El grupo iraní vinculado al IRGC desarrolla una nueva campaña de ciberespionaje con ingeniería social y malware a medida.
Esta habría sido llevada a cabo por un grupo de piratas informáticos patrocinado por el estado iraní y que estaría vinculado con el Cuerpo de la Guardia Revolucionaria Islámica (CGRI).
CheckPoint sospecha que tras el ciberataque está Educated Manticore, que se superpone con APT35 (y su subgrupo APT42 ), CALANQUE, Charming Kitten, CharmingCypress, Cobalt Illusion, ITG18, Magic Hound, Mint Sandstorm (anteriormente Phosphorus), Newscaster, TA453 y Yellow Garuda.
Este grupo APT cuenta con una larga trayectoria orquestando ciberataques de ingeniería social a través de Facebook y LinkedIn. En ambas redes sociales han usado personajes ficticios para engañar a las víctimas para lograr que implementen malware en sus sistemas.
Desde mediados de junio, tras el estallido de la guerra entre Irán e Israel, la firma de seguridad ha observado una nueva ola de ataques dirigidos contra israelíes mediante falsos señuelos de reuniones, bien por email o por mensajes de WhatsApp personalizados. Estos podrían elaborarse usando herramientas de inteligencia artificial (IA).
Modus operandi
Los mensajes iniciales no tienen elementos maliciosos y solo quieren ganarse la confianza de los objetivos. Entonces los cibermalos pasan a la siguiente fase, compartiendo enlaces que dirigen a las víctimas a páginas que oueden robar sus credenciales de la cuenta de Google.
El kit de phishing personalizado imita fielmente las páginas de inicio de sesión habituales, como las de Google, utilizando tecnologías web modernas como las aplicaciones de página única (SPA) basadas en React y el enrutamiento dinámico de páginas. También utiliza conexiones WebSocket en tiempo real para enviar datos robados, y su diseño le permite ocultar su código de un escrutinio adicional.
Algunas de las estrategias de ingeniería social también han implicado el uso de dominios de Google Sites para alojar páginas falsas de Google Meet con una imagen que imita la página de la reunión legítima. Al hacer clic en cualquier parte de la imagen, la víctima es redirigida a páginas de phishing que activan el proceso de autenticación, según señala The Hacker News.
Educated Manticore sigue operando, caracterizándose por un phising agresivo y selectivo, la rápida configuración de dominios, subdominios e infraestructura, y la rápida eliminación de ataques cuando son identificados.
Deja un comentario