La plate-forme pétrolière iranienne APT utilise la nouvelle porte dérobée de Saitama
Fin avril 2022, Les chercheurs en sécurité de Fortinet et Malwarebytes ont découvert un document Excel malveillant envoyé par le groupe de hackers OilRig (également connu sous le nom d'APT34, Chaton Hélix, et Cobalt Gypsy) à un diplomate jordanien pour lui injecter une nouvelle porte dérobée appelée Saitama.
L'e-mail de phishing provenait d'un pirate informatique déguisé en employé du service informatique du ministère des Affaires étrangères.. L'attaque a été découverte après que le destinataire a transmis l'e-mail à un véritable employé informatique pour vérifier l'authenticité de l'e-mail..
Selon les notes de recherche fourni par Fortinet, la macro utilise WMI (Windows Management Instrumentation) interroger son commandement et son contrôle (C&C) serveur et est capable de produire trois fichiers: un fichier PE malveillant, un fichier de configuration, et un fichier DLL légitime. Écrit en .NET, la Saitama la porte dérobée utilise le protocole DNS pour communiquer avec C&C et exfiltrer les données, qui est la méthode de communication la plus furtive. Des méthodes de masquage des paquets malveillants dans le trafic légitime sont également utilisées.
Permettez-moi de vous rappeler que nous avons également signalé que Multiplateforme SysJokerComment attaques par porte dérobée Windows, macOS et Linux et cela Les pirates envoient des CV avec le logiciel malveillant more_eggs aux recruteurs.
Malwarebytes a également publié un rapport séparé sur les portes dérobées, notant que l'ensemble du flux du programme est explicitement défini comme un machine à états. En mots simples, la machine changera d'état en fonction de la commande envoyée à chaque état.
Les États comprennent:
- L'état initial dans lequel la porte dérobée reçoit la commande de lancement;
- “En direct” État, dans lequel la porte dérobée se connecte au C&serveur C, en attendant une commande;
- Mode veille;
- État de réception, dans lequel la porte dérobée accepte les commandes du C&serveur C;
- État opérationnel dans lequel la porte dérobée exécute les commandes;
- État de soumission, dans lequel les résultats de l'exécution des commandes sont envoyés aux attaquants.
