Группа Charming Kitten (также известная как APT35 или Phosphorus), связанная с Ираном, развернула новую многоэтапную кампанию, демонстрирующую значительную эволюцию в методах целевого выбора и операционной скрытности. Кампания отличается использованием стратегической имитации реального лица, активным мониторингом исследователей кибербезопасности и беспрецедентным масштабом инфраструктуры.
Описание
Основой кампании стало создание поддельного аккаунта в Telegram, имитирующего Ариан Табатабаи - официальное лицо Пентагона, которое в прошлом году подвергалось расследованию Конгресса США из-за связей с Иранской экспертной инициативой и было переведено с должности в спецоперациях на пост в Force Education в октябре 2024 года. Выбор фигуры, уже вовлечённой в публичные споры, свидетельствует о глубоком понимании группой политического контекста и расчёта на доверие жертв.
Особенностью данной операции стало длительное предварительное наблюдение. Фейковый аккаунт @ArianTabatabai с номером телефона из Великобритании был зарегистрирован ещё в мае 2025 года, однако оставался неактивным до конца июля. 19 мая аккаунт присоединился к публичному каналу автора данного исследования, что указывает на преднамеренный мониторинг деятельности специалистов по кибербезопасности. Это подтверждает, что группа отслеживает публикации индикаторов компрометации (IoC) и оперативно реагирует на раскрытие своей инфраструктуры.
Сообщения злоумышленников строились вокруг приглашений на «важные встречи» в Вашингтоне, обсуждения «новых разработок» в политике США и запросов консультаций по иранской тематике. После установления контакта жертвы перенаправлялись на фишинговые страницы, размещённые на Google Sites, а затем на домены, контролируемые группой.
Техническая инфраструктура кампании отличается высокой степенью автоматизации и масштабом. Выявлено более 30 активных доменов в зоне .online, зарегистрированных в июле-августе 2025 года, которые не фигурировали в ранее опубликованных источниках. Наиболее значимые из них - jessyland[.]online (сервер управления и контроля) и viliam[.]online-speak[.]online (основной фишинговый ресурс). Для передачи данных в реальном времени использовались WebSocket-соединения, что позволяет перехватывать каждое нажатие клавиши и изменение полей форм.
Анализ сетевой активности выявил использование как WebSocket (wss://jessyland[.]online:8569/room), так и традиционных POST-запросов для эксфильтрации данных. Фишинговые страницы точно воспроизводят процесс восстановления аккаунта Google, включая отображение электронной почты жертвы, запрос подтверждения с другого устройства и создание ощущения срочности с помощью таймера.
Кампания демонстрирует серьёзные изменения в тактике группы по сравнению с предыдущими операциями: целенаправленный выбор целей на основе их медийной активности, длительная подготовка, автоматизированное создание инфраструктуры и технические улучшения, включая использование современных протоколов связи. Это указывает на переход от тактики массового фишинга к точечным, тщательно спланированным атакам на конкретных лиц, представляющих операционный интерес.
Эксперты с высокой степенью уверенности приписывают данную кампанию группе Charming Kitten на основе характерных методов социальной инженерии, паттернов инфраструктуры, использования Google Sites в качестве промежуточного звена и соответствия времени проведения иранским политическим событиям.
Индикаторы компрометации
