APT39– מערך ריגול איראני המתמקד במידע אישי

יום ד', 30 בינואר 2019

 

קבוצת תקיפה אירנית חדשה מזוהה על ידי FireEye:

APT39 – מערך ריגול איראני המתמקד במידע אישי

 

מאת Ryan Whelan מנהל את קבוצת מודיעין האיומים האסטרטגים

במאמר זה החלטנו לחשוף לציבור עוד אחת מקבוצות התקיפה בסייבר האיראניות אשר מהוות איום מיידי למדינת ישראל. קבוצה זו הקרויה APT39, אחראית על גניבה רחבה ביותר של מידע אישי.

APT39  ממוקדת באיסוף מידע אישי בכדי לתמוך במבצעי מעקב וניטור אשר משמשים את האינטרסים הלאומיים של איראן. בנוסף, פעילות הקבוצה מאפשרת ליצור נגישויות נוספות והזדמנויות לפעילויות סייבר עתידיות.

הפעילות העיקרית של הקבוצה מתמקדת באזור המזרח התיכון. הקבוצה תוקפת יעדים במגזר התקשורת, ההיי-טק, והתיירות, כולל חברות ITהתומכות בתעשייה זו.

 

מטרה מבצעית

המיקוד של APT39במגזר התקשורת ובתעשיית התיירות מצביע על כוונתה לתמוך במבצעי ריגול ומעקב אחר אישים ספציפיים ולאסוף מידע פנימי. מידע זה כולל מידע אישי של לקוחות העשוי לשמש למטרות מבצעיות המשרתות יעדים אסטרטגיים בעלי חשיבות לאומית. יעד נוסף של הקבוצה הינו השגת נגישות רחבה בכדי ליצור תשתית לפעילות סייבר עתידית. תקיפת יעדים ממשלתיים מצביעה על כוונה משנית לאסוף מודיעין גיאופוליטי העשוי לסייע לממשלות ולתמוך בתהליכי קבלת החלטות. מכל האמור לעיל ניתן להסיק כי מטרת העל של הקבוצה הינה לנטר ולעקוב אחר אישים ספציפיים ולאסוף עליהם מידע אישי, כולל פירוט טיסות ונתוני תקשורת.

שלבי התקיפה

קבוצת APT39 עושה שימוש בכלים פרי פיתוח עצמי וכן בכלים פומביים לאורך כל שלבי התקיפה.

חדירה ראשונית– בשלב הראשוני של התקיפה נעשה שימוש במיילי spear phishingעם דבוקות או לינקים זדוניים המדביקים את מחשב היעד ב-POWBAT. בתוך כך, הקבוצה רושמת דומיינים המתחזים לשירותי אינטרנט לגיטימיים וכן לארגוני צד ג' הרלוונטיים לעולם התוכן של היעד. 

ביסוס אחיזה, העלאת הרשאות וסיור ברשת הפנימית – התפשטות ברשת, שימור אחיזה והשלמת המשימה– התפשטות ומעבר בין רכיבי הרשת בארגון מבוצעים באמצעות מגוון כלים כגון Remote Desktop Protocol (RDP), Secure Shell (SSH), PsExec, RemComו-xCmdSvc

לסיכום, אנו מאמינים כי המיקוד של APT39  במגזר התקשורת ובתעשיית התיירות נועד לעקוב אחר אישים ספציפיים ולתמוך במבצעים עתידיים. חברות תקשורת הן יעד אטרקטיבי לאור העובדה כי הן שומרות מידע אישי רב על לקוחותיהן, וכן משום שהן פותחות צוהר לתשתית התקשורת ובכך למגוון רחב של יעדים פוטנציאליים נוספים.

תבנית בחירת המטרות של קבוצת APT39  מראה כי האיום אינו מוגבל לארגונים הנתקפים עצמם, אלא גם ובעיקר מכוון כלפי קהל הלקוחות שלהם, הכולל אנשים בכל רחבי העולם וממגוון רחב של מגזרים ותעשיות. פעילות זו מצד APT39מדגימה את היכולות המבצעיות של הממשל האיראני וגורמי הביטחון שלו, ומראה כיצד הוא מנצל את מרחב הסייבר ככלי אפקטיבי ובעל עלות נמוכה (יחסית) לטובת איסוף מודיעין על אישים המאיימים על הביטחון הלאומי של משטר האייתולות, וכן על מנת לייצר עליונות אל מול יריבים אזוריים וגלובאליים.