Programari maliciós HYPERSCRAPE
El programari maliciós HYPERSCRAPE és una amenaça de robatori d'informació connectada a les activitats del grup APT (Amenaça persistent avançada) rastrejat com a gatet encantador (APT35 ). Es creu que Charming Kitten està recolzat pel govern iranià. Pel que fa a HYPERSCRAPE, és una amenaça escrita en .NET per a ordinadors amb Windows i el seu objectiu principal és recollir informació del Gmail de la víctima, Yahoo! i comptes de Microsoft Outlook. Els detalls sobre HYPERSCRAPE i el seu comportament es van publicar en un informe del grup d'anàlisi d'amenaces de Google (TAG). Els investigadors també van afirmar que s'han identificat al voltant d'una desena de víctimes de l'amenaça localitzades a l'Iran.
Per dur a terme les seves funcions amenaçadores, HYPERSCRAPE requereix que les credencials d'inici de sessió del compte específic ja hagin estat compromeses i obtingudes pels actors de l'amenaça. Un cop ha aconseguit accedir amb èxit al compte de la víctima, la primera acció de l'amenaça és comprovar l'idioma actual i canviar-lo a l'anglès, si cal. Aleshores, HYPERSCRAPE començarà a iterar per diferents pestanyes de la safata d'entrada, buscant correus electrònics per descarregar. Sempre que es trobi aquest correu electrònic, l'amenaça farà clic per obrir-lo abans d'iniciar una descàrrega. Per emmascarar les seves accions, HYPERSCRAPE torna els correus electrònics no llegits inicialment al seu estat original. El programari maliciós també pot suprimir qualsevol correu electrònic de seguretat rebut de Google.
Els correus electrònics descarregats es guarden al directori "Descàrregues" com a fitxers amb extensions ".eml". També es crea un registre que manté les pestanyes del recompte total de correus electrònics descarregats. Quan finalitza la seva execució actual, l'amenaça fa una sol·licitud HTTP POST al seu servidor d'ordres i control (C2, C&C), transmetent informació sobre l'estat i el sistema, però no els correus electrònics descarregats.
HYPERSCRAPE és una nova amenaça de programari maliciós que s'executa a la màquina de l'atacant. A més, encara es troba en desenvolupament actiu i la seva funcionalitat i conjunt de característiques es podrien ampliar o canviar en el futur. Després de tot, les versions anteriors de l'amenaça van poder sol·licitar dades a Google Takeout, però els pirates informàtics van eliminar aquesta funcionalitat per motius desconeguts.
