Los investigadores de seguridad han descubierto un sofisticado ciberataque. El malware se dirige a las redes del gobierno iraquí vinculadas a actores respaldados por el estado iraní.
El análisis de Check Point Research (CPR) muestra que el instalador de malware llevaba el logotipo de la Secretaría General iraquí del Consejo de Ministros, un engaño deliberado. Además, en los servidores comprometidos se encontraron conexiones a los dominios de la Oficina del Primer Ministro y del Ministerio de Asuntos Exteriores. El malware utilizado tiene similitudes con el malware conocido que se utilizó en ataques anteriores contra los gobiernos de Jordania, Líbano y Pakistán. En su momento, estos ataques podrían atribuirse al Ministerio de Inteligencia y Seguridad iraní (MOIS).
El malware Veaty y Spearal saltan las medidas de seguridad
El ciberataque, que duró varios meses, utilizó dos nuevas familias de malware: Veaty y Spearal. Ambos son particularmente inteligentes a la hora de evitar la detección mediante medidas de seguridad. Veaty utiliza una estrategia de comunicación compleja para conectarse a los servidores de comando y control a través de los cuales los atacantes pueden emitir comandos. Se utilizan diferentes métodos de inicio de sesión para garantizar una conexión permanente. Spearal complementa esta táctica confiando en el túnel DNS, un método en el que los datos se transmiten ofuscados a través del protocolo DNS para evitar los sistemas de detección tradicionales.
Además, CPR descubrió otra variante de malware llamada CacheHttp.dll, que también apunta a entidades del gobierno iraquí. Esta nueva amenaza está diseñada para monitorear actividades específicas del servidor web y responder a solicitudes específicas.
Suscríbete al boletín ahora
Lea las mejores noticias de SEGURIDAD CIBERNÉTICA B2B una vez al mesAPT34 utiliza técnicas similares
Esta campaña contra la infraestructura del gobierno iraquí demuestra los esfuerzos sostenidos y enfocados de los actores de amenazas iraníes en la región. La herramienta personalizada y la infraestructura especializada observadas en esta operación son similares a las técnicas comúnmente asociadas con APT34, un actor de amenazas asociado con el MOIS iraní. El uso de un protocolo de túnel DNS personalizado y un canal C2 basado en correo electrónico que explota cuentas comprometidas ilustra los esfuerzos conscientes de los actores iraníes para desarrollar y mantener mecanismos especializados de comando y control.
Este ataque muestra cuán complejo y adaptable se ha vuelto el malware moderno. Check Point Research enfatiza que es más importante que nunca que los gobiernos y las empresas implementen defensas en capas para protegerse contra estas amenazas avanzadas.
Directamente al informe en CheckPoint.com
Sobre el punto de control Check Point Software Technologies GmbH (www.checkpoint.com/de) es un proveedor líder de soluciones de ciberseguridad para administraciones públicas y empresas de todo el mundo. Las soluciones protegen a los clientes de los ataques cibernéticos con una tasa de detección de malware, ransomware y otros tipos de ataques líder en la industria. Check Point ofrece una arquitectura de seguridad de varias capas que protege la información corporativa en la nube, la red y los dispositivos móviles, y el sistema de administración de seguridad de "un punto de control" más completo e intuitivo. Check Point protege a más de 100.000 XNUMX empresas de todos los tamaños.