Ago 09, 2023 Marina Londei Apt, Attacchi, In evidenza, Malware, Minacce, Minacce, News, RSS 0

Il gruppo iraniano APT34 ha colpito di nuovo: conosciuti largamente anche come OilRig e Twisted Kitten, i cybercriminali hanno preso di mira diversi obiettivi legati alle istituzioni governative degli Emirati Arabi Uniti.

Come si legge su DarkReading, ricercatori di Kaspersky hanno individuato un attacco supply chain che aveva come obiettivo ultimo quello di ottenere accesso persistente ai dispositivi di vittime legate al governo.

Gli attaccanti hanno creato un sito web per fingersi una compagnia IT del Paese e inviare offerte di lavoro. Gli annunci sono stati condivisi con vari dipendenti di una compagnia IT che tra i suoi clienti ha anche firme e persone legate al governo; quando le vittime hanno aperto il documento per candidarsi all’offerta di lavoro, un malware ha infettato i dispositivi e ha collezionato informazioni sensibili e credenziali per accedere ai sistemi dei clienti.

Credits: lollok- Depositphotos

Il gruppo, ha spiegato Kaspersky, ha utilizzato l’infrastruttura email del gruppo IT per creare un canale di comunicazione C2 e ottenere i dati sensibili. Pur non riuscendo a verificare l’effettivo impatto dell’attacco, i ricercatori sostengono con una certa sicurezza che sia andato a buon fine.

APT34 è attivo ormai dal 2014 e ha sempre condotto attacchi supply chain, sfruttando la rete di comunicazione e fiducia tra le compagnie del paese per raggiungere gli obiettivi governativi e ottenere persistenza sui sistemi. Per sferrare i propri attacchi il gruppo utilizza tool pubblici e non, e spesso sfrutta gli account compromessi per condurre campagne di spear-phishing contro altri obiettivi.

Sebbene il gruppo usi principalmente tecniche di social engineering, in alcuni casi ha dimostrato di saper sfruttare anche diverse vulnerabilità dei sistemi per ottenere accesso persistente. Nel corso degli anni APT34 ha colpito non solo obiettivi governativi, ma anche industrie finanziarie, dell’energia e delle telecomunicazioni.

Secondo il governo degli Stati Uniti, il gruppo sarebbe finanziato dal governo iraniano: l’uso dell’infrastruttura del paese per sferrare gli attacchi e la presenza di motivazioni in linea con quelle governative confermerebbero l’ipotesi.