Un grupo de amenaza iraní conocido como APT34 ha sido vinculado a un reciente ataque de phishing que permitió la implantación de una variante del backdoor SideTwist.
Características del ataque
El incidente se identificó mediante el uso de documentos maliciosos, incluyendo archivos de Microsoft Word y Excel, que contienen macros diseñadas para extraer y ejecutar carga útil codificada.
La variante SideTwist utilizada en este ataque hizo su debut en abril de 2021 según los hallazgos de Check Point. Esta herramienta permite la descarga y ejecución de archivos en sistemas infectados.
Modus operandi del grupo APT34
Apt34 ha estado operando en Oriente Medio desde al menos el año 2014. Sus objetivos incluyen organizaciones de telecomunicaciones, gobierno, defensa, petróleo y servicios financieros.
Su modus operandi se basa principalmente en tácticas de spear-phishing que culminan con la implantación de diversas puertas traseras.
Conexión con otras campañas
Este incidente se produce en el contexto de una campaña de phishing detectada por Fortinet FortiGuard Labs, que distribuye una nueva variante del malware Agent Tesla.
Esta herramienta utiliza documentos de Microsoft Excel especialmente diseñados para explotar la vulnerabilidad CVE-2017-11882 y CVE-2018-0802.
Vulnerabilidades explotadas
Según datos proporcionados por Qualys, la vulnerabilidad CVE-2017-11882 sigue siendo una de las más explotadas hasta el 31 de agosto de 2023.
Se estima que esta vulnerabilidad ha sido utilizada por «467 tipos de malware, 53 actores de amenazas y 14 variantes de ransomware».
Amenazas derivadas del phishing
Además, se han identificado una serie de ataques de phishing que aprovechan señuelos de archivos de imagen ISO para desplegar cepas de malware como Agent Tesla, LimeRAT y Remcos RAT en los sistemas infectados.