Actor respaldado por Irán detrás del ciberataque ‘Holy Souls’ en Charlie Hebdo, dice Microsoft

Un ataque reciente en el que un grupo de amenazas que se hace llamar Holy Souls accedió a una base de datos de la revista satírica francesa Charlie Hebdo y amenazó con engañar a más de 200.000 de sus suscriptores fue obra del actor estatal iraní Neptunio, dijo Microsoft el 3 de febrero.

El ataque parece haber sido una respuesta del gobierno iraní a un concurso de caricaturas anunciado por Charlie Hebdo en diciembre, en el que la revista pidió a los lectores de todo el mundo que enviaran caricaturas que «se burlaran» del líder supremo de Irán, Ali Khamenei. Los resultados de la competencia estaban programados para ser publicados el 7 de enero, el octavo aniversario de una ataque terrorista mortal de 2015 en Charlie Hebdo – en represalia por la publicación de caricaturas del profeta Mahoma – que mató a 12 de sus empleados.

Doxing podría haber puesto a los suscriptores en riesgo de sufrir ataques físicos

Microsoft dijo que estaba determinado Neptunio fue el responsable del ataque. basado en artefactos e información recopilada por investigadores en el Centro de Análisis de Amenazas Digitales (DTAC). Los datos mostraron que Neptunio programó su ataque para que coincidiera con las críticas formales del gobierno iraní a las caricaturas y sus amenazas de tomar represalias contra Charlie Hebdo a principios de enero, dijo Microsoft.

Después del ataque Neptunio anunciado Había accedido a información personal de aproximadamente 230.000 suscriptores de Charlie Hebdo, incluidos sus nombres completos, números de teléfono, direcciones postales, direcciones de correo electrónico e información financiera. El actor de amenazas publicó una pequeña muestra de los datos como prueba de acceso y ofreció el tramo completo a cualquiera que estuviera dispuesto a comprarlo por 20 bitcoins, o alrededor de $ 340,000 en ese momento, dijo Microsoft.

«Esta información obtenida por el actor iraní podría poner a los suscriptores de la revista en riesgo de ser atacados en línea o físicamente por organizaciones extremistas», evaluó la compañía, una preocupación muy real dado que los fanáticos de Charlie Hebdo estaban dirigido más de una vez fuera del incidente de 2015.

Muchas de las acciones que tomó Neptunium para ejecutar el ataque y posteriormente fueron consistentes con las tácticas, técnicas y procedimientos (TTP) utilizados por otros actores estatales iraníes para realizar operaciones de influencia, dijo Microsoft. Estos incluyeron el uso de una identidad hacktivista (Holy Souls) para reclamar el crédito por el ataque, la filtración de datos privados y el uso de personas falsas, o «títeres de calcetines», en las redes sociales para difundir las noticias sobre el ataque de Charlie Hebdo para reforzar.

Por ejemplo, después del ataque, dos cuentas de redes sociales (una que se hizo pasar por un alto ejecutivo de tecnología francés y la otra como editora de Charlie Hebdo) comenzaron a publicar capturas de pantalla de la información filtrada, dijo Microsoft. La compañía dijo que sus investigadores observaron otras cuentas de redes sociales falsas que tuiteaban noticias sobre el ataque a organizaciones de medios, mientras que otros acusaron a Charlie Hebdo de trabajar en nombre del gobierno francés.

Operaciones de influencia iraní: una amenaza familiar

Neptunio, que el Departamento de Justicia de los Estados Unidos llama «Emennet Pasargad”, es un actor de amenazas que ha sido vinculado a varias operaciones de influencia ciberasistidas en los últimos años. Es uno de los muchos actores de amenazas aparentemente respaldados por el estado que operan desde Irán. fuertemente dirigido a organizaciones estadounidenses en los últimos años.

Las campañas de Neptunio incluyen una en la que el actor de amenazas intentó influir en el resultado de las elecciones estadounidenses de 2020, entre otras cosas, robando información de los votantes, intimidando a los votantes por correo electrónico y distribuyendo un video sobre vulnerabilidades inexistentes en los sistemas de votación. Como parte de la campaña, los actores de Neptunio se hicieron pasar por miembros del grupo de derecha Proud Boys, según reveló la investigación del FBI del grupo. Además de sus operaciones de influencia respaldadas por el gobierno iraní, Neptunio también está asociado con él. con ciberataques más tradicionales de 2018 contra organizaciones de noticias, compañías financieras, redes gubernamentalesempresas de telecomunicaciones y empresas petroleras y petroquímicas.

El FBI dijo que Emennet Pasargad es en realidad una empresa de seguridad cibernética con sede en Irán que trabaja en nombre del gobierno allí. Un Gran Jurado de EE. UU. en Nueva York en noviembre de 2021 dos de sus empleados acusaron por una variedad de cargos que incluyen robo de computadoras, fraude e intimidación de votantes. El gobierno de Estados Unidos ha ofrecido una recompensa de $10 millones por información que conduzca al arresto y condena de las dos personas.

TTP de Neptunium: reconocimiento y búsqueda web

El FBI ha descrito que el MO del grupo involucra la primera fase de reconocimiento de objetivos potenciales a través de búsquedas en la web y luego usa los resultados para buscar software vulnerable que los objetivos podrían usar.

«En algunos casos, el objetivo puede haber sido explotar una gran cantidad de redes/sitios en un sector específico, en lugar de un objetivo específico de una organización», señaló el FBI. «En otras situaciones, Emennet también intentaría identificar los servicios de hospedaje/alojamiento compartido».

El análisis del FBI de los ataques del grupo muestra que tiene un interés particular en los sitios web con código PHP y bases de datos MySQL accesibles desde el exterior. También de gran interés para el grupo. Complementos de WordPress como Revslider y Layerslider, y sitios web que se ejecutan en Drupal, Apache Tomcat, Ckeditor o Fckeditor, dijo el FBI.

Al intentar acceder a una red de destino, Neptunium primero verifica si la organización puede estar usando contraseñas predeterminadas para aplicaciones específicas e intenta identificar las páginas de administración o de inicio de sesión.

«Se debe suponer que Emennet está intentando encontrar contraseñas de texto sin formato comunes para todas las páginas de inicio de sesión que han identificado», dijo el FBI.