Orta Doğu’daki devlet kurumları, adı verilen yeni bir ilk erişim indiricisi sunmak üzere tasarlanmış yeni kimlik avı kampanyalarının hedefidir. DemirRüzgar.
Temmuz ve Ekim 2023 arasında tespit edilen etkinlik, Proofpoint tarafından, adı altında takip ettiği bir tehdit aktörüne atfedildi. TA402Molerats, Gazze Siber Çetesi olarak da bilinen ve APT-C-23 (diğer adıyla Kurak Viper) olarak bilinen Hamas yanlısı bir bilgisayar korsanlığı ekibiyle taktiksel örtüşmeleri paylaşan bir grup.
Proofpoint’in kıdemli tehdit araştırmacısı Joshua Miller, The Hacker News ile paylaştığı bir açıklamada, “Devlet bağlantılı tehdit aktörleri söz konusu olduğunda, genellikle dikkatten aslan payını Kuzey Kore, Rusya, Çin ve İran alıyor.” dedi.
“Ancak, tarihsel olarak Filistin Toprakları’nın çıkarları doğrultusunda faaliyet gösteren bir Orta Doğu gelişmiş kalıcı tehdit (APT) grubu olan TA402, istihbarat toplama odaklı son derece karmaşık siber casusluk yapabilen ilgi çekici bir tehdit aktörü olduğunu sürekli olarak kanıtladı.”
IronWind’in kullanımıyla aynı zamana denk gelen, IronWind’i dağıtmak için Dropbox bağlantılarını, XLL dosya eklerini ve RAR arşivlerini kullanan kötü amaçlı yazılım dağıtım mekanizmalarında tutarlı güncellemeler yapılıyor.
IronWind’in kullanımı, Orta Doğu hükümetlerini ve dış politika düşünce kuruluşlarını hedef alan saldırılarda NimbleMamba kod adlı bir arka kapının yayılmasıyla bağlantılı olan önceki saldırı zincirlerinden bir değişikliktir.
TA402’nin en son kampanyaları, Dışişleri Bakanlığı’na ait ele geçirilmiş bir e-posta hesabının, IronWind’in dağıtımını kolaylaştıran Dropbox bağlantılarına işaret eden kimlik avı tuzakları göndermek için kullanılmasıyla karakterize ediliyor.
İndirici, çok aşamalı bir sırayı takip ederek SharpSploit adı verilen bir istismar sonrası araç seti de dahil olmak üzere ek yükler almak üzere saldırgan tarafından kontrol edilen bir sunucuyla bağlantı kuracak şekilde tasarlanmıştır.
Ağustos ve Ekim 2023’teki sonraki sosyal mühendislik kampanyalarının, IronWind dağıtımını tetiklemek için e-posta mesajlarına gömülü XLL dosyasından ve RAR arşiv eklerinden yararlandığı tespit edildi. Grubun kullandığı bir diğer dikkate değer taktik ise tespit çabalarını karmaşık hale getirmek için coğrafi sınırlama tekniklerine güvenmektir.
Miller, “Orta Doğu’da devam eden çatışma, devam eden operasyonlarını engellemiş gibi görünmüyor, zira tespit çabalarını atlatmak için yeni ve akıllı teslimat yöntemlerini yinelemeye ve kullanmaya devam ediyorlar” dedi.
“Karmaşık enfeksiyon zincirleri kullanan ve hedeflerine saldırmak için yeni kötü amaçlı yazılımlar kullanan TA402, Orta Doğu ve Kuzey Afrika’da bulunan devlet kurumlarına güçlü bir şekilde odaklanarak son derece hedefli faaliyetlerde bulunmaya devam ediyor.”
Bu gelişme, Cisco Talos’un, siber suçluların, e-posta göndermek ve ayrıntılı kripto para birimi dolandırıcılıkları düzenlemek için Google Forms sınavlarının “Puanları yayınla” özelliğini kullandıklarının gözlemlendiğini ortaya çıkarmasıyla ortaya çıktı; bu da, tehdit aktörlerinin hedeflerine ulaşmak için başvurdukları yaratıcı yöntemlerin altını çiziyor.
Güvenlik araştırmacısı Jaeson Schultz geçen hafta yaptığı açıklamada, “E-postalar Google’ın kendi sunucularından geliyor ve dolayısıyla anti-spam korumalarını aşmak ve kurbanın gelen kutusunu bulmak daha kolay olabilir.” dedi.