Iranilaiset hakkerit ottavat käyttöön Tickler-haittaohjelmia korkean panoksen kyberhyökkäyksissä

Iranin valtion tukemat hakkerit ovat ottaneet käyttöön uuden mukautetun haittaohjelman, nimeltään Tickler , tunkeutuakseen ja kerätäkseen tietoja kriittiseen infrastruktuuriin Yhdysvalloissa ja Yhdistyneissä arabiemiirikunnissa. Tämän hienostuneen kampanjan takana oleva ryhmä, jota Microsoft seuraa nimellä Peach Sandstorm – joka tunnetaan myös useilla muilla aliaksilla, kuten APT33 , Elfin ja Refined Kitten – on ollut hellittämätön tavoitellessaan arvokasta dataa kohdesektoreilta.

Uusi uhka kyberareenalla

Tickler ei ole vain yksi haittaohjelma; se edustaa merkittävää harppausta iranilaisten kybervakoiluvälineiden kyvyissä. Tämä monivaiheinen takaovi on suunniteltu tunkeutumaan syvälle vaarantuneisiin järjestelmiin, jolloin hyökkääjät voivat suorittaa erilaisia haitallisia toimintoja. Arkaluonteisten järjestelmätietojen keräämisestä komentojen suorittamiseen ja tiedostojen käsittelyyn, Tickler toimii monipuolisena työkaluna hyökkääjille.

Kohdistus kriittisille sektoreille

Tämän kampanjan ensisijaisia kohteita ovat satelliitti-, viestintä-, hallitus- sekä öljy- ja kaasuteollisuuden organisaatiot, jotka ovat kriittisiä sekä Yhdysvaltojen että Arabiemiirikuntien kansalliselle turvallisuudelle. Hyökkääjien strategia on selkeä: häiritä ja kerätä tiedustelutietoja aloilta, joilla on keskeinen rooli näiden maiden infrastruktuureissa.

Persikkahiekkamyrskyn jatkuva uhka

Peach Sandstorm on osoittanut jatkuvaa ja kehittyvää uhkaa vuosien ajan. Vuoden 2023 lopulla konsernin toiminta kiihtyi ja keskittyi Yhdysvaltain puolustusteollisuuden työntekijöihin. Heidän lähestymistapansa ei rajoitu teknisiin hyväksikäyttöihin; he ovat myös hyödyntäneet sosiaalista suunnittelua, erityisesti LinkedInin kautta, kerätäkseen tietoja ja toteuttaakseen ilkeitä suunnitelmiaan.

Sosiaalisen suunnittelun voima

LinkedIn on osoittautunut arvokkaaksi työkaluksi näille hakkereille, jonka avulla he voivat luoda vakuuttavia sosiaalisen manipuloinnin hyökkäyksiä, jotka houkuttelevat kohteensa väärään turvallisuuden tunteeseen. Manipuloimalla luottamusta ammattiverkostoissa Peach Sandstorm rikkoo tehokkaasti suojat, jotka muuten säilyisivät turvassa.

Arsenaalinsa laajentaminen

Ticklerin käytön lisäksi ryhmä on jatkanut salasanasumutushyökkäyksiä, tekniikkaa, jonka tarkoituksena on vaarantaa useita tilejä käyttämällä heikkoja salasanoja. Viime aikoina näitä hyökkäyksiä on havaittu puolustus-, avaruus-, koulutus- ja hallintosektorilla kaikkialla Yhdysvalloissa ja Australiassa.

Pilviinfrastruktuurin hyödyntäminen haitallisten hyötyjen saamiseksi

Yksi tämän kampanjan hälyttävimmistä näkökohdista on vilpillisten Azure-tilausten käyttö komento- ja ohjaustoimintoihin. Hyödyntämällä laillista pilviinfrastruktuuria, hakkerit voivat piilottaa toimintansa ja tehdä puolustajien haastavammaksi havaita ja lieventää hyökkäyksiään.

Koordinoitu kyberhyökkäys

Microsoftin Peach Sandstormia koskevan raportin ajoitus on huomionarvoinen, ja se osuu samaan aikaan Google Cloudin Mandiant-raportin kanssa Iranin vastatiedustelutoiminnasta ja Yhdysvaltain hallituksen neuvon kanssa Iranin valtion tukemasta kybertoiminnasta. Tämä viittaa iranilaisten toimijoiden laajempaan, koordinoituun pyrkimykseen laajentaa kybervaikutuskykyään ja tehdä yhteistyötä kiristysohjelmaryhmien kanssa tehostaakseen niiden vaikutusta.

Valppauden tarve

Samalla kun iranilaiset hakkerit kehittävät edelleen taktiikkaansa, organisaatioiden, erityisesti kriittisten alojen organisaatioiden, on pysyttävä valppaina. Ticklerin käyttöönotto merkitsee uutta lukua kybervakoilussa, mikä korostaa vankkojen kyberturvallisuustoimenpiteiden ja kansainvälisen yhteistyön tarvetta näiden kasvavien uhkien torjumiseksi.

Kyberturvallisuuden ammattilaisten ja organisaatioiden on pysyttävä tämän kehityksen kärjessä ja varmistettava, että he ovat valmiita puolustautumaan yhä kehittyneemmiltä hyökkäyksiltä valtion tukemilta toimijoilta, kuten Peach Sandstorm .