Группа хакеров, связанная с Ираном и известная под названием Subtle Snail (также отслеживаемая как UNC1549 и TA455), активизировала свою деятельность против европейских компаний и учреждений. По данным экспертов по кибербезопасности, в ходе недавней целевой кампании группе удалось скомпрометировать не менее 34 отдельных устройств, принадлежащих 11 различным организациям в Европе. Эта кампания знаменует собой заметный сдвиг в тактике группы, которая ранее была более сосредоточена на других регионах.
Описание
Subtle Snail не является новым игроком на поле цифрового шпионажа. Группа отслеживается исследователями как минимум с ноября 2022 года. Более того, она тесно связана с печально известной сетью Eclipsed Wasp, также известной как Charming Kitten или APT42, которая давно ассоциируется с иранскими спецслужбами и известна проведением изощренных кампаний по сбору разведданных, фишинга и компрометации учетных записей. Эта связь указывает на возможную государственную поддержку деятельности Subtle Snail и ее принадлежность к более широкой экосистеме иранских киберопераций.
Основной целью группы, согласно анализу последних инцидентов, является несанкционированный сбор конфиденциальной информации. Методы, используемые злоумышленниками, включают в себя фишинговые атаки с высокой степенью персонализации, направленные на конкретных сотрудников целевых организаций. Эти письма часто маскируются под легитимные деловые коммуникации или уведомления от известных сервисов, что увеличивает шансы на успешное вовлечение жертвы. После первоначального проникновения, обычно через вредоносные вложения или ссылки, Subtle Snail использует сложное шпионское вредоносное ПО для закрепления в сети, кражи данных и скрытного наблюдения.
Переход группы к атакам на европейские организации вызывает серьезную обеспокоенность у экспертов. Европа исторически была важным геополитическим и экономическим партнером, а также центром критически важной инфраструктуры и промышленности. Мотивы этой смены приоритетов могут быть разнообразны: от сбора политической и экономической разведки в контексте международных отношений и санкций до промышленного шпионажа или поддержки иранских стратегических интересов в регионе. Тот факт, что заражения затронули уже 11 организаций, свидетельствует о масштабности и, вероятно, тщательной подготовке кампании.
Ожидается, что активность группы Subtle Snail в Европе сохранится или даже усилится в ближайшем будущем. Их связь с Eclipsed Wasp подчеркивает доступ группы к ресурсам и опыту, характерным для государственных хакерских коллективов. Организациям необходимо действовать на опережение, интегрируя полученные разведданные об угрозах в свои стратегии безопасности и инвестируя в обнаружение и реагирование на сложные целевые атаки. Успех в противодействии таким группам, как Subtle Snail, зависит от сочетания технологий, осведомленности персонала и оперативного обмена информацией между компаниями и отраслевыми центрами анализа угроз.
Индикаторы компрометации
Domains
- auto-updater.azurewebsites.net
- background-update.azurewebsites.net
- cache-cleaner-check.azurewebsites.net
- cache-cleaner-check-111.azurewebsites.net
- cache-cleaner-check-805.azurewebsites.net
- cache-cleaner-check-926.azurewebsites.net
- cache-managment.northeurope.cloudapp.azure.com
- check-security-update.azurewebsites.net
- group-policy-update.azurewebsites.net
- hyperv-heartbeat-service.azurewebsites.net
- hyperv-time-sync.azurewebsites.net
- patch-provider.azurewebsites.net
- patch-provider-247.azurewebsites.net
- patch-provider-597.azurewebsites.net
- patch-provider-745.azurewebsites.net
- safrangroup-careers.com
- send-feedback.azurewebsites.net
- send-feedback-296.azurewebsites.net
- send-feedback-413.azurewebsites.net
- send-feedback-838.azurewebsites.net
- services-update-check.azurewebsites.net
- telespazio-careers.com
- update-health-service.azurewebsites.net
- verify-publisher.azurewebsites.net
SHA256
- 035ba3659ba5e79d7b55917f1b199d09872e7cdd6edff5f8360e903671c1b912
- 092e15a841c9bfc7a4101e1c4b1fc97d7fe51079c182bbc15368484e95b29016
- 0e4ff052250ade1edaab87de194e87a9afeff903695799bcbc3571918b131100
- 10c8f68cdb8c4d4d0aafe034014d0f2755695643dd5bae6ce3dc065abc975402
- 1ae5aba573f277922d672e983123443c8ad02aaa676e49b89d549cb9fb28e840
- 36ce573348343a98428b199c2c0e21fb586642c84c2b9fb26fa50e94f96f27c4
- 3a2b8adf2f72e46cbb61ce71afe6477bdc72b2c731b9cdbe9eb96b91af24a8d6
- 563aed7c1c11d910d14b03e9a4d69a9ebdd11ee83fd6daa05e6795f0cb78d0fc
- 73609f86bbf892ec3855ff33822b4ff14a10d90605ebb0778e792dffa627aba6
- 82f6abb39e84747a96072fdd66a037fa278dd0e9755074e291d9bcb213fb02c9
- a919feb56cfca3a4b2fb01870da8ffc27b0e76b0a1c328d7f53e3f1a8ecf2632
- b215bcfd1ff4038b8564254fe69ccd6ba6a8db1d1f4aed41f689eafaf0e0cd18
- b405ae67c4ad4704c2ae33b2cf60f5b0ccdaff65c2ec44f5913664805d446c9b
- c8256bad2199adaabc71785269265bd43ae8c888ea1d2757405701089ea8bab8
- cb07b631fd63d1192be0b0ea435e89a4f6ca1022717da200cb0aa0fce6078e49
- ce9b556776524c61dbd071fc0fa70096e3357e967ba2aa1ae0bf0c8bcb10c139
- dda328dae005b801a5b05dcb57e2e4b66e0349f0ca56b78ab3898648339c98d4
- e379e87a97d0e4414a5c18990aff1aa042f3149d378f1f05ecf4783edbc9cf03
- e6ce894ee1cb806d40914e6c20830fcfda136eb6eb5b94cf3a7e47a3b9429157
- eb9b91c963cbf6e0d3c13168d5c0c20e4c560cddf50c22cd3c0c949fd87e579e
- ecb49353f4316427afd8ecb64030ca844f6e7c2e6d0264f56c99591f9c670adf
- ef4b0459809f5c0ab450d53019b36fd855690e40a98aad5b6cd12b610fdd6f8d
- f1208b93468a3b50d79306c8c62fd9efbe13ffab38ee7f30a146803231360323
