TA402’nin en son kampanyaları, Dışişleri Bakanlığı’na ait ele geçirilmiş bir e-posta hesabının, IronWind’in dağıtımını kolaylaştıran Dropbox bağlantılarına işaret eden kimlik avı tuzakları göndermek için kullanılmasıyla karakterize ediliyor
İndirici, saldırgan tarafından kontrol edilen bir sunucuyla bağlantı kurarak ek yükleri getirecek şekilde tasarlanmıştır; buna bir istismar sonrası araç seti de dahildir ” dedi
Proofpoint’in kıdemli tehdit araştırmacısı Joshua Miller, The Hacker News ile paylaştığı bir açıklamada, “Devlet bağlantılı tehdit aktörleri söz konusu olduğunda, genellikle dikkatten aslan payını Kuzey Kore, Rusya, Çin ve İran alıyor ” söz konusu geçen hafta
Miller, “Orta Doğu’da devam eden çatışma, devam eden operasyonlarını engellemiş gibi görünmüyor, zira tespit çabalarını atlatmak için yeni ve akıllı teslimat yöntemlerini yinelemeye ve kullanmaya devam ediyorlar” dedi
14 Kasım 2023Haber odasıSiber Casusluk / Tehdit İstihbaratı
Orta Doğu’daki devlet kurumları, adı verilen yeni bir ilk erişim indiricisi sunmak üzere tasarlanmış yeni kimlik avı kampanyalarının hedefidir
siber-2
“Karmaşık enfeksiyon zincirleri kullanan ve hedeflerine saldırmak için yeni kötü amaçlı yazılımlar kullanan TA402, Orta Doğu ve Kuzey Afrika’da bulunan devlet kurumlarına güçlü bir şekilde odaklanarak son derece hedefli faaliyetlerde bulunmaya devam ediyor Grubun kullandığı bir diğer dikkate değer taktik, tespit çabalarını karmaşıklaştırmak için coğrafi sınırlama tekniklerine güvenmektir ”
Bu gelişme, Cisco Talos’un, siber suçluların, e-posta göndermek ve ayrıntılı kripto para birimi dolandırıcılıkları düzenlemek için Google Forms sınavlarının “Puanları yayınla” özelliğini kullandıklarının gözlemlendiğini ortaya çıkarmasıyla ortaya çıktı; bu da, tehdit aktörlerinin hedeflerine ulaşmak için başvurdukları yaratıcı yöntemlerin altını çiziyor
IronWind’in kullanımı, Orta Doğu hükümetlerini ve dış politika düşünce kuruluşlarını hedef alan saldırılarda NimbleMamba kod adlı bir arka kapının yayılmasıyla bağlantılı olan önceki saldırı zincirlerinden bir değişikliktir DemirRüzgar ”
IronWind’in kullanımıyla aynı zamana denk gelen, IronWind’i dağıtmak için Dropbox bağlantılarını, XLL dosya eklerini ve RAR arşivlerini kullanan kötü amaçlı yazılım dağıtım mekanizmalarında tutarlı güncellemeler yapılıyor
Temmuz ve Ekim 2023 arasında tespit edilen aktivite, atfedilen Proofpoint tarafından bu isim altında takip ettiği bir tehdit aktörüne TA402Moleratlar, Gazze Siber Çetesi olarak da bilinen ve hisseleri taktik örtüşmeler APT-C-23 (aka Arid Viper) olarak bilinen Hamas yanlısı bir hack ekibiyle
Güvenlik araştırmacısı Jaeson Schultz, “E-postalar Google’ın kendi sunucularından geliyor ve dolayısıyla anti-spam korumalarını aşmak ve kurbanın gelen kutusunu bulmak daha kolay olabilir
Ağustos ve Ekim 2023’teki sonraki sosyal mühendislik kampanyalarının, IronWind dağıtımını tetiklemek için e-posta mesajlarına gömülü XLL dosyasından ve RAR arşiv eklerinden yararlandığı tespit edildi
“Ancak, tarihsel olarak Filistin Toprakları’nın çıkarları doğrultusunda faaliyet gösteren bir Orta Doğu gelişmiş kalıcı tehdit (APT) grubu olan TA402, istihbarat toplama odaklı son derece karmaşık siber casusluk yapabilen ilgi çekici bir tehdit aktörü olduğunu sürekli olarak kanıtladı SharpSploitçok aşamalı bir sırayı takip ederek