0 
0 Um grupo de ameaças persistentes avançadas (APT) com recursos alinhados com a Organização de Inteligência do Corpo da Guarda Revolucionária do Irã (IRGC-IO) e ativo desde 2015 está visando ameaças percebidas ao governo iraniano com operações sofisticadas de cibercriminosos e de vigilância, baseadas em engenharia social e confiança fraudulenta relacionamentos.
O APT42, que se acredita ser um subconjunto do APT35/Charming Kitten/Phosphorus , usa técnicas de spear-phishing e engenharia social altamente direcionadas nas quais fazem com que as vítimas confiem neles, de acordo com uma postagem no blog e um relatório detalhado (PDF) da Mandiant divulgado na quarta-feira. .
O objetivo é explorar esses relacionamentos para roubar informações e credenciais pessoais, após o que o grupo se aprofunda nas redes corporativas ou visa colegas ou familiares da vítima para roubar ainda mais dados e realizar outras atividades nefastas.
O APT42 também se envolve em vigilância instalando spyware do Android em dispositivos móveis para manter um olho constante nos alvos. Isso é para garantir “a estabilidade do regime monitorando e, posteriormente, até prendendo aqueles que eles consideram uma ameaça ao regime”, disseram os pesquisadores da Mandiant ao Dark Reading.
Os agentes de ameaças às vezes também usam malware do Windows para complementar esses métodos primários de ataque, disseram os pesquisadores. De fato, o APT42 é capaz de realizar vários tipos de operações a qualquer momento, disseram os pesquisadores da Mandiant ao Dark Reading, o que é um pouco único. O grupo já foi identificado como autor em cerca de 30 campanhas conhecidas – um número que a Mandiant suspeita ser uma estimativa baixa.
“O APT42 não apenas realiza atividades de ciberespionagem ‘tradicional’ visando organizações para obter informações de relevância estratégica para o governo iraniano, mas também realiza operações de vigilância direcionadas contra indivíduos”, disseram os pesquisadores em uma entrevista por e-mail.
Em termos de ameaças ao setor privado, “o APT42 tem uma propensão a atingir contas de e-mail pessoais e corporativas de indivíduos e organizações de interesse”, disseram eles ao Dark Reading. “Eles também mudam seus padrões de segmentação ao longo do tempo, à medida que as prioridades do governo iraniano mudam.”
Aqui em casa, atuais e ex-funcionários do governo dos EUA e pesquisadores em think tanks e na academia envolvidos na formulação de políticas ou pesquisas relevantes ao Irã já foram alvos do APT42, e essa atividade provavelmente não cessará, disseram os pesquisadores. De fato, o grupo pode até lançar uma rede mais ampla e estender suas atividades a contratados do governo que trabalham nas mesmas questões relacionadas ao Irã, disseram pesquisadores ao Dark Reading.
3 Estágios da Atividade de Ameaça
O APT42 tem três áreas principais de atividade de ameaças. O comprometimento inicial é feito por meio da coleta de credenciais, usando campanhas de spear phishing direcionadas que enfatizam o desenvolvimento de confiança com a vítima de antemão. Isso é feito ao se passar por jornalistas ou outros profissionais nos quais a vítima pode confiar ou com quem deseja se conectar.
O grupo então usa esse método de entrada para coletar códigos de autenticação multifator (MFA) para que possam ignorar as proteções de segurança e buscar acesso mais profundo às redes, dispositivos e contas de empregadores, colegas e parentes para roubar informações que possam ser relevantes para o governo.
A segunda atividade-chave do grupo é realizar operações de vigilância por meio de malware móvel Android que rastreia locais, monitora as comunicações e acompanha as atividades de dissidentes e outras pessoas de interesse do governo.
Por fim, o grupo também tem em seu arsenal uma série de malwares, incluindo backdoors personalizados e outras ferramentas “leves” que ele usa para operações que vão além da coleta de credenciais, disseram os pesquisadores.
Conexões com outros grupos de ameaças
O APT apoiado pelo estado está na tela do radar para pesquisadores de segurança desde que iniciou suas operações em 2015. É rastreado por meio de várias nomenclaturas por diferentes empresas, incluindo TA453 (Proofpoint), Yellow Garuda (PricewaterhouseCoopers) e ITG18 (IBM).
O APT42 também tem conexões e é provavelmente um subconjunto do APT35, o prolífico grupo mais conhecido como Charming Kitten , mas tem um conjunto diferente de objetivos, disseram os pesquisadores.
Charming Kitten se concentra mais em operações de longo prazo com uso intensivo de malware visando organizações e empresas nos Estados Unidos e no Oriente Médio para roubar dados para apoiar as operações militares e governamentais iranianas. O APT42, em contraste, tem como alvo indivíduos e organizações específicos que o regime está de olho para fins de política doméstica, política externa e estabilidade do regime, disseram os pesquisadores.
Campanhas cibernéticas específicas e ágeis patrocinadas pelo estado
Ao longo dos anos, os pesquisadores identificaram campanhas específicas vinculadas ao APT42 e ocasionalmente atribuídas ao APT35/Charming Kitten/Phosphorus, devido à complexidade de rastrear as inúmeras operações do grupo e às diferenças em como os agentes de ameaças são identificados.
Uma campanha de phishing vinculada ao APT42 e apelidada de “Operação SpoofedScholars” ocorreu no ano passado, com o grupo se passando por acadêmicos da Escola de Estudos Orientais e Africanos da Universidade de Londres (SOAS). A operação visava indivíduos focados em assuntos do Oriente Médio nos Estados Unidos e no Reino Unido para obter acesso a caixas de entrada de e-mail pessoais.
No início deste ano, o APT42 personificou uma organização de notícias britânica legítima em uma campanha de fevereiro visando professores na Bélgica e nos Emirados Árabes Unidos que tinham ligações com governos locais ou parentes com dupla cidadania no Irã, segundo Mandiant. A atividade obteve as credenciais pessoais de e-mail de seus alvos, atraindo-os usando um documento PDF personalizado que os convidava para uma entrevista on-line, mas os vinculava a uma página de coleta de credenciais do Gmail.
Além de visar acadêmicos e jornalistas, o APT42 também mostra versatilidade e agilidade em suas operações, disseram os pesquisadores. Estava entre os grupos de ameaças que entraram na onda de direcionar pesquisadores do setor farmacêutico durante a pandemia de COVID-19, com uma campanha que ocorreu em sua fase inicial em março de 2020, segundo Mandiant.
“Isso indica que o governo iraniano confia no APT42 para reagir rapidamente às mudanças geopolíticas, ajustando suas operações flexíveis a alvos de interesse operacional para Teerã”, disseram os pesquisadores.
Quem está em risco?
O Irã, como a China e a Rússia, tem uma série de agentes de ameaças a seu serviço para realizar atividades cibernéticas maliciosas contra organizações e indivíduos que o governo identificou como ameaças. Sua atual postura ofensiva e crescente conflito cibernético com os Estados Unidos se devem à posição única na geopolítica que o país ocupa atualmente, disseram pesquisadores da Mandiant ao Dark Reading.
“A combinação de tensões regionais, negociações do acordo nuclear e agitação doméstica sobre questões econômicas e sociais criam um ambiente no qual um grupo como o APT42 prospera”, disseram os pesquisadores.
A capacidade do grupo de girar dependendo das intenções do governo continuará a representar uma ameaça imediata para indivíduos e organizações em todo o mundo, com eventos globais e políticas locais continuando a impulsionar as operações e as prioridades de segmentação, disseram os pesquisadores da Mandiant.
FONTE: DARK READING