揭秘一場(chǎng)針對(duì)中東知識(shí)分子的“社工陰謀”，意圖獲取情報(bào)信息
一名疑似伊朗的國(guó)家黑客發(fā)動(dòng)了一場(chǎng)復(fù)雜的社會(huì)工程攻擊行動(dòng)，通過(guò)偽裝成倫敦大學(xué)東方非洲研究學(xué)院 (SOAS) 的學(xué)者來(lái)收集敏感信息，目標(biāo)是中東地區(qū)的智庫(kù)人員、記者和教授等。
企業(yè)安全公司Proofpoint認(rèn)為這一名為“Operation SpoofedScholars”活動(dòng)背后的幕后黑手是TA453的高級(jí)持續(xù)威脅組織，該威脅組織別名為APT35(火眼命名)、Charming Kitten(ClearSky命名)和Phosphorous(微軟命名)。這個(gè)政府網(wǎng)絡(luò)戰(zhàn)組織被懷疑代表伊*蘭革命衛(wèi)隊(duì) (IRGC) 開(kāi)展情報(bào)工作。
研究人員表示：“確定的目標(biāo)包括來(lái)自智庫(kù)的中東事務(wù)專家、著名學(xué)術(shù)機(jī)構(gòu)的資深教授和記者，該活動(dòng)顯示了TA453在攻擊方法上的升級(jí)和復(fù)雜化。”
從高層次的攻擊鏈層面來(lái)說(shuō)，黑客冒充英國(guó)學(xué)者針對(duì)一群精英人群，試圖誘使他們點(diǎn)擊線上會(huì)議的注冊(cè)鏈接，該鏈接旨在從谷歌、微軟、Facebook和雅虎中獲取各種憑據(jù)。
黑客為了能讓身份看起來(lái)更合法，將憑據(jù)網(wǎng)絡(luò)釣魚(yú)基礎(chǔ)設(shè)施托管在屬于倫敦大學(xué)SOAS廣播電臺(tái)的一個(gè)真實(shí)但已被入侵的網(wǎng)站上，將定制化憑據(jù)收集頁(yè)面?zhèn)窝b成注冊(cè)頁(yè)面，并分發(fā)給目標(biāo)用戶。
從已知的一個(gè)案例中發(fā)現(xiàn)，TA453已向目標(biāo)人群的個(gè)人電子郵件帳戶發(fā)送了一封憑據(jù)收集郵件。研究人員說(shuō)：“TA453通過(guò)偽裝成SOAS合法附屬機(jī)構(gòu)的學(xué)者來(lái)分發(fā)惡意鏈接，從而增強(qiáng)了憑據(jù)獲取的可信度。”
此外，TA453還堅(jiān)持要求受害者登錄注冊(cè)網(wǎng)絡(luò)研討會(huì)，這增加了攻擊者“計(jì)劃立即手動(dòng)驗(yàn)證捕獲憑據(jù)”的可能性。這些攻擊早在2021年1月就開(kāi)始了，之后該組織在網(wǎng)絡(luò)釣魚(yú)電子郵件中巧妙地改變了他們的策略。
這不是該攻擊者第一次發(fā)起憑據(jù)網(wǎng)絡(luò)釣魚(yú)攻擊。今年3月初，Proofpoint詳細(xì)介紹了針對(duì)以色列和美國(guó)專門(mén)從事遺傳、神經(jīng)病學(xué)和腫瘤學(xué)研究的高級(jí)醫(yī)療專業(yè)人員的“BadBlood”活動(dòng)。
研究人員說(shuō)：“TA453非法獲取了世界級(jí)學(xué)術(shù)機(jī)構(gòu)的網(wǎng)站訪問(wèn)權(quán)，以利用被入侵的基礎(chǔ)設(shè)施來(lái)獲取其預(yù)定目標(biāo)的憑據(jù)。使用合法但被入侵的基礎(chǔ)設(shè)施說(shuō)明了TA453攻擊手法變得更加復(fù)雜，且有可能在未來(lái)的活動(dòng)中持續(xù)應(yīng)用。TA453繼續(xù)迭代、創(chuàng)新和收集，以支持IRGC情報(bào)收集重點(diǎn)工作。”
倫敦大學(xué)東方和非洲研究學(xué)院 (SOAS) 的一位發(fā)言人在聲明中回應(yīng)：
| “我們了解到，黑客創(chuàng)建了Gmail帳戶以冒充學(xué)者，并創(chuàng)建了一個(gè)虛擬站點(diǎn)來(lái)攻擊目標(biāo)用戶，并收集數(shù)據(jù)。這個(gè)虛擬頁(yè)面被放置在SOAS Radio的網(wǎng)站上，SOAS Radio是一個(gè)獨(dú)立的在線廣播電臺(tái)，制作公司即SOAS。該網(wǎng)站與SOAS官方網(wǎng)站分開(kāi)，不屬于我們?nèi)魏螌W(xué)術(shù)領(lǐng)域。此次事件并非SOAS內(nèi)部人員所為，而是外部人員。SOAS的學(xué)術(shù)人員并沒(méi)有參與這個(gè)過(guò)程，SOAS工作人員也沒(méi)有因?yàn)樽陨硇袆?dòng)或聲明導(dǎo)致目標(biāo)用戶遭欺詐。“
“關(guān)于黑客創(chuàng)建虛擬網(wǎng)站，沒(méi)有從SOAS獲得任何個(gè)人信息，也沒(méi)有涉及我們的數(shù)據(jù)系統(tǒng)(例如，教職員工和學(xué)生記錄、財(cái)務(wù)信息、電子郵件和核心ac.uk網(wǎng)站等)或受此影響。我們的核心系統(tǒng)的網(wǎng)絡(luò)安全系統(tǒng)是完整的、有效的。在今年早些時(shí)候，我們一發(fā)現(xiàn)了這個(gè)虛擬站點(diǎn)，就立即補(bǔ)救并報(bào)告了數(shù)據(jù)泄露行為。我們已經(jīng)審查了事件始末，并采取措施進(jìn)一步改善對(duì)此類外部系統(tǒng)的保護(hù)。” |
參考來(lái)源：Iranian Hackers Posing as Scholars Target Professors and Writers in Middle-East
