Контакты
Подписка 2024
ITSEC 2024
Персональные данные в 2025 году: новые требования и инструменты. 16 октября, Москва, Форум ITSEC 2024
Регистрируйтесь и приходите!

Иранские хакеры атаковали азиатскую авиакомпанию

20/12/21

irahack3-Dec-20-2021-09-10-53-81-AMСвязанная с правительством Ирана APT-группировка MuddyWater развернула бэкдор, использующий для C&C мессенджер Slack, в сети одной из азиатских авиакомпаний, сообщают эксперты IBM X-Force.

APT-группировка, также известная как MERCURY, Seedworm, Static Kitten и ITG17, в основном атакует цели в странах Среднего Востока и Азии. По данным IBM X-Force, MuddyWater удалось скомпрометировать сеть неназванной азиатской авиакомпании в октябре 2019 года, и в 2021 году группировка все еще имела к ней доступ.

Злоумышленники развернули PowerShell-бэкдор под названием Aclip, использующий API мессенджера Slack для C&C-операций, в частности для связи и передачи данных. Поскольку в большинстве случаев к одной и той же атакуемой среде получают доступ сразу множество иранских хакерских группировок, не исключено, что в операцию были вовлечены и другие киберпреступники. Тем более что иранские правительственные хакеры атакуют авиапромышленность (в основном с целью шпионажа) уже как минимум полдесятилетия.

В описанном экспертами IBM X-Force инциденте с помощью ключа Windows Registry Run злоумышленники постоянно выполняли batch-скрипт, который в свою очередь с помощью PowerShell запускал бэкдор Aclip. Вредоносное ПО, получающее команды через Slack-каналы, может делать скриншоты, собирать системную информацию и извлекать файлы.

Использование Slack позволяет злоумышленникам смешивать вредоносный трафик с обычным сетевым трафиком. Другие семейства вредоносного ПО используют приложение с этой же целью.

Узнав о случившемся, Slack инициировал расследование и отключил вредоносные рабочие пространства.

Учитывая использовавшиеся в атаке кастомные инструменты, тактики, техники и процедуры (TTP) и инфраструктуру, эксперты уверены, что за ней стоит группировка MuddyWater.

Темы:ПреступленияAPT-группыИранКиберугрозы
Безопасная разработка
Москва | 15 октября 2024 | Доверенные решения для защиты российских ОС на базе Linux и миграции
Регистрируйтесь и приходите на Форум ITSEC 2024

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Защита АСУ ТП и КИИ: готовимся к 2025 году
Обсуждаем на ITSEC 2024!

Еще темы...

More...