Les motivés politiquement Bâton de Moïse Un groupe de hackers a été observé en train d’utiliser un ensemble d’outils personnalisés à plusieurs composants dans le but d’espionner ses cibles dans le cadre d’une nouvelle campagne ciblant exclusivement les organisations israéliennes.
Documenté publiquement pour la première fois fin 2021, Moses Staff serait parrainé par le gouvernement iranien, avec des attaques signalées contre des entités en Israël, en Italie, en Inde, en Allemagne, au Chili, en Turquie, aux Émirats arabes unis et aux États-Unis.
Plus tôt ce mois-ci, le collectif de hackers a été observé incorporant un cheval de Troie d’accès à distance (RAT) précédemment non documenté appelé « StrifeWater » qui se fait passer pour l’application Windows Calculator pour échapper à la détection.
« Un examen approfondi révèle que le groupe est actif depuis plus d’un an, bien avant la première exposition publique officielle du groupe, réussissant à rester sous le radar avec un taux de détection extrêmement faible », selon les conclusions de FortiGuard Labs. révéler.
La dernière activité de menace implique un chemin d’attaque qui exploite la vulnérabilité ProxyShell dans les serveurs Microsoft Exchange comme vecteur d’infection initial pour déployer deux shells Web, suivi de l’exfiltration des fichiers de données Outlook (.TVP) du serveur compromis.
Les phases suivantes de la chaîne d’infection impliquent une tentative de vol d’informations d’identification en vidant le contenu de la mémoire d’un processus Windows critique appelé Local Security Authority Subsystem Service (Lsass.exe), avant de déposer et de charger la porte dérobée « StrifeWater » (broker.exe).
L’installation de l’implant « Broker », qui est utilisé pour exécuter des commandes extraites d’un serveur distant, télécharger des fichiers et exfiltrer des données à partir de réseaux cibles, est facilitée par un chargeur qui se fait passer pour un « Hard Disk Drives Fast Stop Service » surnommé » DriveGuard » (drvguard.exe).
En plus de cela, le chargeur est également responsable du lancement d’un mécanisme de surveillance (« lic.dll ») qui garantit que son propre service n’est jamais interrompu en redémarrant DriveGuard à chaque arrêt et en s’assurant que le chargeur est configuré pour s’exécuter automatiquement. au démarrage du système.
La porte dérobée du courtier, pour sa part, est également équipée pour se supprimer du disque à l’aide d’une commande CMD, capturer des captures d’écran et mettre à jour le logiciel malveillant pour remplacer le module actuel sur le système par un fichier reçu du serveur.
StrifeWater est également remarquable pour ses tentatives de rester sous le radar en se faisant passer pour l’application Windows Calculator (calc.exe), les chercheurs de FortiGuard Labs découvrant deux échantillons plus anciens datant de fin décembre 2020, suggérant que la campagne est opérationnelle depuis plus d’un an.
L’attribution à Moses Staff est basée sur des similitudes dans les shells Web utilisés dans les attaques précédemment divulguées et son modèle de victimologie.
« Le groupe est très motivé, capable et déterminé à endommager les entités israéliennes », ont déclaré les chercheurs. « À ce stade, ils continuent de dépendre d’exploits d’un jour pour leur phase d’intrusion initiale. Bien que les attaques que nous avons identifiées aient été menées à des fins d’espionnage, cela n’exclut pas la possibilité que les opérateurs se tournent plus tard vers des mesures destructrices. »
