Un grupo con v\u00ednculos con Ir\u00e1n atac\u00f3 los sectores de transporte, log\u00edstica y tecnolog\u00eda en Medio Oriente, incluido Israel, en octubre de 2023 en medio de un aumento de la actividad cibern\u00e9tica iran\u00ed desde el inicio de la guerra entre Israel y Hamas.<\/p>\n
CrowdStrike ha atribuido los ataques a un actor de amenazas al que rastrea con el nombre gatito imperial<\/strong>y que tambi\u00e9n se conoce como Crimson Sandstorm (anteriormente Curium), TA456, Tortoiseshell y Yellow Liderc.<\/p>\n Los \u00faltimos hallazgos de la compa\u00f1\u00eda se basan en informes anteriores de Mandiant, ClearSky y PwC, el \u00faltimo de los cuales tambi\u00e9n detalla casos de compromisos web estrat\u00e9gicos (tambi\u00e9n conocidos como ataques de abrevadero) que llevaron al despliegue de IMAPLoader en sistemas infectados.<\/p>\n “El adversario, activo desde al menos 2017, probablemente cumple con los requisitos de inteligencia estrat\u00e9gica iran\u00ed asociados con las operaciones del IRGC”, CrowdStrike dicho<\/a> en un informe t\u00e9cnico. “Su actividad se caracteriza por el uso de ingenier\u00eda social, en particular contenido relacionado con la contrataci\u00f3n laboral, para ofrecer implantes personalizados basados \u200b\u200ben .NET”.<\/p>\n Las cadenas de ataques aprovechan los sitios web comprometidos, principalmente aquellos relacionados con Israel, para perfilar a los visitantes utilizando JavaScript personalizado y filtrar la informaci\u00f3n a dominios controlados por los atacantes.<\/p>\n Adem\u00e1s de los ataques de abrevadero, hay evidencia que sugiere que Imperial Kitten recurre a la explotaci\u00f3n de exploits de un d\u00eda, credenciales robadas, phishing e incluso apunta a proveedores de servicios de TI ascendentes para obtener acceso inicial.<\/p>\n Las campa\u00f1as de phishing implican el uso de documentos de Microsoft Excel con macros para activar la cadena de infecci\u00f3n y soltar un shell inverso basado en Python que se conecta a una direcci\u00f3n IP codificada para recibir m\u00e1s comandos.<\/p>\n Entre algunas de las actividades post-explotaci\u00f3n notables se encuentra lograr el movimiento lateral mediante el uso de PAExec, la variante de c\u00f3digo abierto de PsExec, y NetScan, seguido de la entrega de los implantes IMAPLoader y StandardKeyboard.<\/p>\n Tambi\u00e9n se implement\u00f3 un troyano de acceso remoto (RAT) que usa Discord para comando y control, mientras que IMAPLoader y StandardKeyboard emplean mensajes de correo electr\u00f3nico (es decir, archivos adjuntos y cuerpo del correo electr\u00f3nico) para recibir tareas y enviar resultados de la ejecuci\u00f3n.<\/p>\n “El objetivo principal de StandardKeyboard es ejecutar comandos codificados en Base64 recibidos en el cuerpo del correo electr\u00f3nico”, se\u00f1al\u00f3 la empresa de ciberseguridad. “A diferencia de IMAPLoader, este malware persiste en la m\u00e1quina infectada como un servicio de Windows llamado Servicio de teclado”.<\/p>\n El desarrollo se produce cuando Microsoft se\u00f1al\u00f3 que la actividad cibern\u00e9tica maliciosa atribuida a grupos iran\u00edes despu\u00e9s del inicio de la guerra el 7 de octubre de 2023 es m\u00e1s reactiva y oportunista.<\/p>\n “Los operadores iran\u00edes [are] continuar empleando sus t\u00e1cticas probadas y verdaderas, en particular exagerando el \u00e9xito de sus ataques a la red inform\u00e1tica y amplificando esas afirmaciones y actividades a trav\u00e9s de un despliegue bien integrado de operaciones de informaci\u00f3n”, dijo Microsoft. dicho<\/a>.<\/p>\n “Esto es esencialmente crear propaganda en l\u00ednea que busca inflar la notoriedad y el impacto de los ataques oportunistas, en un esfuerzo por aumentar sus efectos”.<\/p>\n La divulgaci\u00f3n tambi\u00e9n sigue a las revelaciones de que un actor de amenazas afiliado a Hamas llamado Arid Viper ha atacado a hablantes de \u00e1rabe con un software esp\u00eda de Android conocido como SpyC23 a trav\u00e9s de aplicaciones armadas disfrazadas de Skipped y Telegram, seg\u00fan Cisco Talos y centinelauno<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/11\/El-grupo-cibernetico-Imperial-Kitten-vinculado-a-Iran-apunta-a.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n