Tickler-malware

Een door de Iraanse staat gesponsorde dreigingsactor heeft een nieuw ontwikkelde aangepaste backdoor gebruikt bij aanvallen op organisaties in de Verenigde Staten en de Verenigde Arabische Emiraten. De hackersgroep APT33 , ook bekend als Peach Sandstorm en Refined Kitten, heeft eerder onbekende malware ingezet, nu gevolgd als Tickler, om netwerken van organisaties in de overheids-, defensie-, satelliet-, olie- en gassector te compromitteren. Volgens onderzoekers gebruikte deze groep, die opereert onder het Iraanse Islamitische Revolutionaire Garde Korps (IRGC), de malware in een inlichtingencampagne tussen april en juli 2024. Tijdens deze aanvallen maakten de hackers gebruik van Microsoft Azure-infrastructuur voor Command-and-Control (C2)-operaties, waarbij ze vertrouwden op frauduleuze Azure-abonnementen die sindsdien door het bedrijf zijn verstoord.

Cruciale sectoren die het doelwit zijn van de aanvalsoperatie

Tussen april en mei 2024 richtte APT33 zich op organisaties in de sectoren defensie, ruimtevaart, onderwijs en overheid via succesvolle wachtwoordsprayaanvallen. Deze aanvallen omvatten pogingen om toegang te krijgen tot meerdere accounts met behulp van een beperkte set veelgebruikte wachtwoorden om accountvergrendelingen te voorkomen.

Hoewel de wachtwoordsprayactiviteit in verschillende sectoren werd waargenomen, merkten onderzoekers op dat Peach Sandstorm specifiek misbruik maakte van gecompromitteerde gebruikersaccounts in de onderwijssector om hun operationele infrastructuur op te zetten. De dreigingsactoren kregen toegang tot bestaande Azure-abonnementen of maakten nieuwe aan met behulp van de gecompromitteerde accounts om hun infrastructuur te hosten. Deze Azure-infrastructuur werd vervolgens gebruikt in verdere operaties gericht op de overheid, defensie en ruimtevaartsectoren.

Het afgelopen jaar heeft Peach Sandstorm met succes diverse organisaties binnen deze sectoren geïnfiltreerd door gebruik te maken van speciaal ontwikkelde tools.

Tickler-malware vormt het toneel voor extra malwarebedreigingen

Tickler wordt geïdentificeerd als een aangepaste, multi-stage backdoor waarmee aanvallers extra malware op gecompromitteerde systemen kunnen installeren. Volgens Microsoft kunnen de kwaadaardige payloads die aan Tickler zijn gekoppeld systeemgegevens verzamelen, opdrachten uitvoeren, bestanden verwijderen en bestanden downloaden of uploaden van en naar een Command and Control (C&C)-server.

Vorige APT33 Cybercrime Campagnes

In november 2023 gebruikte de Iraanse dreigingsgroep een soortgelijke tactiek om de netwerken van defensiecontractanten wereldwijd te schenden, door de FalseFont backdoor-malware in te zetten. Een paar maanden eerder hadden onderzoekers gewaarschuwd voor een andere APT33-campagne die sinds februari 2023 duizenden organisaties wereldwijd had aangevallen via uitgebreide wachtwoordsprayaanvallen, wat resulteerde in inbreuken binnen de defensie-, satelliet- en farmaceutische sectoren.

Om de beveiliging tegen phishing en accountkaping te verbeteren, heeft Microsoft aangekondigd dat vanaf 15 oktober multi-factor authentication (MFA) verplicht wordt voor alle aanmeldpogingen bij Azure.

Een backdoor-malware kan ernstige gevolgen hebben voor slachtoffers

Backdoor-malware vormt een aanzienlijk risico voor zowel individuele gebruikers als organisaties door ongeautoriseerde toegang te bieden tot gecompromitteerde systemen. Eenmaal geïnstalleerd, creëert backdoor-malware verborgen toegangspunten waarmee aanvallers traditionele beveiligingsmaatregelen kunnen omzeilen en controle kunnen krijgen over het netwerk van een slachtoffer. Deze verhoogde toegang kan leiden tot een reeks ernstige gevolgen.

Ten eerste stelt backdoor-malware aanvallers in staat om gevoelige informatie te verzamelen, waaronder persoonlijke gegevens, financiële gegevens en intellectueel eigendom. Deze verzamelde gegevens kunnen worden gebruikt voor identiteitsdiefstal, financiële fraude of bedrijfsspionage. Daarnaast kan de malware verdere aanvallen faciliteren door de installatie van extra schadelijke software mogelijk te maken, waaronder ransomware, die kritieke bestanden kan versleutelen en losgeld kan eisen voor hun vrijgave.

Ten tweede kan backdoor-malware de integriteit van het systeem in gevaar brengen en de werking verstoren. Aanvallers kunnen belangrijke bestanden manipuleren of verwijderen, systeemconfiguraties manipuleren en beveiligingstools uitschakelen, wat leidt tot operationele downtime en aanzienlijke financiële verliezen. Deze verstoring kan met name schadelijk zijn voor kritieke infrastructuursectoren, zoals gezondheidszorg, financiën en energie, waar systeemuitval de openbare veiligheid en diensten kan beïnvloeden.

Bovendien faciliteert backdoor-malware vaak geheime surveillance en spionage. Aanvallers kunnen gebruikersactiviteiten monitoren, toetsaanslagen vastleggen en toegang krijgen tot webcamfeeds zonder dat het slachtoffer het weet, wat leidt tot inbreuken op de privacy en vertrouwelijke informatie.

Samengevat, een backdoor-malware vormt een ernstig risico door de beveiliging van gegevens, operationele integriteit en privacy te ondermijnen. Het vermogen om aanhoudende, ongeautoriseerde toegang te bieden, maakt het een krachtige bedreiging die robuuste beveiligingsmaatregelen en waakzame monitoring vereist om de impact ervan te beperken.