UNC1549 TTP: un APT iraniano che prende di mira il settore aerospaziale e della difesa

SOC Prime Team

Segui

UNC1549 TTP: un APT iraniano che prende di mira il settore aerospaziale e della difesa

Detection stack

AIDR
Alert
ETL
Query

Rapporto
Flusso di Attacco
Rilevamenti
Simulazioni

Riepilogo

UNC1549 è un gruppo di cyber-spionaggio legato all’Iran che prende di mira la catena di fornitura globale dell’industria aerospaziale, dell’aviazione e della difesa. Il gruppo gestisce sofisticate operazioni di phishing che utilizzano falsi portali di carriera basati su React per distribuire malware personalizzato a più stadi. Le sue campagne sono focalizzate sul furto di credenziali, sull’esfiltrazione di dati e sul mantenimento di una persistenza a lungo termine all’interno di organizzazioni di alto valore.

Investigazione

Il report descrive l’evoluzione operativa di UNC1549 dal 2022 fino a fine 2025, evidenziando un cambiamento dai target principalmente regionali nel Medio Oriente a un focus più ampio sulla catena di fornitura aerospaziale globale. Gli analisti hanno identificato diversi strumenti personalizzati, tra cui MiniJunk, MiniBrowse, SIGHTGRAB e TRUSTRAP. L’analisi tecnica ha anche rivelato metodi avanzati di elusione come il padding binario e il dirottamento dell’ordine di ricerca DLL.

Mitigazione

Le organizzazioni dovrebbero implementare filtri email robusti per rilevare i link di spear-phishing e verificare la legittimità dei portali relativi alle carriere. Migliorare la visibilità degli endpoint per rilevare il caricamento DLL, cambiamenti non autorizzati al registro e attività sospette di PowerShell è essenziale. Il monitoraggio delle sessioni RDP non autorizzate e dei tunnel SSH inversi può anche aiutare a ridurre il rischio di movimenti laterali e attività di comando e controllo.

Risposta

Se viene rilevata un’attività di UNC1549, i responder dovrebbero isolare immediatamente gli endpoint interessati per prevenire ulteriori movimenti laterali tramite RDP. Dovrebbe essere condotto un audit completo delle attività pianificate e delle chiavi Run del Registro di sistema di Windows per identificare i meccanismi di persistenza. I team dovrebbero anche rivedere i log del controller di dominio per evidenze di attività DCSync e monitorare traffico HTTPS o SSH in uscita insolito verso infrastrutture di comando e controllo note.

graph TB %% Definizione delle classi classDef action fill:#99ccff classDef tool fill:#cccccc classDef technique fill:#f9f,stroke:#333,stroke-width:2px classDef exfil fill:#ff9999 %% Fase di accesso iniziale action_phishing[“Azione – T1566.002 Phishing: Link di Spearphishing Email mirate con portali React fraudolenti per offerte di lavoro che imitano Boeing e Airbus.”] class action_phishing action action_download[“Azione: Download di archivio dannoso Le vittime scaricano archivi compressi dopo aver fornito le credenziali.”] class action_download action %% Fase di esecuzione e ricognizione tech_powershell[“Tecnica – T1059.001 Interprete di comandi e script: PowerShell Utilizzato per la ricognizione di rete e l’enumerazione di Active Directory.”] class tech_powershell technique tech_cmd[“Tecnica – T1059.003 Interprete di comandi e script: Windows Command Shell Utilizzato per la ricognizione di rete e l’enumerazione di Active Directory.”] class tech_cmd technique action_recon[“Azione: Enumerazione di Active Directory Esecuzione di comandi come net user.”] class action_recon action %% Fase di persistenza tech_schtask[“Tecnica – T1053.005 Attività pianificata Esecuzione di MigAutoPlay.exe con userenv.dll caricata tramite DLL side-loading.”] class tech_schtask technique tech_registry[“Tecnica – T1547.001 Esecuzione automatica all’avvio: Chiavi Run del Registro / Cartella Startup Scrittura nelle chiavi di registro per mascherarsi come OneDrive.”] class tech_registry technique %% Fase di evasione delle difese tech_obfuscation[“Tecnica – T1027 File o informazioni offuscate Offuscamento a livello del compilatore e Binary Padding (T1027.001).”] class tech_obfuscation technique tech_masquerade[“Tecnica – T1036 Mascheramento Utilizzo di nomi di file simili a servizi legittimi.”] class tech_masquerade technique tech_log_clear[“Tecnica – T1070.001 Rimozione degli indicatori: Cancellazione dei log eventi Windows Eliminazione della cronologia delle connessioni RDP dal registro di sistema.”] class tech_log_clear technique tech_hijack[“Tecnica – T1574.001 Dirottamento del flusso di esecuzione: DLL Search Order Hijacking Posizionamento di DLL dannose vicino a binari legittimi.”] class tech_hijack technique %% Fase di accesso alle credenziali tool_mimikatz[“Strumento – Mimikatz modificato Utilizzato per T1003.006 DC Sync per estrarre hash NTLM.”] class tool_mimikatz tool tool_minibrowse[“Strumento – MiniBrowse Utilizzato per T1555.003 Credenziali da browser web per rubare dati di Chrome ed Edge.”] class tool_minibrowse tool tool_trustrap[“Strumento – TRUSTRAP Acquisizione delle credenziali tramite finestre di autenticazione false.”] class tool_trustrap tool %% Fase di movimento laterale tech_rdp[“Tecnica – T1021.001 Servizi remoti: Remote Desktop Protocol Accesso ai sistemi tramite RDP.”] class tech_rdp technique tech_rdp_hijack[“Tecnica – T1563.002 Dirottamento sessione servizio remoto: RDP Hijacking Accesso alle sessioni attive degli utenti.”] class tech_rdp_hijack technique %% Fase di raccolta tool_sightgrab[“Strumento – SIGHTGRAB Utilizzato per T1113 Cattura dello schermo tramite screenshot periodici.”] class tool_sightgrab tool %% Fase C2 ed esfiltrazione tech_tunneling[“Tecnica – T1572 Tunnel di protocollo Utilizzo di tunnel SSH inversi per evitare la telemetria.”] class tech_tunneling technique tech_exfil[“Tecnica – T1041 Esfiltrazione tramite canale C2 Trasferimento di credenziali e file rubati tramite HTTPS.”] class tech_exfil exfil %% Connessioni action_phishing –>|porta_a| action_download action_download –>|attiva| tech_powershell action_download –>|attiva| tech_cmd tech_powershell –>|esegue| action_recon tech_cmd –>|esegue| action_recon action_recon –>|stabilisce| tech_schtask action_recon –>|stabilisce| tech_registry tech_schtask –>|utilizza| tech_hijack tech_registry –>|utilizza| tech_masquerade tech_powershell –>|impiega| tech_obfuscation tech_cmd –>|impiega| tech_obfuscation tech_obfuscation –>|include| tech_masquerade tech_masquerade –>|nasconde_tramite| tech_log_clear action_recon –>|porta_a| tool_mimikatz action_recon –>|porta_a| tool_minibrowse action_recon –>|porta_a| tool_trustrap tool_mimikatz –>|abilita| tech_rdp tool_minibrowse –>|abilita| tech_rdp tool_trustrap –>|abilita| tech_rdp tech_rdp –>|porta_a| tech_rdp_hijack tech_rdp_hijack –>|porta_a| tool_sightgrab tool_sightgrab –>|richiede| tech_tunneling tech_tunneling –>|facilita| tech_exfil

Flusso di Attacco

Narrazione di Attacco & Comandi: Un avversario, imitando l’attore UNC1549, mira a stabilire la persistenza su una workstation compromessa. Sceglie di nascondere il proprio payload creando una voce di registro sotto una chiave che sembra appartenere a un legittimo processo di aggiornamento di OneDrive (OneDriveCoUpdate). Per evadere un rilevamento di semplice riga di comando, avvolge la propria esecuzione in un blocco di script PowerShell che contiene la stringa FileCoAuth.exe, simulando un comando mal offuscato che corrisponde alla firma della regola di rilevamento.

Script di Test di Regressione:

# Script di Simulazione: Persistenza e Offuscazione UNC1549
# Questo script imita il percorso specifico del registro e i pattern di stringa PowerShell definiti nella regola.

$registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$regName = "OneDriveCoUpdate"
$payload = "powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command "$cmd = 'FileCoAuth.exe'; Start-Process $cmd""

Write-Host "[+] Tentativo di creazione della chiave di esecuzione del registro malevola..."
New-ItemProperty -Path $registryPath -Name $regName -Value $payload -PropertyType String -Force

Write-Host "[+] Esecuzione del comando PowerShell offuscato per attivare il rilevamento..."
# L'inclusione di 'FileCoAuth.exe' è necessaria per attivare la parte 'selection_obfuscation' della regola
powershell.exe -Command "& { $encoded = 'FileCoAuth.exe'; Write-Host 'Esecuzione' $encoded }"

Comandi di Pulizia:

# Script di Pulizia
$registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$regName = "OneDriveCoUpdate"

Write-Host "[-] Rimozione della voce di registro malevola..."
Remove-ItemProperty -Path $registryPath -Name $regName -ErrorAction SilentlyContinue
Write-Host "[+] Pulizia completata."

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis