infrastruktury platformy Azure do dowodzenia i kontroli

W wyrafinowanym zwrocie akcji Peach Sandstorm używa infrastruktury Azure, konkretnie fałszywych subskrypcji kontrolowanych przez atakujących, do swoich operacji C&C. Ta taktyka nie tylko zapewnia im niezawodną infrastrukturę, ale także utrudnia śledzenie i zamykanie ich działań, ponieważ są one ukryte w legalnych usługach w chmurze.

Szerszy kontekst zagrożeń cybernetycznych

Publikacja raportu Microsoftu na temat działań Peach Sandstorm zbiegła się z innymi znaczącymi rewelacjami w zakresie cyberbezpieczeństwa. Tego samego dnia Mandiant z Google Cloud opublikował raport na temat irańskiej operacji kontrwywiadowczej, a rząd USA wydał ostrzeżenie podkreślające współpracę między irańskimi podmiotami sponsorowanymi przez państwo a grupami ransomware. Ta synchronizacja raportów podkreśla szerszą, skoordynowaną naturę cyberzagrożeń pochodzących z Iranu.

Ochrona infrastruktury krytycznej: droga naprzód

Ponieważ Peach Sandstorm i inni sponsorowani przez państwo aktorzy zagrożeń nadal rozwijają swoje taktyki, kluczowe jest, aby organizacje, zwłaszcza te z sektorów krytycznych, wzmocniły swoje środki cyberbezpieczeństwa. Obejmuje to wdrożenie solidnych zasad dotyczących haseł, usprawnienie monitorowania usług w chmurze i edukowanie pracowników na temat ryzyka związanego z inżynierią społeczną.

Walka z zagrożeniami cybernetycznymi jest daleka od zakończenia, a dzięki zastosowaniu tak zaawansowanych narzędzi jak Tickler, czujność i proaktywne strategie obronne są ważniejsze niż kiedykolwiek wcześniej.