קבוצת תקיפה איראנית ריגלה אחרי ארגונים ישראליים

חוקרי חברת אבטחת המידע ESET ניתחו שני קמפיינים של קבוצת התקיפה OilRig המיוחסת לאיראן: Outer Space משנת 2021, ו-Juicy Mix מ-2022.

שני הקמפיינים הזדוניים שבוצעו למטרות ריגול סייבר כוונו באופן בלעדי לארגונים ישראלים, מה שעולה בקנה אחד עם התמקדותה של הקבוצה במזרח התיכון, ושניהם השתמשו באותם דפוסי פעולה: OilRig פרצה לאתר לגיטימי ועשתה בו שימוש כשרת C&C (שרת ממנו שולטים על הקורבן) ולאחר מכן ניצלה חולשת backdoor שלא נצפתה בעבר, וביצעה שימוש במגוון כלי תקיפה המשמשים לאיסוף מידע מהמערכות המותקפות. התוקפים אספו מידע דוגמת פרטי הזדהות והתחברות למערכות מחשבים, קבצי Cookie, היסטוריית גלישה וסיסמאות מהדפדפנים.

בקמפיין הראשון, Outer Space, OilRig השתמשה בדלת אחורית פשוטה ב-C#/.NET, שלא תועדה בעבר, אותה כינו חוקרי ESET בשם Solar עם קובץ מערכת שנקרא SampleCheck5000 (SC5k), המשמש שרתי Microsoft Exchange לתקשורת של שרת ה-C&C באמצעות API.

בקמפיין הזדוני השני, Juicy Mix, קבוצת התקיפה שיפרה את Solar כדי ליצור את הדלת האחורית 'מנגו', בעלת יכולות נוספות ושיטות ערפול קוד אשר מקשים על הזיהוי. שתי הדלתות האחוריות נפרסו על ידי התקנת סקריפטי VBS, אשר ככל הנראה הופצו באמצעות הודעות מייל הכוללות פישינג ממוקד. בנוסף לאיתור וזיהוי ערכת הכלים הזדונית, ESET הודיעה למערך הסייבר הישראלי על האתרים שנפגעו.

ESET קראה לדלת האחורית בשם Solar בעקבות הדמיון לשימוש בשיטת שמות מבוססת אסטרונומיה בשמות הפונקציות והמשימות שלה; לדלת האחורית החדשה, החוקרים קראו מנגו, בהתבסס על שם המכלול הפנימי ושם הקובץ שלו.