На фоне обострения отношений между Ираном и Израилем иранская хакерская группировка Educated Manticore активизировала фишинговые кампании, нацеленные на израильских журналистов, ведущих экспертов по кибербезопасности и профессоров компьютерных наук из крупнейших университетов страны. Об этом сообщили аналитики Check Point Research, которые отслеживают деятельность группировки на протяжении последних лет.
Описание
Тактика атак: от фишинга до перехвата 2FA
Атаки начинаются с тщательно подготовленных фишинговых писем и сообщений в WhatsApp, где злоумышленники представляются сотрудниками известных кибербезопасностных компаний или исследователями. В некоторых случаях они даже предлагают личные встречи в Тель-Авиве, чтобы усилить доверие жертвы. После установления контакта жертву перенаправляют на поддельные страницы входа в Gmail или фальшивые приглашения в Google Meet.
Особенность кампании - использование сложного фишингового набора (kit), разработанного на основе React и имитирующего процесс аутентификации Google. Этот инструмент не только перехватывает введенные пароли, но и обходит двухфакторную аутентификацию (2FA), перехватывая SMS-коды и токены. Кроме того, встроенный кейлоггер записывает каждое нажатие клавиш, даже если пользователь не завершил процесс входа.
Цели и последствия
Основная цель атак - получение доступа к учетным записям жертв, включая почту и облачные сервисы. Учитывая статус целей - ведущие академики и эксперты по кибербезопасности - компрометация их аккаунтов может привести к утечке конфиденциальных данных, включая исследования, переписку и доступ к корпоративным системам.
Check Point Research отмечает, что группировка Educated Manticore (также известная как APT42, Charming Kitten или Mint Sandstorm) давно использует подобные методы, но в последнее время их атаки стали более изощренными. В частности, злоумышленники начали применять искусственный интеллект для генерации убедительных писем с безупречной грамматикой и стилистикой.
Инфраструктура атак
С января 2025 года группировка зарегистрировала более 130 доменов, многие из которых были размещены на хостинге NameCheap. Большинство из них использовались для размещения фишинговых страниц или бэкенд-серверов, обрабатывающих украденные данные. Некоторые домены имитировали легитимные сервисы, такие как Google Sites, чтобы усилить доверие жертв.
Аналитики также обнаружили, что часть инфраструктуры связана с другим иранским кластером активности - GreenCharlie, что указывает на возможное взаимодействие между различными хакерскими группами, работающими в интересах Ирана.
Текущая кампания Educated Manticore демонстрирует, как геополитические конфликты переходят в киберпространство, а академические и медийные деятели становятся мишенями для цифрового шпионажа. Учитывая высокий уровень организации атак, подобные инциденты могут продолжиться, и их масштаб будет только расти.
Индикаторы компрометации
