Компания Mandiant опубликовала отчет с подробным описанием деятельности UNC1860 - злоумышленника, который, по мнению Mandiant, вероятно, связан с Министерством разведки и безопасности Ирана (MOIS).
UNC1860 APT
Эта группа известна своим сложным инструментарием и пассивными бэкдорами, которые позволяют ей получать постоянный доступ к высокоприоритетным сетям, таким как правительственные и телекоммуникационные организации на Ближнем Востоке. По оценкам Mandiant, методы работы UNC1860 схожи с другими базирующимися в Иране группами, такими как Shrouded Snooper, Scarred Manticore и группой, которую Microsoft отслеживает как Storm-0861, но Mandiant не смогла подтвердить их причастность к недавним громким кибератакам.
UNC1860 использует специализированные инструменты, такие как контроллеры вредоносного ПО с графическим интерфейсом (TEMPLEPLAY и VIROGREEN), которые, по оценке Mandiant, использовались для предоставления первоначального доступа к сетям жертв внешним командам, возможно, другим группам, связанным с MOIS. Кроме того, UNC1860 использует различные пассивные бэкдоры, чтобы закрепиться в сетях, включая переделанный драйвер ядра Windows, что отражает ее опыт в обратном инжиниринге и обходе обнаружения.
Группа была замечена в эксплуатации уязвимых интернет-серверов, используя веб-оболочки и дропперы для развертывания дополнительных утилит и имплантов. Эти импланты повышают операционную безопасность, обходя традиционную инфраструктуру командования и управления (C2), что усложняет обнаружение для защитников.
Кроме того, UNC1860 использует разнообразный набор пользовательских утилит, предназначенных для обхода обычных методов обнаружения, опираясь на такие техники, как кодирование Base64 и шифрование XOR. По оценке Mandiant, такая способность уклоняться от обнаружения в сочетании с мастерством группы в использовании компонентов ядра Windows делает UNC1860 грозным противником в киберпространстве.
Indicators of Compromise
SHA256
- 159eecbba87a7397a5b84a21c289ae66ec776a3fd3b41bf11549fb621afebc0a
- 1786916c1e3b16ce654497861fe43bb595ea0f0fa0fad4cd62f3edc82f9a27d4
- 1c57b1ed990a8946e86d69da2a047fa15525d883b86e93cb6444a4065dbad362
- 21e006c01f576a8922d64d4613f720a038afa177dfa9bad0e752ded32f0ffb45
- 23a9abed7c4a76a5cacf1e984ecf3cce91c3c1bbf4424c4b2ee141b4154c3703
- 2538767f13218503bccf31fccb74e7531994b69a36a3780b53ba5020d938af20
- 359d826ff025c5e4971d90be0d7dfebe10fc125f6dcaa2f0e9869e9f6bec4432
- 58cb1ef132fbdd1855f75c2886666275d1bb75a9fb3fed88d05feee4230afd32
- 59463257c3f2425109fd097f814b6468663df947de8178c8cd7b7c5e94d3375c
- 596b2a90c1590eaf704295a2d95aae5d2fec136e9613e059fd37de4b02fd03bb
- 5cb88ec4eca35c41dbf32218c0f031e75e4c24a17cabe9eea2aa06efa5982967
- 8e4f7a19b09e118ebda79726bf17e9d37ff4b66f4143762dd97ca80340388963
- 8fdd00243ba68cadd175af0cbaf860218e08f42e715a998d6183d7c7462a3b5b
- 90b3f7fefe8e11b8eacaba09a3c14ed6aa66a4c8d798440d912d0a663917a265
- 9483f5eb9133c353cef636ef9fcc29e2c7bf658881574211ee142c93c523efaf
- a052413e65e025cbefdddff6eeae91161de17ffec16d3a741dd9b7c33d392435
- a650a90c1b505989b7e81bfb310d7e2013a380ab26f99622de158c58b1d0fbbf
- ac7b01e01de0dc289cd649aa5072243f2036bd8d2d0152b6d9874c2ccaaf1e5d
- b25455b3f51c0ca0bf5014d043e05fe8ab7621a465677a17390fbc47e4ffbc2f
- b65bcba449d74e4395421aeb4012c9e509acb5e8153ff3dc9f01fd97a5cc2711
- b66919a18322aa4ce2ad47d149b7fe38063cd3cfa2e4062cd1a01ad6b3e47651
- ba3efa7d61e79cf62eeb0c65e803a6353f3012a89e0d910c2292801da43c8a93
- c3fa9432243e1a2ab1991ab4c07a19392038e6a8e817e5fea0232c4caabbb950
- e17510e9fad082426920e6e6d94df7c1314ecc3ab041aa8e19d18140f5a0cc21
- e26fbbeea2e152b3769126714c52112d04c4f2310461fb842bf2532e7903ce51
- e984b40c4c6909813ed9f0ea5de8f4f7cac40f0e8b9fb5041f4a568e307e5712
- eafb31f3ab90246d099e58f5fb950f58effa583f1e3caabc451dfabaf0d200e1
- ed3745f82c7873adca16833b718e20090ac6a8c74e7004b854af29ef1551de75
- f42ebd85c4d0ab6573a856049ac9c892c037a0ec8f39e54153dd439616883390
- fe14edf4db2a9838f15aaf24a5837ffc5c901313d6fd2fe60d15401154e44406
- ff51aa6cad655ddd99a525b78419cd746453fb2adcb689ba34ca3ab6e78b1347
- ffb6acd2715dd988fe3c3fdbd7d45159f8e5b529eea506a856109a8696e93a80
