Ciberespías iraníes detrás de una importante campaña navideña de spear-phishing por SMS

Un clase iraní de ciberespionaje conocido como Charming Kitten (APT35 o Phosphorus) ha utilizado las recientes ocio de invierno para atacar objetivos de todo el mundo mediante una campaña de phishing muy sofisticada que incluía no solo ataques por correo electrónico sino asimismo mensajes SMS.

«Charming Kitten ha trabajador al mayor este momento para ejecutar su nueva campaña con el mayor emoción», dijo CERTFA, una estructura de ciberseguridad especializada en el seguimiento de las operaciones iraníes.

«El clase inició la nueva ronda de ataques en un momento en que la mayoría de las empresas, oficinas, organizaciones, etc. estaban cerradas o medio cerradas durante las ocio de Navidad y, como resultado, su soporte técnico y los departamentos de TI no pudieron revisar de inmediato , identificar y equilibrar estos incidentes cibernéticos «, agregó.

CERTFA dijo que detectó ataques contra miembros de think tanks, centros de investigación política, profesores universitarios, periodistas y activistas ambientales.

Las víctimas estaban ubicadas en países del Bahía Pérsico, Europa y Estados Unidos.

Cómo se desarrolló un ataque

Los investigadores del CERTFA dijeron que esta campaña en particular exhibía un punto renovador de complejidad. Las víctimas recibieron mensajes de spear-phishing de los atacantes no solo por correo electrónico, sino asimismo por SMS, un canal que no muchos actores de amenazas usan de forma regular.

Si correctamente los mensajes SMS se hicieron acaecer por alertas de seguridad de Google, los correos electrónicos aprovecharon cuentas previamente pirateadas e intentaron envidiar con el medio ambiente festivo con señuelos relacionados con las ocio.

El denominador global en ambas campañas fue que los operadores de Charming Kitten lograron ocultar con éxito sus ataques detrás de una URL legítima de Google de https://www.google[.]com / url? q = https: //script.google.com/xxxx, que habría engañado incluso a los destinatarios más conocedores de la tecnología.

Pero detrás del capó, CERTFA dijo que la URL legítima de Google terminaría rebotando al beneficiario a través de diferentes sitios web y eventualmente lo llevaría a una página de phishing, donde se les pedirían credenciales de inicio de sesión para servicios de correo electrónico personal como Gmail, Yahoo y Outlook. , sino asimismo correos electrónicos comerciales.

El equipo de CERTFA señaló que esta no era la primera vez que Charming Kitten logró ocultar con éxito enlaces a sitios web de spear-phishing detrás de las URL de Google.

La compañía apunta a un mensaje susodicho de enero de 2020, que expone una operación de Charming Kitten que abusó sites.google.com Enlaces.