Los investigadores de seguridad han rastreado una nueva campaña de Imperial Kitten dirigida a empresas de transporte, logística y tecnología.
Imperial Kitten, también conocido como Tortoiseshell, TA456, Crimson Sandstorm y Yellow Liderc, ha utilizado la identidad en línea de Marcella Flores durante varios años.
Es un actor de amenazas vinculado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC), una rama de las Fuerzas Armadas iraníes, y ha estado activo desde al menos 2017, llevando a cabo ciberataques contra organizaciones en diversos sectores, incluidos defensa, tecnología, telecomunicaciones, marítimo, energía, consultoría y servicios profesionales.
Los ataques recientes fueron descubiertos por investigadores de la empresa de ciberseguridad CrowdStrike, quienes realizaron la atribución en función de la superposición de infraestructura con campañas pasadas, tácticas, técnicas y procedimientos (TTP), el uso del malware IMAPLoader y señuelos de phishing.
Ataques de Imperial Kitten
En un informe publicado a principios de la semana pasada, los investigadores indican que Imperial Kitten lanzó ataques de phishing en octubre utilizando un tema de 'reclutamiento laboral' en correos electrónicos con un archivo malicioso de Microsoft Excel.
Al abrir el documento, el código de macro malicioso extrae dos archivos por lotes que crean persistencia mediante modificaciones en el registro y ejecutan cargas útiles de Python para el acceso de shell inverso.
Luego, el atacante se mueve lateralmente en la red utilizando herramientas como PAExec para ejecutar procesos de forma remota y NetScan para la exploración de la red. Además, utilizan ProcDump para obtener credenciales de la memoria del sistema.
La comunicación con el servidor de comando y control (C2) se logra mediante el malware personalizado IMAPLoader y StandardKeyboard, ambos dependiendo del correo electrónico para intercambiar información.
Los investigadores señalan que StandardKeyboard persiste en la máquina comprometida como el servicio de Windows "Keyboard Service" y ejecuta comandos codificados en base64 recibidos del C2.
CrowdStrike confirmó que los ataques de octubre de 2023 se dirigieron a organizaciones israelíes tras el conflicto entre Israel y Hamas.
Campañas anteriores
En actividades anteriores, Imperial Kitten llevó a cabo ataques de "pozo de agua" comprometiendo varios sitios web israelíes con código JavaScript que recopilaba información sobre visitantes, como datos del navegador y la dirección IP, perfilando posibles objetivos.
El equipo de Inteligencia de Amenazas en PricewaterhouseCoopers (PwC) afirma que estas campañas ocurrieron entre 2022 y 2023, apuntando a los sectores marítimo, de envíos y logística, con algunas víctimas recibiendo el malware IMAPLoader que introdujo cargas útiles adicionales.
En otros casos, CrowdStrike ha observado a los piratas informáticos violando redes directamente, aprovechando códigos de exploits públicos, utilizando credenciales VPN robadas, realizando inyecciones SQL o a través de correos electrónicos de phishing enviados a la organización objetivo.
Tanto CrowdStrike como PwC proporcionan indicadores de compromiso (IoCs) para el malware y la infraestructura del adversario utilizada en los ataques observados.
Fuente: bleepingcomputer.com