Detección del Puerta Trasera Saitama: APT34 Apunta Nuevo Malware al Ministerio de Relaciones Exteriores de Jordania

Hackers iraníes conocidos como APT34 han lanzado una campaña de spear-phishing distribuyendo un nuevo backdoor llamado Saitama. Esta vez, APT34 apunta a funcionarios del Ministerio de Relaciones Exteriores de Jordania. APT34 está asociado con otros apodos, como OilRig, Cobalt Gypsy IRN2 y Helix Kitten, y ha estado activo desde al menos 2014, atacando principalmente a entidades en finanzas y gobierno, así como a empresas y organizaciones en los sectores de telecomunicaciones, energía y química.

Detectar Backdoor Saitama

La regla a continuación, proporcionada por un atento desarrollador del Programa de Recompensas de Amenazas Sohan G, permite una rápida detección de la actividad maliciosa de APT34 dentro de su entorno:

Posible actividad reciente de APT34 apuntando al Gobierno de Jordania utilizando un nuevo backdoor Saitama

La detección está disponible para las 23 plataformas SIEM, EDR y XDR, alineadas con el último marco MITRE ATT&CK® v.10, abordando la táctica de Desarrollo de Recursos con la técnica principal Obtener Capacidades (T1588/T1588.001).

¿Está buscando soluciones rentables pero eficaces para aumentar las capacidades de detección de ransomware de las plataformas de seguridad existentes en su organización? Únase al Programa de Recompensas de Amenazas y obtenga acceso al único Mercado de Detección de Amenazas donde los investigadores pueden monetizar su contenido.

Ver Detecciones Unirse a Recompensas de Amenazas

Detalles del Backdoor Saitama

The MalwarebytesEl equipo de investigación informa sobre un nuevo backdoor, probablemente operado por APT34, dado un número de indicadores y similitudes con actividades previas de este notorio APT. Actor de amenazas iraní distribuye la nueva cepa de malware llamada Saitama a través de una campaña de spear-phishing dirigida a funcionarios del gobierno jordano. A finales de abril, los analistas advirtieron sobre un correo electrónico malicioso recibido por un diplomático jordano. Los adversarios, imitando a un representante legítimo del Gobierno de Jordania, enviaron un correo electrónico con afirmaciones falsas sobre una confirmación requerida con un archivo malicioso adjunto.

El documento malicioso era un archivo Excel con macros. Al abrir el archivo, se insta a la víctima a habilitar una macro, que inicia procesos como la creación de un objeto TaskService y el envío de una notificación de cada paso de ejecución de la macro al servidor a través del protocolo DNS, soltando la carga maliciosa «update.exe» y haciéndola persistente.

La carga utilizada en este ataque de spear-phishing es un binario Saitama escrito en .NET que abusa del protocolo DNS para las comunicaciones de comando y control (C2). Para ocultar su tráfico, los operadores del backdoor también utilizan técnicas tales como compresión y establecimiento de largos tiempos de sueño aleatorios.

Regístrese en Mercado de Detección de Amenazas para potenciar sus capacidades de detección y respuesta a amenazas con la experiencia colectiva de la comunidad mundial de ciberseguridad.