Se ha observado a un actor de amenazas afiliado al Ministerio de Inteligencia y Seguridad de Ir\u00e1n (MOIS) librando una sofisticada campa\u00f1a de ciberespionaje dirigida a los sectores financiero, gubernamental, militar y de telecomunicaciones en el Medio Oriente durante al menos un a\u00f1o.<\/p>\n
La empresa israel\u00ed de ciberseguridad Check Point, que descubri\u00f3 la campa\u00f1a junto con Sygnia, est\u00e1 rastreando al actor con el nombre Mant\u00edcora marcada<\/strong>que se dice que se superpone estrechamente con un grupo emergente denominado Storm-0861, uno de los cuatro grupos iran\u00edes vinculados a ataques destructivos contra el gobierno alban\u00e9s el a\u00f1o pasado.<\/p>\n Las v\u00edctimas de la operaci\u00f3n se encuentran en varios pa\u00edses como Arabia Saudita, Emiratos \u00c1rabes Unidos, Jordania, Kuwait, Om\u00e1n, Irak e Israel.<\/p>\n Scarred Manticore tambi\u00e9n muestra cierto grado de superposici\u00f3n con OilRig, otro grupo de estado-naci\u00f3n iran\u00ed que recientemente fue atribuido a un ataque a un gobierno an\u00f3nimo de Medio Oriente entre febrero y septiembre de 2023 como parte de una campa\u00f1a de ocho meses.<\/p>\n Se ha descubierto otro conjunto de superposiciones t\u00e1cticas entre el adversario y un conjunto de intrusi\u00f3n cuyo nombre en c\u00f3digo es ShroudedSnooper de Cisco Talos. Las cadenas de ataques orquestadas por el actor de amenazas han se\u00f1alado a los proveedores de telecomunicaciones en el Medio Oriente utilizando una puerta trasera sigilosa conocida como HTTPSnoop.<\/p>\n La actividad representada por Scarred Manticore se caracteriza por el uso de un marco de malware pasivo previamente desconocido denominado LIONTAIL que se instala en servidores Windows. Se cree que el actor de amenazas est\u00e1 activo desde al menos 2019.<\/p>\n “Scarred Manticore ha estado persiguiendo objetivos de alto valor durante a\u00f1os, utilizando una variedad de puertas traseras basadas en IIS para atacar servidores Windows”, investigadores de Check Point. dicho<\/a> en un an\u00e1lisis del martes. “Estos incluyen una variedad de shells web personalizados, puertas traseras DLL personalizadas e implantes basados \u200b\u200ben controladores”.<\/p>\n LIONTAIL, un malware avanzado, es una colecci\u00f3n de cargadores de shellcode personalizados y cargas \u00fatiles de shellcode residentes en memoria. Un componente digno de menci\u00f3n del marco es un implante liviano pero sofisticado escrito en C que permite a los atacantes ejecutar comandos de forma remota a trav\u00e9s de solicitudes HTTP.<\/p>\n Las secuencias de ataque implican infiltrarse en servidores Windows de acceso p\u00fablico para iniciar el proceso de entrega de malware y recopilar sistem\u00e1ticamente datos confidenciales de los hosts infectados.<\/p>\n “En lugar de utilizar la API HTTP, el malware utiliza IOCTL para interactuar directamente con el controlador HTTP.sys subyacente”, dijeron los investigadores, detallando el mecanismo de comando y control (C2).<\/p>\n “Este enfoque es m\u00e1s sigiloso ya que no involucra IIS o HTTP API, que generalmente son monitoreados de cerca por soluciones de seguridad, pero no es una tarea sencilla dado que los IOCTL para HTTP.sys no est\u00e1n documentados y requieren esfuerzos de investigaci\u00f3n adicionales por parte de los actores de amenazas. “.<\/p>\n Tambi\u00e9n se implementan junto con LIONTAIL varios shells web y una herramienta de reenv\u00edo web llamada LIONHEAD, un reenviador web.<\/p>\n La actividad hist\u00f3rica de Scarred Manticore indica una evoluci\u00f3n continua del arsenal de malware del grupo, ya que el actor de amenazas anteriormente depend\u00eda de shells web como at\u00fan<\/a> y una versi\u00f3n personalizada llamada FOXSHELL para acceso por puerta trasera.<\/p>\n Desde mediados de 2020, tambi\u00e9n se dice que el actor de amenazas ha utilizado una puerta trasera pasiva basada en .NET llamada SDD<\/a> que establece comunicaci\u00f3n C2 a trav\u00e9s de un escucha HTTP en la m\u00e1quina infectada con el objetivo final de ejecutar comandos arbitrarios, cargar y descargar archivos y ejecutar ensamblados .NET adicionales.<\/p>\n Las actualizaciones progresivas de las t\u00e1cticas y herramientas del actor de amenazas son t\u00edpicas de los grupos de amenazas persistentes avanzadas (APT) y demuestran sus recursos y habilidades variadas. Esto se ejemplifica mejor con el uso por parte de Scarred Manticore de un controlador de kernel malicioso llamado WINTAPIX que fue descubierto por Fortinet a principios de mayo.<\/p>\n En pocas palabras, WinTapix.sys act\u00faa como un cargador para ejecutar la siguiente etapa del ataque, inyectando un c\u00f3digo shell incrustado en un proceso de modo de usuario adecuado que, a su vez, ejecuta una carga \u00fatil .NET cifrada dise\u00f1ada espec\u00edficamente para apuntar a Microsoft Internet Information Services ( IIS) servidores.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/Grupo-irani-de-ciberespionaje-apunta-a-sectores-financieros-y-gubernamentales.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n