MURKYTOUR דלת אחורית
באוקטובר 2024, יזם איומים המיישר קו עם איראן, UNC2428, השיק קמפיין ריגול סייבר המכוון לאנשים ישראלים. כשהיא מתחזה למגייסים מהקבלן הביטחוני הישראלי רפאל, הקבוצה השתמשה בתוכנית הנדסה חברתית בנושא עבודה כדי לפתות קורבנות. ברגע שאנשים גילו עניין, הם הופנו לאתר הונאה המחקה את רפאל, שם הם התבקשו להוריד כלי יישום בשם 'RafaelConnect.exe'.
תוכן העניינים
מעניין לפריצה: שרשרת אספקת תוכנות זדוניות
הכלי שהורד היה למעשה מתקין המכונה LONEFLEET. הוא כלל ממשק משתמש גרפי (GUI) שנועד להיראות כמו פורטל הגשת מועמדות לגיטימי, המבקש פרטים אישיים והעלאת קורות חיים. ממשק זה לכאורה לא מזיק הסתיר כוונה מזיקה. עם הגשת הנתונים, דלת אחורית בשם MURKYTOUR נפרסה בשקט ברקע באמצעות משגר בשם LEAFPILE, מה שמעניק לתוקפים גישה מתמשכת למערכת הנגועה. גישה זו מדגישה את השימוש האסטרטגי של שחקני האיום ב-GUI כדי להסוות ביצוע תוכנות זדוניות כפעילות מיטיבה.
יותר משחקן אחד: נוף איומי הסייבר האיראני המתרחב
UNC2428 הוא רק חלק אחד מפאזל פעולות סייבר איראני רחב יותר. הקמפיין חולק מאפיינים עם פעילויות הקשורות ל-Black Shadow, ישות המואשמת על ידי מנהלת הסייבר הלאומית בישראל ופועלת תחת משרד המודיעין והביטחון האיראני (MOIS). היעדים שלהם משתרעים על מגזרים רבים בישראל, כולל:
- ממשלה וביטחון
- שירותי בריאות ופיננסים
- טכנולוגיה ותקשורת
שחקן אחר, UNC3313, המשויך לקבוצת MuddyWater , ניהל מסעות פרסום של ספייר דיוג מאז 2022 וידוע בשימוש בכלי ניטור לגיטימיים מרחוק כדי לשמור על התגנבות וגישה מתמשכת. בינתיים, UNC1549 עבר לכיוון תשתית מבוססת ענן כדי להשתלב טוב יותר בסביבות ארגוניות ולהימנע מזיהוי.
מוחות המניפולציה: APT42 ומעבר
APT42 , הידוע גם בשם Charming Kitten, ידוע בטכניקות ההנדסה החברתית המתוחכמות שלו. קבוצה זו פרסה דפי התחברות מזויפים המתחזות לפלטפורמות גדולות כמו גוגל, מיקרוסופט ו-Yahoo! לקצור אישורים. הם השתמשו בפלטפורמות כמו Google Sites ו-Dropbox כדי להעביר קורבנות לדפים הזדוניים האלה, מה שמגביר את ההונאה שלהם.
יתרה מכך, APT34 (OilRig) השתמשה בדלתות אחוריות מותאמות אישית כגון DODGYLAFFA ו-SPAREPRIZE בהתקפות על מערכות ממשלת עיראק. בסך הכל, מומחי אבטחת סייבר זיהו למעלה מ-20 משפחות תוכנות זדוניות ייחודיות שפותחו או השתמשו בהן על ידי שחקנים איראנים במגוון פעולות סייבר במזרח התיכון ב-2024.
מסקנה: איום מתמשך ומתפתח
שחקני סייבר איראניים הראו התפתחות בולטת בטקטיקות, בשילוב מניפולציה פסיכולוגית עם תחכום טכני. באמצעות ממשקי GUI, כלים לגיטימיים ושירותי ענן, הם משכללים את הגישה שלהם לשמירה על גישה והתחמקות מזיהוי, ומאותתים על אתגר מתמשך למאמצי אבטחת סייבר אזוריים וגלובליים.
