Anak Kucing Tampan yang Didukung Iran Mengadakan Platform Webinar Palsu untuk Menjerat Target

Anak Kucing Tampan yang Didukung Iran Mengadakan Platform Webinar Palsu untuk Menjerat Target

Stempel Waktu: 22 Februari 2024 9:09

Konflik di Timur Tengah, Ukraina, dan wilayah lain yang memicu ketegangan geopolitik telah menjadikan para pakar kebijakan sebagai target terbaru operasi siber yang dilakukan oleh kelompok-kelompok yang disponsori negara. 

Sebuah kelompok yang terkait dengan Iran – yang dikenal sebagai Charming Kitten, CharmingCypress, dan APT42 – baru-baru ini menargetkan pakar kebijakan Timur Tengah di wilayah tersebut serta di AS dan Eropa, menggunakan platform webinar palsu untuk mengkompromikan korban yang menjadi sasarannya, perusahaan layanan tanggap insiden Volexity dinyatakan dalam nasihat yang diterbitkan bulan ini.

Charming Kitten terkenal karena taktik rekayasa sosialnya yang ekstensif, termasuk serangan rekayasa sosial yang pelan dan pelan terhadap lembaga think tank dan jurnalis untuk mengumpulkan intelijen politik, kata perusahaan itu. 

Kelompok ini sering menipu targetnya dengan memasang aplikasi VPN yang dilengkapi Trojan untuk mendapatkan akses ke platform webinar palsu dan situs lainnya, yang mengakibatkan pemasangan malware. Secara keseluruhan, kelompok ini telah menjalani permainan kepercayaan diri jangka panjang, kata Steven Adair, salah satu pendiri dan presiden Volexity.

“Saya tidak tahu apakah hal ini sudah canggih dan canggih, namun hal ini membutuhkan banyak usaha,” katanya. “Ini lebih maju dan lebih canggih dari serangan rata-rata Anda dengan selisih yang signifikan. Ini adalah tingkat upaya dan dedikasi… yang jelas berbeda dan tidak biasa… melakukan upaya sebesar itu untuk serangkaian serangan spesifik.”

Pakar Geopolitik di Garis Bidik

Pakar kebijakan sering menjadi sasaran kelompok negara-bangsa. Itu Kelompok ColdRiver yang terkait dengan Rusia, misalnya, telah menargetkan organisasi non-pemerintah, perwira militer, dan pakar lainnya dengan menggunakan rekayasa sosial untuk mendapatkan kepercayaan korban dan kemudian menindaklanjutinya dengan tautan jahat atau malware. Di Yordania, eksploitasi yang ditargetkan – dilaporkan oleh lembaga pemerintah – menggunakan program spyware Pegasus dikembangkan oleh NSO Group dan menargetkan jurnalis, pengacara hak digital, dan pakar kebijakan lainnya. 

Perusahaan lain juga menjelaskan taktik Charming Kitten/CharmingCypress. Dalam nasihat bulan Januari, Microsoft memperingatkan bahwa kelompok tersebut, yang mereka sebut Mint Sandstorm, telah menargetkan jurnalis, peneliti, profesor, dan pakar lainnya yang meliput topik keamanan dan kebijakan yang menjadi kepentingan pemerintah Iran.

“Operator yang terkait dengan subkelompok Mint Sandstorm ini adalah insinyur sosial yang sabar dan sangat terampil yang keahliannya tidak memiliki banyak keunggulan yang memungkinkan pengguna mengidentifikasi email phishing dengan cepat,” kata Microsoft. “Dalam beberapa kasus kampanye ini, subkelompok ini juga menggunakan akun yang sah namun telah disusupi untuk mengirim umpan phishing.”

Grup ini telah aktif setidaknya sejak tahun 2013 hubungan kuat dengan Korps Garda Revolusi Islam (IRGC), dan belum terlibat langsung dalam aspek operasional siber dalam konflik antara Israel dan Hamas, menurut perusahaan keamanan siber CrowdStrike. 

“Tidak seperti perang Rusia-Ukraina, di mana operasi siber diketahui berkontribusi langsung terhadap konflik tersebut, mereka yang terlibat dalam konflik Israel-Hamas tidak secara langsung berkontribusi pada operasi militer Hamas melawan Israel,” kata perusahaan tersebut dalam “Ancaman Global 2024”. Report” dirilis pada 21 Februari.

Membangun Hubungan Seiring Waktu

Serangan ini biasanya dimulai dengan spear-phishing dan diakhiri dengan kombinasi malware yang dikirimkan ke sistem target, menurutnya nasihat dari Volexity, yang memanggil grup CharmingCypress. Pada bulan September dan Oktober 2023, CharmingCypress menggunakan sejumlah domain yang salah ketik – alamat yang mirip dengan domain yang sah – untuk menyamar sebagai pejabat dari Institut Internasional Studi Iran (IIIS) untuk mengundang pakar kebijakan ke webinar. Email awal menunjukkan pendekatan CharmingCypress yang rendah dan lambat, menghindari tautan atau lampiran berbahaya apa pun dan mengundang profesional yang ditargetkan untuk menghubungi melalui saluran komunikasi lain, seperti WhatsApp dan Signal. 

Aliran spearphishing digunakan oleh CharmingCypress

Dengan menggunakan spearphishing yang mendalam, CharmingCypress bertujuan meyakinkan pakar kebijakan untuk memasang malware. Sumber: Voleksitas

Serangan-serangan tersebut menyasar para ahli kebijakan Timur Tengah di seluruh dunia, dan Volexity menghadapi sebagian besar serangan terhadap para profesional di Eropa dan AS, kata Adair.

“Mereka cukup agresif,” katanya. “Mereka bahkan akan menyiapkan seluruh rantai email atau skenario phishing di mana mereka mencari komentar dan ada orang lain — mungkin tiga, empat, atau lima orang di rangkaian email tersebut kecuali targetnya — mereka pasti mencoba untuk membangun hubungan baik.”

Penipu yang panjang pada akhirnya memberikan muatan. Volexity mengidentifikasi lima keluarga malware berbeda yang terkait dengan ancaman tersebut. Pintu belakang PowerLess diinstal oleh aplikasi jaringan pribadi virtual (VPN) versi Windows, yang menggunakan PowerShell untuk memungkinkan file ditransfer dan dieksekusi, serta menargetkan data tertentu pada sistem, mencatat penekanan tombol, dan menangkap tangkapan layar . Malware versi macOS dijuluki NokNok, sedangkan rantai malware terpisah yang menggunakan arsip RAR dan eksploitasi LNK mengarah ke pintu belakang bernama Basicstar.

Bertahan Menjadi Lebih Sulit

Pendekatan kelompok ini terhadap rekayasa sosial jelas merupakan perwujudan dari bagian “persistensi” dari ancaman persisten tingkat lanjut (APT). Volexity mengalami “rentetan serangan yang terus-menerus”, sehingga para ahli kebijakan harus lebih curiga terhadap kontak dingin, kata Adair.

Melakukan hal ini akan sulit dilakukan, karena banyak pakar kebijakan adalah akademisi yang selalu berhubungan dengan mahasiswa atau anggota masyarakat dan tidak terbiasa bersikap tegas dalam berhubungan dengan mereka, katanya. Namun mereka harus berpikir sebelum membuka dokumen atau memasukkan kredensial ke situs yang dijangkau melalui tautan yang tidak dikenal.

“Pada akhirnya, mereka harus membuat orang tersebut mengklik sesuatu atau membuka sesuatu, yang jika saya ingin Anda meninjau makalah atau semacamnya, berarti… sangat berhati-hati terhadap tautan dan file,” kata Adair. “Jika saya harus memasukkan kredensial saya kapan saja, atau mengizinkan sesuatu – itu akan menjadi tanda bahaya besar. Demikian pula, jika saya diminta mengunduh sesuatu, itu akan menjadi tanda bahaya besar.”

Selain itu, para pakar kebijakan perlu memahami bahwa CharmingCypress akan terus menargetkan mereka meskipun upayanya gagal, kata Volexity. 

“Pelaku ancaman ini berkomitmen tinggi untuk melakukan pengawasan terhadap target mereka guna menentukan cara terbaik untuk memanipulasi mereka dan menyebarkan malware,” kata perusahaan itu dalam nasihatnya. “Selain itu, hanya sedikit pelaku ancaman yang secara konsisten melakukan kampanye sebanyak CharmingCypress, dan mendedikasikan operator manusia untuk mendukung upaya berkelanjutan mereka.”

Stempel Waktu:

Lebih dari Bacaan gelap