La scorsa settimana, i ricercatori hanno pubblicato dettagli sugli attacchi mirati alle telecomunicazioni del Medio Oriente effettuati da APT34 (alias OilRig e Helix Kitten), e strumenti aggiornati nell’arsenale di questo gruppo. Naturalmente, i partecipanti al Threat Bounty Program non sono rimasti indifferenti e hanno pubblicato un paio di regole per rilevare il RDAT Backdoor, ma di questo parleremo più avanti.
APT34 è attivo almeno dal 2014, il gruppo conduce attività di ricognizione in linea con gli interessi strategici del governo iraniano operando principalmente in Medio Oriente e prendendo di mira i settori finanziari, governativi, dell’energia, chimici, delle telecomunicazioni e altri settori industriali. Nel 2020, il gruppo ha condotto diverse campagne, cacciando organizzazioni governative negli Stati Uniti e modificando a questo scopo strumenti utilizzati in campagne precedenti.
RDAT Backdoor non è nemmeno uno strumento completamente nuovo, APT34 ha già utilizzato le prime versioni nel 2017 e 2018. La nuova versione del malware presenta un nuovo canale C2 basato su email utilizzato in combinazione con la steganografia per esfiltrare dati. Gli avversari possono usarlo per emettere comandi, leggere gli output e inviare i risultati al server C&C; è anche capace di scaricare e caricare file tramite un protocollo C&C selezionato.
Contenuto di rilevazione per individuare questa minaccia:
Il “RDAT “Backdoor di Oilrig (rilevamento Sysmon) by Ariel Millahuel – https://tdm.socprime.com/tdm/info/k6BRV4W38EJc/xcmAgHMBQAH5UgbBf-WN/?p=1
Una variante di OILRIG(RDAT Backdoor) by Emir Erdogan – https://tdm.socprime.com/tdm/info/at9qZwhXJDef/VfGCgHMBPeJ4_8xcKk9B/?p=1
Le regole hanno traduzioni per le seguenti piattaforme:
SIEM: Azure Sentinel, ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio
EDR: Carbon Black, Elastic Endpoint
MITRE ATT&CK:
Tattiche: Esecuzione, Movimento Laterale, Comando e Controllo.
Tecniche: Copia File Remota (T1105), PowerShell (T1086)
Pronto a provare SOC Prime TDM? Iscriviti gratuitamente. Oppure unisciti al Threat Bounty Program per creare il tuo contenuto e condividerlo con la comunità TDM.
