Очаровательный котенок
Модный мишка | |
| Формирование | в. 2004–2007 гг. [1] |
|---|---|
| Тип | Расширенная постоянная угроза |
| Цель | Кибершпионаж , кибервойна |
Область | Средний Восток |
| Методы | Нулевые дни , целевой фишинг , вредоносное ПО , социальная инженерия , водопой |
Членство | минимум 5 |
Официальный язык | персидский |
Головная организация | КСИР |
| Принадлежности | Ракетный котенок APT34 APT33 |
Ранее назывался | АПТ35 Турок в черной шляпе Команда безопасности Аякс Фосфор |
Charming Kitten , также называемый APT35 (от Mandiant ), Phosphorus или Mint Sandstorm (от Microsoft ), [1] Ajax Security (от FireEye ), [2] и NewsBeef (от Касперского [3] [4] ), — иранская правительственная группа по кибервойне , которую несколько компаний и правительственных чиновников описывают как серьезную постоянную угрозу .
15 декабря 2017 года группа была признана FireEye передовой постоянной угрозой на уровне национального государства , несмотря на недостаток ее сложности. Исследование, проведенное FireEye в 2018 году, показало, что APT35 может расширять свои возможности вредоносного ПО и кампании по вторжению. [5]
С тех пор известно, что группа использовала фишинг , чтобы выдать себя за веб-сайты компаний. [6] а также поддельные учетные записи и поддельные домены DNS пользователей для фишинга паролей .
История
[ редактировать ]Бегство Витта (начало 2013 г.)
[ редактировать ]В 2013 году бывший технический сержант ВВС США и подрядчик военной разведки Моника Уитт перешла в Иран. [7] зная, что за это она может подвергнуться уголовному преследованию со стороны Соединенных Штатов. [ нужна ссылка ] Ее передача разведывательных данных правительству Ирана позже привела к операции «Шафрановая роза» — операции по кибервойне, направленной против военных подрядчиков США. [ нужна ссылка ]
Кибератака HBO (2017)
[ редактировать ]В 2017 году после кибератаки на канал HBO было начато масштабное совместное расследование. [ кем? ] на том основании, что произошла утечка конфиденциальной информации. В условном заявлении хакера под псевдонимом Сокуте Вахшат ( персидское سکوت وحشت , букв. «Молчание страха») говорилось, что, если деньги не будут выплачены, сценарии телевизионных эпизодов, включая эпизоды « Игры престолов» , будут утекли в сеть. Взлом привел к утечке 1,5 терабайт данных, часть из которых представляла собой шоу и эпизоды, которые на тот момент не транслировались. [8] HBO с тех пор заявил, что примет меры, чтобы гарантировать, что они не будут нарушены снова. [9]
Впоследствии Бехзаду Месри было предъявлено обвинение во взломе. С тех пор он предположительно был членом оперативного подразделения, которое допустило утечку конфиденциальной информации. [10]
По данным Certfa, «Очаровательный котенок» был нацелен на чиновников США, причастных к ядерной сделке с Ираном 2015 года . Правительство Ирана отрицает свою причастность. [11] [12]
Второе обвинительное заключение (2019)
[ редактировать ]Большое федеральное жюри Окружного суда США по округу Колумбия предъявило Витту обвинение в шпионаже (в частности, в «сговоре с целью доставки и передачи информации о национальной обороне представителям иранского правительства»). Обвинительное заключение было обнародовано 19 февраля 2019 года. В том же обвинительном заключении четырем гражданам Ирана — Моджтабе Масумпуру, Бехзаду Месри, Хоссейну Парвару и Мохамаду Парьяру — были предъявлены обвинения в заговоре, попытке взлома компьютера и краже личных данных при отягчающих обстоятельствах в рамках предвыборной кампании. в 2014 и 2015 годах, которые пытались скомпрометировать данные бывших коллег Уитта. [13]
В марте 2019 года Microsoft взяла на себя ответственность за 99 DNS-доменов, принадлежащих хакерам, спонсируемым иранским правительством, с целью снизить риск целевого фишинга и других кибератак. [14]
Попытки вмешательства в выборы 2020 г. (2019 г.)
[ редактировать ]По данным Microsoft, за 30-дневный период с августа по сентябрь 2019 года Charming Kitten предпринял 2700 попыток получить информацию о целевых учетных записях электронной почты. [15] В результате произошла 241 атака и 4 взломанных аккаунта. Хотя считалось, что эта инициатива была направлена на президентскую кампанию в США, ни один из скомпрометированных аккаунтов не имел отношения к выборам.
Microsoft не раскрыла, кто конкретно стал объектом нападения, но в последующем отчете Reuters утверждалось, что это была кампания по переизбранию Дональда Трампа. [16] Это утверждение подтверждается тем фактом, что только предвыборный штаб Трампа использовал Microsoft Outlook в качестве почтового клиента.
Иран отрицал свою причастность к вмешательству в выборы, а министр иностранных дел Ирана Мохаммад Джавад Зариф заявил: «У нас нет предпочтения в ваших выборах [Соединенных Штатах] вмешиваться в эти выборы» и «Мы не вмешиваемся во внутренние дела Ирана». дела другой страны», в интервью каналу NBC «Meet The Press». [17]
Однако эксперты по кибербезопасности Microsoft и сторонних фирм, таких как ClearSky Cyber Security, утверждают, что за попыткой вмешательства стоял Иран, в частности Charming Kitten. В октябре 2019 года ClearSky опубликовала отчет, подтверждающий первоначальный вывод Microsoft. [18] В отчете подробности кибератаки сравниваются с предыдущими атаками, исходящими от Charming Kitten. Были обнаружены следующие сходства:
- Похожие профили жертв. Преследуемые попали в схожие категории. Все они представляли интерес для Ирана в области науки, журналистики, правозащитной деятельности и политической оппозиции.
- Перекрытие времени. Активность Verified Charming Kitten нарастала в тот же период, когда были предприняты попытки вмешательства в выборы.
- Последовательные векторы атак. Методы атаки были схожими: злоумышленники использовали целевой фишинг с помощью SMS-сообщений.
2022 HYPERSCRAPE, инструмент извлечения данных APT (2021 г.)
[ редактировать ]23 августа 2022 года в блоге группы анализа угроз Google (TAG) был раскрыт новый инструмент, разработанный Charming Kitten для кражи данных у известных поставщиков электронной почты (например, Google, Yahoo! и Microsoft). [19] Этому инструменту необходимы учетные данные цели, чтобы создать сеанс от ее имени. Он действует таким образом, что использование почтовых служб старого образца выглядит для сервера обычным, загружает электронную почту жертвы и вносит некоторые изменения, чтобы скрыть свой отпечаток.
Согласно отчету, инструмент разработан на платформе Windows, но не для компьютера жертвы. Он использует как командную строку, так и графический интерфейс для ввода учетных данных или других необходимых ресурсов, таких как файлы cookie.
См. также
[ редактировать ]
Ссылки
[ редактировать ]- ^ «Microsoft использует постановление суда для закрытия веб-сайтов APT35» . КиберСкуп . 27 марта 2019 г.
- ^ «Команда безопасности Ajax возглавляет хакерские группы в Иране» . Дела безопасности . 13 мая 2014 г.
- ^ «Бумага для заморозки вокруг бесплатного мяса» . Securelist.com . 27 апреля 2016 г.
- ^ Басс, Дина. «Microsoft берется за еще одну хакерскую группу, имеющую связи с Ираном» . news.bloomberglaw.com .
- ^ «ОТМЕНЕНО: сдерживание потенциально разрушительного противника» . Огненный Глаз .
- ^ «Иранская группа Charming Kitten ATP выдает себя за израильскую фирму по кибербезопасности в фишинговой кампании» . Дела безопасности . 3 июля 2018 г.
- ^ Блайндер, Алан; Туркевиц, Джули; Гольдман, Адам (16 февраля 2019 г.). «Изолированная и плывущая по течению американка обратилась к Ирану» . Нью-Йорк Таймс . ISSN 0362-4331 . Проверено 23 апреля 2022 г.
- ^ «Взлом HBO: что мы знаем (и чего не знаем) — Vox» . 5 августа 2017 г.
- ^ Пецки, Дениз (31 июля 2017 г.). «HBO подтверждает, что на него произошла кибератака» .
- ^ «Хакер HBO был членом элитного подразделения кибершпионажа Ирана «Очаровательный котенок»» . Мигающий компьютер .
- ^ «Иранские хакеры нацелены на экспертов-ядерщиков и официальных лиц США» . Мрачное чтение . 15 декабря 2018 г.
- ^ Саттер, Рафаэль (13 декабря 2018 г.). «Эксклюзив AP: иранские хакеры охотятся за работниками атомной энергетики и объектами США» . АП НОВОСТИ .
- ^ «Бывший агент контрразведки США обвинен в шпионаже от имени Ирана; четверо иранцев обвинены в киберкампании, направленной против ее бывших коллег» (пресс-релиз). Министерство юстиции США, Управление по связям с общественностью. 13 февраля 2019 г.
- ^ «Microsoft захватывает 99 доменов, принадлежащих иранским государственным хакерам» . Новости @WebHosting.info . 28 марта 2019 г.
- ^ «Недавние кибератаки требуют от нас всех быть бдительными» . Microsoft о проблемах . 4 октября 2019 г. . Проверено 10 декабря 2020 г.
- ^ Бинг, Кристофер; Саттер, Рафаэль (4 октября 2019 г.). «Эксклюзив: кампания Трампа стала объектом атаки хакеров, связанных с Ираном – источники» . Рейтер .
- ^ АП. «Иран отрицает вмешательство США в выборы, заявляя, что у него нет предпочтений» . www.timesofisrael.com . Проверено 10 декабря 2020 г.
- ^ «Котята вернулись в город 2» (PDF) . Кибербезопасность ClearSky . Октябрь 2019.
- ^ Баш, «Аякс» (23 августа 2022 г.). «Новый иранский инструмент извлечения данных APT» . Группа анализа угроз (TAG) .
