İranlı hizalanmış bir hack grubu, hedefleri gerçekçi bir e-posta sohbeti düşünmek için cezbetmek için birden fazla kişi ve e-posta hesapları kullandıkları yeni, ayrıntılı bir kimlik avı tekniği kullanıyor.
Saldırganlar, kontrolleri altında başka bir e -posta adresini sararken hedeflere bir e -posta gönderir ve ardından bu e -postadan sahte bir konuşma yaparak yanıt verir.
Proofpoint'teki araştırmacılar tarafından ilk kez fark eden 'Multi-Persona kimliğine bürünme' (MPI) olarak adlandırılan teknik, mantıksal düşünceyi gizlemek ve kimlik avı konularına güvenilirlik unsuru eklemek için "sosyal kanıt" psikoloji ilkesini kullanır.
TA453, IRGC (İslam Devrim Muhafız Kolordusu) içinden faaliyet gösterdiğine inanılan bir İran tehdit grubudur, daha önce gazetecileri Orta Doğu'daki akademisyenleri ve politika uzmanlarını hedeflemek için taklit etmişti.
TA453'ün yeni taktiği, her hedefin sahte kişiler veya çorap kuklaları tarafından tutulan ayrıntılı bir gerçekçi konuşmaya tutulması gerektiğinden, kimlik avı saldırılarını gerçekleştirmek için çok daha fazla çaba gerektiriyor.
Bununla birlikte, ekstra çaba, gerçekçi görünümlü bir e-posta alışverişi yarattığı için, konuşmanın meşru görünmesini sağlıyor.
Proofpoint'in raporunda paylaşılan bir örnek Haziran 2022'ye tarihlenir, gönderen FRPI'da araştırma direktörü olarak maskelenir ve e -posta hedefe gönderilir ve Pew Araştırma Merkezi'nde küresel tutum araştırmalarının direktörü.
Ertesi gün, taklit edilen Pew Direktörü, FRPI Direktörü tarafından gönderilen soruları yanıtladı ve hedefin katılması için cazip olacak dürüst bir konuşma duygusu yarattı.
Proofpoint tarafından görülen, genom araştırmalarında uzmanlaşmış bilim adamlarını içeren başka bir durumda, CCED persona, kötü niyetli makrolar ile bağlanmış bir DOCX belgesinin indirilmesine yol açan bir onedrive bağlantısı ile cevap verdi.
TA453 tarafından nükleer silah kontrolü konusunda uzmanlaşmış iki akademisyene karşı TA453 tarafından başlatılan üçüncü bir MPI kimlik avı saldırısında, tehdit aktörleri daha da karmaşık bir saldırı için üç kişiyi kandırdı.
Her durumda, tehdit aktörleri, kuşkulu kurumlardan gelen adresler yerine hem gönderenler hem de CCED kişiler için kişisel e -posta adreslerini (Gmail, Outlook, AOL, Hotmail) kullandı, bu da şüpheli faaliyetlerin açık bir işareti.
Hedeflerin TA453'ün son kampanyasındaki OneDrive bağlantıları aracılığıyla indirilmeye kandırıldığı belgeler, şablon enjeksiyonunu gerçekleştiren şifre korumalı dosyalardır.
Raporu detaylandıran "Proofpoint tarafından Korg olarak adlandırılan indirilen şablonda üç makro var: Module1.bas, Module2.bas ve ThisDocument.cls".
"Makrolar, kullanıcı adı, çalıştırma işlemlerinin listesi ve kullanıcının my-ip.io'dan genel IP listesi gibi bilgileri toplar ve ardından Telegram API'sını kullanarak bu bilgileri dışarı atar."
Araştırmacılar keşif bilgileri işaretleme aşamasını geçemediler, ancak uzaktan gelen aktörlere ana bilgisayarlarda yürütme yeteneklerini vermek için sonraki adımlarda ek sömürünün gerçekleştiğini varsaydılar.
SaaS platformlarını kötüye kullanan kimlik avı saldırıları büyük bir% 1,100 büyüme görüyor
Google: İranlı korsanlar, kurbanlardan e -posta çalmak için yeni araç kullanıyor
Microsoft, Rus bilgisayar korsanlarının NATO Hedefleri üzerindeki operasyonunu bozar
E-posta pazarlama firması kripto odaklı posta listeleri çalmak için hacklendi
Yeni MFA-Bypassing kimlik avı kiti ile hedeflenen Microsoft hesapları
Kaynak: Bleeping Computer