İran-Nexus hackerları, Hedef Hükümet Varlıklarını hedeflemek için Omani MFA’yı taklit ediyor

Siber güvenlik araştırmacıları, dünya çapında devlet kuruluşlarına kötü niyetli yükler teslim etmek için Umman’da uzlaşmış bir Dışişleri Bakanlığı (MFA) posta kutusunu kullanan sofistike, İran bağlantılı bir mızrak avı operasyonu ortaya çıkardılar.

Analistler operasyonu İran’ın İstihbarat ve Güvenlik Bakanlığı’na (MOI) uyumlu olduğuna inanılan “Vatandaş Adalet” grubuna atfediyorlar.

Çalınan diplomatik iletişim, kodlanmış makrolar ve katmanlı kaçırma tekniklerinden yararlanan kampanya, artan jeopolitik gerilimler arasında bölgesel casusluk için yenilenmiş bir baskının altını çiziyor.

Kötü niyetli makrolar ile diplomatik yemler

Saldırganlar, kampanyayı Paris’teki Omani MFA’nın resmi bir e-posta hesabını ele geçirerek, acil çok faktörlü kimlik doğrulama (MFA) bildirimleri içerdiği görünen mesajlar göndererek başlattı.

Büyükelçiliklerden ve konsolosluklardan uluslararası kuruluşlara kadar uzanan alıcılara “içeriği etkinleştirmeleri” istenen meşru kelime belgelerini görüntülemeleri istenmiştir.

Bu eklere gömülü olan, gizli bir form kontrolünde depolanan üç haneli sayıların dizilerinden ikili yükü yeniden yapılandıran bir VBA makro damlası vardı.

Belge açıklandıktan sonra, makro dört bölümlü bir zincir gerçekleştirdi:

1. Gecikme ve anti-analiz: İç içe bir döngü rutini (laylay) binlerce op yinelemeyi tetikledi, sanal alan ve dinamik analiz ortamlarını durdurdu.
2. Yük Kod çözme: İşlev (dddd) Bir kullanıcı formunun metin kutusu kontrolündeki rakamların üçlülerini ASCII karakterlerine dönüştürerek, kötü amaçlı yazılım yürütülebilir dosyasının ikilisini yeniden yaratır.
3. Gizli damla ve infaz: Kod çözülmüş yük yazıldı C:\Users\Public\Documents\ManagerProc.log– Görünüşte zararsız bir günlük dosyası – ve hata bastırma ile bir kabuk komutu aracılığıyla gizli başlatıldı.
4. Kalıcılık ve temizlik: Diğer gecikmeler sürecin sessizce tamamlanmasını sağladı ve makro’nun basit hata işleyicileri herhangi bir başarısızlığı gizledi.

Bu yürütme zinciri klasik makro tabanlı teslimatı örnekler, ancak sayısal kodlama ve kasıtlı gecikmelerin kullanımı gizliliğini yükseltti ve saldırganların standart e-posta güvenlik filtrelerini ve sanal alan denetimlerini atlamasına izin verdi.

Küresel bölgesel casusluk

Adli bir inceleme, kampanyanın geniş erişimini gösteren 104 benzersiz Omani MFA adresinden gönderilen 270 mızrak aktı e-postasını tanımladı.

Altyapı günlükleri, Ürdün’de NordVPN çıkış düğümlerinin, mesajların gerçek kökenini gizlemek için kullanımını ortaya çıkardı. Hedefler altı küresel bölgeye yayıldı:

• Avrupa: On ülke, 73 benzersiz adres.
• Afrika: On iki ülke, 30 adres.
• Asya: Yedi ülke, 25 adres.
• Orta Doğu: Yedi ülke, 20 adres.
• Amerika: On bir ülke, 35 adres.
• Uluslararası Kuruluşlar: On ceset, 12 adres.

Avrupa birincil odak noktası olarak ortaya çıkarken, Afrika misyonları da ağır hedefleme ile karşı karşıya kaldı. Önde gelen çok taraflı örgütlerin (UNICEF, Dünya Bankası) dahil edilmesi, saldırganların stratejik diplomasi ve insani ağlara olan ilgisini aydınlattı.

Dahası, zamanlama hassas bölgesel müzakerelerle çakıştı ve istihbarat toplamasının diplomatik sonuçları etkilemeyi veya öngörmeyi amaçladığını düşündürdü.

Kaçma, keşif ve sonraki aşama riskler

Damlı yürütülebilir, dublajlı Sysprocupdate, daha fazla karmaşıklık gösterdi. Tersine mühendisliği karmaşıklaştırmak için özel olarak karşılaşılmamış istisna filtreleri ve bölüm ambalajı gibi anti-analiz yöntemleri kullanıldı.

Etkin olduktan sonra, kötü amaçlı yazılım hasat edilmiş ana bilgisayar meta verileri (kullanıcı adı, bilgisayar adı, yönetim durumu), bilgileri şifreledi ve HTTPS gönderisi aracılığıyla bir komut ve kontrol sunucusuna gönderdi (https://screenai.online/Home/).

Bir işaretleme döngüsü, sunucu ulaşılamasa bile kalıcı bağlantı girişimleri sağladı.

Bir dayanak korumak için, sysprocupdate kendini çoğalttı C:\ProgramData\sysProcUpdate.exe ve DNS önbellek parametreleri altında değiştirilmiş Windows kayıt defteri ayarları, potansiyel olarak gelecekteki yanal hareketi mümkün kılar.

Saldırganların keşiflere verdiği vurgu, bu ilk dalganın iç ağ topolojilerini haritalamayı ve daha sonraki sömürü için yüksek değerli sistemleri tanımlamayı amaçlamaktadır.

Azaltma önerileri

1. Gösterge Engelleme: İle iletişimi reddetmek screenai.onlineve bilinen karantina ile eşleşen karantina belgeleri (örneğin, sysprocupdate yük).
2. Makro Güvenlik Politikaları: Makroları devre dışı bırakmak ve etkin makrolar için katı imzalama gereksinimlerini uygulamak için varsayılan ofis kurulumları.
3. Ağ İzleme: Giden trafiği bilinmeyen veya olağandışı alanlara inceleyin ve dahili kullanıcı etkinliği ile ilişkilidir.
4. Kayıt Defteri Denetimleri: Yetkisiz değişiklikler için kritik DNS ve TCP/IP kayıt defteri anahtarlarını düzenli olarak doğrulayın.
5. VPN Trafik Analizi: Organizasyonel normlarla tutarlı düğümler, özellikle de etkilenmemiş bölgelerde bulunan düğümler ile VPN girişlerinde ani sivri uçları işaretleyin.

Kuruluşlar, aldatıcı makro yemleri tanımak için sağlam e-posta filtreleme, proaktif ağ savunmaları ve kullanıcı eğitimini birleştirerek bu mızrak akışını engelleyebilir ve bir düşmanın casusluk veya sabotaj için gizli erişim oluşturma yeteneğini sınırlayabilir.

Uzlaşma Göstergeleri (IOCS):

Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.