Investigadores de ciberseguridad han descubierto una nueva infraestructura de red creada por actores de amenazas iraníes para respaldar actividades vinculadas a los recientes ataques a las campañas políticas de EE. UU.
El grupo Insikt de Recorded Future ha vinculado la infraestructura a una amenaza que rastrea como GreenCharlie, un grupo de ciberamenazas con nexo con Irán que se superpone con APT42, Charming Kitten, Damselfly, Mint Sandstorm (anteriormente Phosphorus), TA453 y Yellow Garuda.
Algunos ejemplos incluyen términos como «cloud», «uptimezone», «doceditor», «joincloud» y «pageviewer», entre otros. La mayoría de los dominios se registraron utilizando el dominio de nivel superior (TLD) .info, un cambio con respecto a los TLD observados anteriormente .xyz, .icu, .network, .online y .site.
El adversario tiene un historial de organizar ataques de phishing altamente específicos que aprovechan amplias técnicas de ingeniería social para infectar a los usuarios con malware como POWERSTAR (también conocido como CharmPower y GorjolEcho) y GORBLE, que fue identificado recientemente por Mandiant, propiedad de Google, como utilizado en campañas contra Israel y EE. UU.
Se evalúa que GORBLE, TAMECAT y POWERSTAR son variantes del mismo malware, una serie de implantes de PowerShell en constante evolución implementados por GreenCharlie a lo largo de los años. Vale la pena señalar que Proofpoint detalló otro sucesor de POWERSTAR llamado BlackSmith que se utilizó en una campaña de phishing dirigida a una figura judía prominente a fines de julio de 2024.
El proceso de infección suele ser de varias etapas, que implica obtener acceso inicial a través de phishing, seguido del establecimiento de comunicación con servidores de comando y control (C2) y, en última instancia, la exfiltración de datos o la entrega de cargas útiles adicionales.
Los hallazgos de Recorded Future muestran que el actor de amenazas registró una gran cantidad de dominios DDNS desde mayo de 2024, y la empresa también identificó comunicaciones entre direcciones IP con sede en Irán (38.180.146[.]194 y 38.180.146[.]174) y la infraestructura de GreenCharlie entre julio y agosto de 2024.
Además, se ha descubierto un vínculo directo entre los clústeres de GreenCharlie y los servidores C2 utilizados por GORBLE. Se cree que las operaciones se facilitan mediante Proton VPN o Proton Mail para ofuscar su actividad.
La revelación se produce en medio de un aumento de la actividad cibernética maliciosa iraní contra Estados Unidos y otros objetivos extranjeros. A principios de esta semana, Microsoft reveló que varios sectores en los EE. UU. y los Emiratos Árabes Unidos son el objetivo de un actor de amenazas iraní con el nombre en código Peach Sandstorm (también conocido como Refined Kitten).
Además, las agencias del gobierno de EE. UU. dijeron que otro equipo de piratas informáticos respaldado por el estado iraní, Pioneer Kitten, ha trabajado como agente de acceso inicial (IAB) para facilitar ataques de ransomware contra los sectores de educación, finanzas, atención médica, defensa y gobierno en los EE. UU. en colaboración con los equipos de NoEscape, RansomHouse y BlackCat.