El grupo de amenazas avanzadas (APT) vinculado a Irán, conocido como APT42, ha desarrollado un malware específico para sistemas macOS. Este malware, denominado «NokNok», se utiliza en ataques dirigidos principalmente contra miembros de la sociedad civil. APT42 también recibe otros nombres como TA453, Yellow Garuda, ITG18, Phosphorus y Charming Kitten.
Descubrimiento del malware NokNok
Según una investigación publicada por Proofpoint, el malware «NokNok» fue descubierto tras un ataque en el que los actores de amenazas enviaron un señuelo a un medio de comunicación para relacionarse con un supuesto experto en seguridad nuclear. El correo electrónico solicitaba comentarios sobre un proyecto denominado «Iran in the Global Security Context», y pedía permiso para enviar un borrador para su revisión.
Los atacantes enviaron una serie de correos electrónicos sin carga útil para generar confianza, seguidos de un enlace malicioso de Google Script que redirigía al objetivo a una URL de Dropbox. Allí, el objetivo podía acceder a un archivo .RAR protegido por contraseña que contenía un archivo LNK malicioso, el cual descargaba NokNok.
Evolución táctica de APT42
Volexity publicó una investigación sobre APT42 en la que se detalla una campaña de spear-phishing contra un periodista israelí. En este caso, el señuelo fue un «borrador de informe» y también utilizó la rutina de infección mediante un archivo .RAR protegido por contraseña que contenía un LNK malicioso para descargar una puerta trasera.
La campaña incluyó una serie inicial de correos electrónicos benignos enviados por los atacantes para ganarse la confianza del objetivo. La carga útil era un código de Windows denominado PowerStar, que los investigadores de Volexity llaman así. Joshua Miller, investigador sénior en Proofpoint, afirma que su firma también ha rastreado esta amenaza y la denomina «GorjoEcho». Miller indica que NokNok es casi con certeza la versión para Mac de PowerStar/GorjoEcho.
Proofpoint observó que APT42 intentaba entregar GorjoEcho, pero cuando se enfrentó a un entorno no Windows, utilizó la cadena de infección específica de Apple mediante NokNok.
Cambios en tácticas de entrega de malware
Miller señala que el uso de archivos .RAR y .LNK difiere de las tácticas típicas de APT42, que normalmente usaban macros VBA o inyección remota de plantillas. La desactivación predeterminada de Microsoft de las macros ha llevado a los actores de amenazas a adoptar nuevas tácticas.
El uso de archivos LNK no es necesariamente más peligroso que las macros de Word, ya que pueden requerir más interacción humana y presentar más oportunidades de detección. Miller menciona que el truco de «hacer clic para habilitar macros» ya no funciona eficazmente.
Identificación del grupo APT42
Proofpoint atribuye con «alta confianza» la campaña a APT42, basándose en las similitudes directas del código y las tácticas, técnicas y procedimientos. Los investigadores indican que TA453 opera en apoyo del Cuerpo de la Guardia Revolucionaria Islámica (IRGC), específicamente su Organización de Inteligencia.
La campaña contra objetivos israelíes se debe a la situación política actual, donde Teherán está cada vez más aislado. APT42 se enfoca en expertos que probablemente informan sobre las políticas exteriores.
Objetivos de APT42
Según una publicación de Mandiant, APT42 generalmente se dirige al personal militar, diplomático y gubernamental del Medio Oriente; organizaciones en medios de comunicación, energía y defensa industrial; y sectores como ingeniería, servicios empresariales y telecomunicaciones.
La amplitud y el alcance de las operaciones indican que el grupo cuenta con recursos significativos y se basa principalmente en el phishing para comprometer organizaciones.