Группа кибершпионажа Subtle Snail, связанная с Ираном, провела масштабную кампанию против европейских телекоммуникационных, аэрокосмических и оборонных организаций, используя изощрённые методы социальной инженерии. Злоумышленникам удалось компрометировать 34 устройства в 11 компаниях через фиктивные процессы найма на платформе LinkedIn.
Описание
Группа, также известная как UNC1549 и связанная с кластером Unyielding Wasp (Tortoiseshell) из сети Eclipsed Wasp (Charming Kitten), действует с июня 2022 года. В последней кампании операторы представлялись HR-специалистами реальных компаний, предлагая целевым сотрудникам заманчивые вакансии. После установления контакта они направляли жертв на фишинговые сайты, где те загружали вредоносные ZIP-архивы с подписанными цифровыми сертификатами файлами.
Основным инструментом атаки стал вариант бэкдора MINIBIKE, который загружается через технику DLL sideloading - подмены легитимных библиотек в доверенных процессах. Для обхода систем защиты злоумышленники использовали облачную инфраструктуру Azure, маскируя трафик командования и управления (C2) под легитимные облачные коммуникации.
Особенностью кампании стала низкая детектируемость на начальном этапе: большинство антивирусных решений не распознавали вредоносные образцы из-за многоуровневой обфускации и использования валидных цифровых подписей от компании Insight Digital B.V. из Нидерландов.
Техника атаки включала несколько этапов. Сначала проводилась разведка (Reconnaissance) для идентификации ключевых сотрудников с привилегированным доступом через LinkedIn и другие профессиональные платформы. Затем создавались поддельные домены вида *-careers.com (например, telespazio-careers.com), на которых размещались фиктивные страницы карьерных возможностей.
На этапе выполнения (Execution) жертвы запускали подписанный setup.exe, который загружал вредоносную DLL через механизм подмены библиотек. Бэкдор затем получал команды от C2-серверов в Azure, используя HTTP-запросы с пользовательским агентом "WinHTTP Example/1.0".
Для сохранения устойчивости (Persistence) группа использовала модификации реестра Windows в разделе HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion, обеспечивая автоматическую загрузку бэкдора при запуске системы.
Операторы применяли несколько модулей для сбора данных: кейлоггер для перехвата ввода, стилер браузерных данных для извлечения учётных данных из Chrome, Edge и Brave, а также модуль для кражи учётных записей Outlook через фиктивные окна авторизации.
Эксфильтрация данных осуществлялась через каналы C2 с использованием chunked-передачи, что позволяло разделять большие файлы на части и маскировать передачу под легитимный трафик. Приоритет отдавался корпоративной документации, конфигурациям сетей, исходным кодам и личным данным сотрудников, включая сканы паспортов и виз.
Эксперты отмечают беспрецедентный уровень сложности иранских операций по кибершпионажу против европейских телекоммуникационных компаний. Успешное проникновение в 11 организаций демонстрирует растущие возможности государственных злоумышленников, нацеленных на критически важную инфраструктуру.
Индикаторы компрометации
