Irańscy hakerzy dostali rozkaz. Celem wrogowie reżimu

NCSC ocenia, że za operacjami stoją irańscy aktorzy państwowi. Ich celem ma być pozyskiwanie informacji o osobach postrzeganych przez Teheran jako zagrożenie dla władz. 

W niektórych przypadkach irańskie służby wywiadowcze planowały porwania lub przeprowadzały śmiercionośne operacje przeciwko osobom (...), które postrzegają jako wrogów reżimu.
Komunikat NCSC

Wykorzystywany malware może przejmować m.in. e-maile, dane z komunikatorów, zrzuty ekranu i nagrania z mikrofonu, czyli wszystko to, co pozwala napastnikom odtworzyć sieć kontaktów ofiary, jej miejsce pobytu i codzienne zwyczaje. W niektórych wcześniejszych przypadkach wykradzione dane trafiały też na strony powiązane z Iranem.

Atak zaczyna się od rozmowy

Schemat ataku rozpoczyna się od phishingu dostosowanego do konkretnej osoby, o której napastnicy wcześniej gromadzą informacje. Podając się za kogoś znanego ofierze albo pomoc techniczną serwisu, nawiązują z nią kontakt przez komunikatory (WhatsApp lub Telegram) i nakłaniają do uruchomienia przesłanego pliku.

Atakujący wykorzystuje tę relację z ofiarą, aby przekonać ją do pobrania i otwarcia pliku, który wydaje się autentyczny.
Komunikat NCSC

Fałszywe instalatory i dokumenty wyglądają wiarygodnie – w analizowanych przypadkach imitowały m.in. Telegram, Norton Antivirus, KeePass, Pictory czy RunwayML. Zdarzały się też pliki udające wyniki rezonansu magnetycznego. 

Pliki i zebrane dane są eksfiltrowane za pomocą połączenia bota Telegram (T1041) oraz chmurowych magazynów obiektów, takich jak VultrObjects i StorjShare (T1567.002).
Komunikat NCSC

Po ich otwarciu użytkownik widzi pozornie prawidłowy ekran- w tle jest natomiast instalowany CHOSEN BRICK, czyli malware, który przetrwa chociażby ponowne uruchomienie urządzenia.

Pełna kontrola nad zainfekowanym urządzeniem

Program próbuje utrzymać się w systemie, m.in. przez wpisy w rejestrze uruchamiane przy logowaniu użytkownika. Może też dodawać wyjątki w Microsoft Defenderze, aby utrudnić wykrycie. Do komunikacji z operatorami wykorzystywany jest Telegram, a każda zainfekowana maszyna może być przypisana do osobnego bota.

Możliwości CHOSEN BRICK:

• sprawdzanie uruchomionych procesów,
• wykonywanie zrzutów ekranu,
• uruchamianie mikrofonu,
• kopiowanie danych z przeglądarkowych wersji Telegrama i WhatsAppa,
• pobieranie kolejnych plików,
• usuwanie danych,
• wymazywanie zawartości komputera (w niektórych wariantach). 

Zebrane informacje mogą być przesyłane przez Telegram albo chmurę.

Jak się chronić?

Autorzy ostrzeżenia zalecają szczególną ostrożność wobec plików przesyłanych w wiadomościach, nawet jeśli nadawca wydaje się wiarygodny. Oprogramowanie powinno być pobierane z oficjalnych stron lub sklepów z aplikacjami, a system i program antywirusowy regularnie aktualizowane. 

Najlepszą obroną jest zwiększenie świadomości użytkownika/ofiary na temat socjotechniki poprzez szkolenia.
Komunikat NCSC

Organizacjom rekomenduje się m.in. uwierzytelnianie wieloskładnikowe, monitorowanie urządzeń i sieci oraz sprawdzanie oznak potencjalnej infekcji wskazanych w raporcie.

NCSC podkreśla, że kampania może dotyczyć nie tylko sprzętu służbowego – jeśli zabezpieczenia firmowe utrudniają przeprowadzenie ataku, napastnicy mogą próbować przenieść rozmowę na urządzenia prywatne. 

Osoby należące do grup podwyższonego ryzyka (dziennikarze, politycy, aktywiści) powinny chronić całe swoje cyfrowe otoczenie.