Los hackers iraníes están lanzando una campaña de phishing dirigida a investigadores y académicos que trabajan en temas relacionados con Oriente Medio. El objetivo de estos ataques es infectar sus dispositivos con un nuevo malware llamado MediaPl, que les permite acceder a sus datos y controlar sus actividades. En este artículo, te explicaremos qué es MediaPl, cómo funciona, cómo se distribuye y cómo puedes protegerte de esta amenaza.
Secuencia de ataques detrás de la campaña en curso llevada a cabo por APT35
Microsoft informó que un grupo de hackers iraníes, respaldado estatalmente y conocido como APT35 (también Charming Kitten y Phosphorus), ha estado apuntando a personal clave en universidades e instituciones de investigación en Europa y Estados Unidos con ataques de phishing. Este subgrupo, ligado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC), utiliza malware de puerta trasera en sus operaciones.
Utilizando correos electrónicos de phishing personalizados y difíciles de detectar, enviados desde cuentas ya comprometidas, este grupo ha centrado sus esfuerzos en individuos involucrados en temas de Oriente Medio. Desde noviembre de 2023, Microsoft ha observado ataques específicos en países como Bélgica, Francia, Gaza, Israel, Reino Unido y Estados Unidos.
"Durante esta campaña, Mint Sandstorm empleó tácticas de phishing personalizado con la intención de manipular a sus objetivos para que descargaran archivos maliciosos. En algunos casos, Microsoft detectó nuevas técnicas utilizadas después de la intrusión, incluyendo la implementación de una puerta trasera personalizada denominada MediaPl.
Te podrá interesar leer: ¿Qué es Backdoor?: Protegiendo tu Sistema Digital
El malware MediaPl utiliza canales de comunicación cifrados para intercambiar información con su servidor de comando y control (C2) y se disfraza como Windows Media Player para evadir la detección.
Las comunicaciones entre MediaPl y su servidor C2 se encuentran protegidas mediante cifrado AES CBC y codificación Base64. La variante de este malware encontrada en dispositivos comprometidos posee la capacidad de finalizar automáticamente, detener temporalmente y reintentar las comunicaciones con el servidor C2, además de ejecutar comandos C2 utilizando la función _popen.
Adicionalmente, se identificó un segundo malware de puerta trasera basado en PowerShell conocido como MischiefTut, el cual se encarga de eliminar otras herramientas maliciosas y proporciona capacidades de reconocimiento. Esto permite que los actores de amenazas ejecuten comandos en los sistemas comprometidos y envíen los resultados a servidores controlados por el atacante."
Para protegerse de MediaPl y otros ataques de phishing, es importante seguir una serie de recomendaciones de seguridad:
Conoce más sobre: Concientización: Esencial en la Ciberseguridad de tu Empresa
MediaPl es un nuevo malware que los hackers iraníes están usando para atacar a investigadores y académicos que trabajan en temas relacionados con Oriente Medio. MediaPl se disfraza de Windows Media Player y se comunica de forma cifrada con el servidor del atacante, que puede ejecutar comandos maliciosos en el sistema infectado. MediaPl se distribuye mediante una campaña de phishing que usa correos electrónicos personalizados y difíciles de detectar. Para protegerse de MediaPl y otros ataques de phishing, es importante seguir una serie de recomendaciones de seguridad, como no abrir correos electrónicos sospechosos, mantener el sistema actualizado y realizar copias de seguridad de los datos.