Conflicto en Irán Impulsa Aumento de Actividad de Espionaje contra Objetivos del Medio Oriente

Ruslan Mikhalov Jefe de Investigación de Amenazas en SOC Prime

Seguir

Conflicto en Irán Impulsa Aumento de Actividad de Espionaje contra Objetivos del Medio Oriente

Detection stack

AIDR
Alert
ETL
Query

Informe de Amenazas
Flujo de Ataque
Detecciones
Simulaciones

Resumen

Proofpoint informó un aumento en la actividad de espionaje y phishing vinculadas a actores de amenazas alineados con el estado iraní, chino, pakistaní, bielorruso y otros, tras los ataques de febrero de 2026 en Irán. Los adversarios utilizaron señuelos con temas de conflicto para atacar ministerios gubernamentales, organizaciones diplomáticas y think tanks en todo Oriente Medio y Estados Unidos. Estas operaciones se basaron en phishing de credenciales, archivos LNK maliciosos, carga descarregada de DLL y cargas útiles de Cobalt Strike entregadas a través de cuentas de correo electrónico comprometidas e infraestructura alojada en la nube. Los esfuerzos de detección deben priorizar los accesos directos a Office maliciosos, páginas de inicio de sesión falsas estilo OneDrive y el uso sospechoso de cargadores de malware conocidos.

Investigación

Proofpoint rastreó seis campañas separadas — UNK_InnerAmbush, TA402, UNK_RobotDreams, UNK_NightOwl, TA473, y TA453 — que utilizaron compromiso de correo electrónico, archivos archivados armados y enlaces maliciosos para entregar cargadores que finalmente lanzaron Cobalt Strike. Los investigadores catalogaron indicadores que incluyen direcciones de correo electrónico, dominios, URLs, nombres de archivos y hashes de archivos. Cuando fue posible, el informe también mapeó la infraestructura observada a informes públicos documentados previamente.

Mitigación

Las organizaciones deben requerir MFA para plataformas de correo electrónico y en la nube, bloquear dominios y URLs maliciosos conocidos, y monitorear la ejecución de LNK y la actividad inesperada de carga de DLL. Los controles de seguridad de correo electrónico deben inspeccionar los archivos adjuntos para la entrega basada en LNK y archivos archivados, mientras que la investigación de amenazas debe enfatizar el comportamiento del beacon de Cobalt Strike y la ejecución inusual de PowerShell.

Respuesta

Si se identifica un LNK sospechoso, un archivo archivado malicioso o un beacon de Cobalt Strike, aísle el host, recolecte evidencia volátil y comience la respuesta al incidente inmediatamente. Bloquee los dominios de comando y control relacionados y las direcciones IP, restablezca las cuentas comprometidas y realice una investigación forense completa para identificar cualquier mecanismo de persistencia.

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions Section classDef action fill:#99ccff classDef artifact fill:#ffcc99 classDef process fill:#ffeb99 classDef malware fill:#ff9999 classDef service fill:#ccffcc classDef credential fill:#dddddd %% Nodes – Actions (Techniques) action_phishing_spear["Action – T1566.001 Phishing: Spearphishing Attachment Description: Send emails with malicious ZIP or LNK attachments that execute code when opened. Confidence: High"] class action_phishing_spear action action_execution_ps["Action – T1059.001 PowerShell Description: Use PowerShell to download and execute additional payloads. Confidence: High"] class action_execution_ps action action_defense_proxy["Action – T1218 System Binary Proxy Execution Description: Load malicious DLL via signed binary (nvdaHelperRemoteLoader.exe). Confidence: High"] class action_defense_proxy action action_c2_web["Action – T1102.002 Web Service: Bidirectional Communication Description: Communicate with C2 hosts using web services such as Azure Front Door and OneDrive. Confidence: High"] class action_c2_web action action_persistence_account["Action – T1098 Account Manipulation & T1078 Valid Accounts Description: Use compromised email accounts to maintain foothold and send further phishing. Confidence: High"] class action_persistence_account action action_phishing_additional["Action – T1566 Phishing (Additional) Description: Host fake OWA/OneDrive credential pages to harvest credentials. Confidence: High"] class action_phishing_additional action %% Nodes – Artifacts artifact_zip["Artifact – Malicious ZIP attachment Content: LNK and PDF files with embedded payloads"] class artifact_zip artifact artifact_lnk["Artifact – LNK file (nvdaHelperRemoteLoader.exe)"] class artifact_lnk artifact artifact_ps_script["Artifact – PowerShell script used for download"] class artifact_ps_script artifact artifact_dll["Artifact – Malicious DLL (nvdaHelperRemote.dll)"] class artifact_dll malware %% Nodes – Processes / Tools process_loader["Process – nvdaHelperRemoteLoader.exe (signed binary)"] class process_loader process process_powershell["Process – PowerShell.exe executing download script"] class process_powershell process %% Nodes – Command & Control Services service_c2_almer["Service – support.almersalstore.com (C2 domain)"] class service_c2_almer service service_c2_azure["Service – Azure Front Door host"] class service_c2_azure service service_c2_onedrive["Service – OneDrive file link (C2)"] class service_c2_onedrive service %% Nodes – Credentials / Accounts credential_email["Credential

graph TB %% Class Definitions Section classDef action fill:#99ccff classDef artifact fill:#ffcc99 classDef process fill:#ffeb99 classDef malware fill:#ff9999 classDef service fill:#ccffcc classDef credential fill:#dddddd %% Nodes – Actions (Techniques) action_phishing_spear[«Acción – T1566.001 Phishing: Adjunto de Spearphishing Descripción: Enviar correos electrónicos con archivos adjuntos ZIP o LNK maliciosos que ejecutan código al abrirse. Confianza: Alta»] class action_phishing_spear action action_execution_ps[«Acción – T1059.001 PowerShell Descripción: Usar PowerShell para descargar y ejecutar cargas útiles adicionales. Confianza: Alta»] class action_execution_ps action action_defense_proxy[«Acción – T1218 Ejecución de Proxy de Binario del Sistema Descripción: Cargar DLL malicioso a través de binario firmado (nvdaHelperRemoteLoader.exe). Confianza: Alta»] class action_defense_proxy action action_c2_web[«Acción – T1102.002 Servicio Web: Comunicación Bidireccional Descripción: Comunicarse con hosts de C2 usando servicios web como Azure Front Door y OneDrive. Confianza: Alta»] class action_c2_web action action_persistence_account[«Acción – T1098 Manipulación de Cuenta & T1078 Cuentas Válidas Descripción: Usar cuentas de correo electrónico comprometidas para mantener la conexión y enviar más phishing. Confianza: Alta»] class action_persistence_account action action_phishing_additional[«Acción – T1566 Phishing (Adicional) Descripción: Hospedar páginas de credenciales falsas de OWA/OneDrive para recolectar credenciales. Confianza: Alta»] class action_phishing_additional action %% Nodes – Artifacts artifact_zip[«Artefacto – Adjunto ZIP Malicioso Contenido: Archivos LNK y PDF con cargas útiles incrustadas»] class artifact_zip artifact artifact_lnk[«Artefacto – Archivo LNK (nvdaHelperRemoteLoader.exe)»] class artifact_lnk artifact artifact_ps_script[«Artefacto – Script de PowerShell utilizado para descargar»] class artifact_ps_script artifact artifact_dll[«Artefacto – DLL Malicioso (nvdaHelperRemote.dll)»] class artifact_dll malware %% Nodes – Processes / Tools process_loader[«Proceso – nvdaHelperRemoteLoader.exe (binario firmado)»] class process_loader process process_powershell[«Proceso – PowerShell.exe ejecutando script de descarga»] class process_powershell process %% Nodes – Command & Control Services service_c2_almer[«Servicio – support.almersalstore.com (dominio de C2)»] class service_c2_almer service service_c2_azure[«Servicio – Host de Azure Front Door»] class service_c2_azure service service_c2_onedrive[«Servicio – Enlace de archivo de OneDrive (C2)»] class service_c2_onedrive service %% Nodes – Credentials / Accounts credential_email[«Credencial – Cuenta de correo electrónico gubernamental comprometida»] class credential_email credential %% Connections – Attack Flow action_phishing_spear –>|entrega| artifact_zip artifact_zip –>|contiene| artifact_lnk artifact_lnk –>|ejecuta| process_loader process_loader –>|usa| action_defense_proxy action_defense_proxy –>|carga| artifact_dll artifact_dll –>|habilita| action_execution_ps action_execution_ps –>|ejecuta| process_powershell process_powershell –>|descarga carga útil vía| artifact_ps_script process_powershell –>|se comunica con| service_c2_almer process_powershell –>|se comunica con| service_c2_azure process_powershell –>|se comunica con| service_c2_onedrive service_c2_almer –>|soporta| action_persistence_account service_c2_azure –>|soporta| action_persistence_account service_c2_onedrive –>|soporta| action_persistence_account action_persistence_account –>|usa| credential_email credential_email –>|envía| action_phishing_additional action_phishing_additional –>|aloja| artifact_zip

Flujo de Ataque

Narrativa del Ataque y Comandos:
Un adversario ha obtenido una copia comprometida de nvdaHelperRemoteLoader.exe incrustada con un DLL malicioso (evil.dll). Colocan el binario en C:Temp y crean un acceso directo que apunta a él, activando la ejecución a través de una tarea programada (T1546.009). Simultáneamente, abusan del binario firmado VLCMediaPlayer.exe (T1218) para lanzar una carga útil de PowerShell que realiza huella del host. Ambos binarios se lanzan directamente para asegurar que el evento de creación de procesos contenga exactamente el nombre ejecutable requerido por la regla.

Script de Prueba de Regresión:

# -------------------------------------------------
# Script de simulación – activa ambas detecciones
# -------------------------------------------------
# Establecer carpeta de ejecución
$binPath = "C:Temp"

# 1. Implementar nvdaHelperRemoteLoader.exe malicioso (copia de marcador de posición)
$nvdaSrc = "C:ToolsMocksnvdaHelperRemoteLoader.exe"   # <-- reemplazar con muestra real
Copy-Item -Path $nvdaSrc -Destination "$binPathnvdaHelperRemoteLoader.exe" -Force

# 2. Implementar VLCMediaPlayer.exe malicioso (copia de marcador de posición)
$vlcSrc = "C:ToolsMocksVLCMediaPlayer.exe"           # <-- reemplazar con muestra real
Copy-Item -Path $vlcSrc -Destination "$binPathVLCMediaPlayer.exe" -Force

# 3. Ejecutar nvdaHelperRemoteLoader.exe (simulando carga lateral de DLL)
Write-Host "Lanzando nvdaHelperRemoteLoader.exe ..."
Start-Process -FilePath "$binPathnvdaHelperRemoteLoader.exe" -WindowStyle Hidden

# 4. Ejecutar VLCMediaPlayer.exe para ejecutar una línea de comandos de huella digital de PowerShell
$psCmd = "Get-WmiObject Win32_OperatingSystem | Select-Object Caption,Version"
Write-Host "Lanzando VLCMediaPlayer.exe con carga útil de PowerShell ..."
Start-Process -FilePath "$binPathVLCMediaPlayer.exe" `
    -ArgumentList "-I dummy --dummy-arg `"powershell -Command `$psCmd`" `" `
    -WindowStyle Hidden

Write-Host "Simulación completa. Verifique las alertas en su SIEM."

Comandos de Limpieza:

# Detener cualquier proceso de prueba persistente
Get-Process -Name "nvdaHelperRemoteLoader","VLCMediaPlayer" -ErrorAction SilentlyContinue |
    Stop-Process -Force

# Eliminar los binarios de prueba
Remove-Item -Path "C:TempnvdaHelperRemoteLoader.exe","C:TempVLCMediaPlayer.exe" -Force -ErrorAction SilentlyContinue

Write-Host "Limpieza terminada."

Únete a la plataforma Detection as Code de SOC Prime para mejorar la visibilidad de las amenazas más relevantes para tu negocio. Para ayudarte a comenzar y obtener valor inmediato, programa una reunión ahora con los expertos de SOC Prime.

Únete gratis