Los piratas informáticos chinos han estado apuntando a las agencias del gobierno iraní durante meses: informe
Según un, el actor chino de amenazas persistentes avanzadas Playful Taurus apuntó a varias entidades gubernamentales iraníes entre julio y diciembre de 2022. informe de redes de palo alto.
Se ha observado que el actor de amenazas chino, también conocido como APT15, KeChang, NICKEL, BackdoorDiplomacy y Vixen Panda, intenta conectar dominios gubernamentales a infraestructuras de malware previamente asociadas con el APROPIADO grupo, según el informe.
“El Tauro juguetón evoluciona sus tácticas y herramientas. Las actualizaciones recientes a la puerta trasera de Turian y la nueva infraestructura C2 indican que estos actores continúan teniendo éxito en sus campañas de espionaje cibernético”, dijo Palo Alto Networks en un blog.
“Nuestro análisis de las muestras y las conexiones a la infraestructura maliciosa sugiere que las redes del gobierno iraní probablemente se vieron comprometidas”, agregó la firma de ciberseguridad.
La firma también advirtió que el actor de amenazas ha utilizado las mismas tácticas y técnicas contra otras entidades gubernamentales y diplomáticas en las Américas, África y Medio Oriente.
Playful Taurus ha desplegado una nueva versión del malware Turian
En ataques recientes a agencias gubernamentales en Irán, los investigadores observaron que Playful Taurus usaba una nueva versión del malware Turian y una nueva infraestructura de comando y control (C2).
La nueva versión de la puerta trasera del actor de amenazas tiene ofuscación adicional y un protocolo de red modificado, un algoritmo de descifrado actualizado que se usa para extraer los servidores C2. El malware proporciona funcionalidad para actualizar el servidor C2 con el fin de comunicarse con él, ejecutar comandos y generar shells inversos.
Las redes de cuatro organizaciones gubernamentales iraníes, incluido el Ministerio de Relaciones Exteriores de Irán, probablemente se vieron comprometidas con la nueva versión del malware.
«Hemos identificado la infraestructura del gobierno iraní que se conecta a un conocido servidor de comando y control (C2) de Playful Taurus», señaló Palo Alto Networks.
«Usando una de las IP del gobierno iraní, identificamos certificados de alojamiento de infraestructura adicionales que se superponen con un segundo servidor Playful Taurus C2», agregó.
Turian es la próxima evolución de Quarian, la puerta trasera observada por última vez por el actor de amenazas en acción contra objetivos diplomáticos en Siria y EE. UU. en 2013. El uso de turian de Playful Taurus se identificó por primera vez en junio de 2021 por ESET.
Varios países han sido atacados a lo largo de los años.
Activo desde 2010, el actor de amenazas apunta a empresas de telecomunicaciones y unidades diplomáticas gubernamentales. Su vector de ataque inicial se enfoca en explotar aplicaciones vulnerables expuestas a Internet en servidores web para colocar y ejecutar un shell web.
Con webshell, Playful Taurus proporciona un software de recopilación de información de código abierto. Utiliza el secuestro de orden de búsqueda de la biblioteca de enlaces dinámicos para instalar su puerta trasera Turian. Como paso final, según los investigadores de ESET, el atacante usa un ejecutable separado para detectar medios extraíbles, probablemente memorias USB, y copia su contenido en la papelera de reciclaje de la unidad principal.
El actor de amenazas utiliza tácticas, técnicas y procedimientos similares en sus ataques, pero se utilizan herramientas modificadas para evitar el seguimiento. En 2012, Playful Taurus apuntó a la Ministerio de Relaciones Exteriores de Siriay el Departamento de Estado de los Estados Unidos en 2013.
En diciembre de 2021, microsoft incautó 42 dominios en los EE. UU. utilizados por Playful Taurus en sus ataques a 29 países.
Derechos de autor © 2023 IDG Communications, Inc.
Este contenido de ciberseguridad nos ha llegado de: CSO Online
Podrás encontrar la noticia original en el enlace que sigue: https://www.csoonline.com/article/3686088/chinese-hackers-targeted-iranian-government-entities-for-months-report.html#tk.rss_news
