Обнаружена новая кампания иранского APT Dust Specter против иракских чиновников с использованием неизвестных вредоносных программ

Кампания была направлена на сотрудников Министерства иностранных дел Ирака. Злоумышленники использовали фишинговые сообщения, в которых маскировались под официальные лица ведомства. В качестве приманки применялись документы, связанные с сетевым оборудованием, и поддельные опросы в Google Forms на арабском языке. Важной особенностью стало компрометирование инфраструктуры, связанной с правительством Ирака, для размещения вредоносных нагрузок, что повышало доверие к атаке со стороны жертв.

Аналитики выделили две независимые цепочки атаки. Первая использует модульную архитектуру. Она начинается с дроппера SPLITDROP, написанного на .NET и замаскированного под установщик WinRAR. При запуске он требует от жертвы ввода пароля для «распаковки архива», что является элементом социальной инженерии. После этого дроппер расшифровывает и сбрасывает на диск два основных модуля: TWINTASK и TWINTALK. Для их выполнения используется техника DLL side-loading - вредоносный код загружается в память через легитимные исполняемые файлы медиаплеера VLC и пакетного менеджера WingetUI, что позволяет обходить простые сигнатурные методы обнаружения.

TWINTASK выполняет роль рабочего модуля, который каждые 15 секунд опрашивает файл на диске в поиске новых команд от оператора. Команды, закодированные в Base64, выполняются с помощью PowerShell, а результаты записываются в другой файл. TWINTALK же выступает в роли оркестратора командного центра. Он отвечает за связь с сервером управления, используя для этого сложные механизмы уклонения. Каждый запрос к C2-серверу (Command and Control, сервер управления ботами) имеет уникальный путь, сгенерированный случайным образом, к которому добавляется контрольная сумма для верификации запроса от реально заражённой системы. Кроме того, сервер применяет геофильтрацию и проверку User-Agent.

Вторая цепочка атаки, получившая название GHOSTFORM, консолидирует весь функционал в одном исполняемом файле, что уменьшает её след в файловой системе. Этот бэкдор также написан на .NET и использует для выполнения команд PowerShell в памяти, не оставляя скриптов на диске. Его ключевой особенностью является креативная техника задержки выполнения: вредоносная программа создаёт невидимое окно Windows Form с нулевой прозрачностью и использует встроенный таймер для паузы перед выходом на связь с командным центром. Это позволяет обойти простые сендбоксы, которые отслеживают вызовы стандартных API для задержки выполнения, таких как "Sleep".

Особый интерес вызывает анализ кодовой базы вредоносных программ. Исследователи обнаружили в коде эмодзи и Unicode-символы, а также использование «книжных» значений для сидов генераторов случайных чисел, например, 0xABCDEF. Эти артефакты с высокой вероятностью указывают на использование генеративного ИИ при разработке или доработке кода. Данный тренд, ранее отмечавшийся в других кампаниях, показывает, как угрозы адаптируются к современным инструментам разработки.

Связь с иранскими APT-группами, в частности с известной APT34 (OilRig), прослеживается по нескольким параметрам.

• Совпадает целевой сегмент - государственный сектор Ирака, особенно дипломатические структуры.
• Наблюдаются схожие технические приёмы: использование простых, но эффективных .NET-бэкдоров без сложной обфускации, схожий набор команд C2 (выполнение кода, загрузка и выгрузка файлов), а также размещение вредоносных нагрузок на скомпрометированных правительственных ресурсах Ирака.
• Совпадают методы социальной инженерии, включая поддельные приглашения на конференции (в данном случае под Cisco Webex) и использование техники ClickFix, когда жертве предлагается скопировать и выполнить команду PowerShell для «исправления» несуществующей проблемы отчёт Zscaler ThreatLabz.

Последствия успешной такой атаки для государственной организации могут быть серьёзными: от хищения конфиденциальных дипломатических документов и переписки до долговременного закрепления злоумышленников в сети для последующего шпионажа. Использование легитимного ПО для запуска вредоносных DLL осложняет обнаружение классическими антивирусными средствами.

Для защиты от подобных угроз организациям, особенно в государственном секторе и смежных отраслях, рекомендуется внедрять многоуровневую стратегию безопасности. Критически важно обучать сотрудников, особенно работающих с чувствительной информацией, распознаванию фишинговых атак и подозрительных запросов на выполнение действий, даже если они поступают из якобы доверенных источников. На техническом уровне необходимо применять решения класса EDR (Endpoint Detection and Response, системы обнаружения и реагирования на конечных точках), способные выявлять аномальное поведение, такое как создание невидимых окон, подозрительная активность PowerShell и попытки установки автозапуска через реестр. Кроме того, следует строго контролировать установку и использование программного обеспечения, применяя политики whitelisting, и регулярно проводить аудит инфраструктуры на предмет признаков компрометации. Кампания Dust Specter наглядно показывает, что современные угрозы сочетают в себе проверенные временем техники с новыми инструментами, что требует от защитников постоянной бдительности и адаптации собственных мер безопасности.