APT42: AI και TAMECAT απειλούν κυβερνητικούς στόχους

Η APT42, μια ομάδα κατασκοπείας στον κυβερνοχώρο που συνδέεται με το Ιράν, έχει επεκτείνει τις δραστηριότητές της στο phishing με έρευνα υποβοηθούμενη από AI, πειστικά πρόσωπα και μια πιο ανθεκτική έκδοση του κακόβουλου λογισμικού TAMECAT.

Η εκστρατεία έχει στοχεύσει ανώτερους κυβερνητικούς και αμυντικούς αξιωματούχους, ειδικούς σε θέματα πολιτικής και, σε ορισμένες περιπτώσεις, μέλη της οικογένειας που συνδέονται με άτομα υψηλής αξίας.

Αντί να βασίζεται σε μεγάλους όγκους ύποπτων email, η ομάδα οικοδομεί εμπιστοσύνη μέσω ρεαλιστικών προσκλήσεων, εκτεταμένων συνομιλιών και μηνυμάτων που αποστέλλονται μέσω προσωπικού email, εταιρικών λογαριασμών και WhatsApp.

Αυτή η προσέγγιση καθιστά τη δραστηριότητα της ομάδας phishing του ιρανικού APT42 πιο δύσκολη να εντοπιστεί πριν ένα θύμα κάνει κλικ σε έναν σύνδεσμο ή ανοίξει ένα έγγραφο.

Οι αναλυτές στο DarkAtlas προσδιόρισαν την πιο πρόσφατη δραστηριότητα ως συνδυασμό phishing που βασίζεται σε σχέσεις, κλοπής διαπιστευτηρίων και παράδοσης κακόβουλου λογισμικού.

Το DarkAtlas ανέφερε σε μια αναφορά που μοιράστηκε με το Cyber Security News (CSN) ότι η ομάδα χρησιμοποιεί γενετική τεχνητή νοημοσύνη για να ερευνήσει στόχους, να δημιουργήσει πιστευτές ταυτότητες, να μεταφράσει μηνύματα, να αναπτύξει κώδικα και να βελτιώσει τα κοινωνικά-μηχανικά της θέλγητρα.

Το αποτέλεσμα είναι μια καμπάνια που μπορεί να κλέψει τόσο διαπιστευτήρια όσο και μακροπρόθεσμη πρόσβαση στη συσκευή του θύματος. Η πιο πρόσφατη δραστηριότητα TAMECAT της ομάδας δείχνει ότι οι εισβολείς δεν εξαρτώνται από μια μέθοδο παράδοσης, έναν πάροχο φιλοξενίας ή ένα κανάλι εντολών για να διατηρήσουν μια λειτουργία ζωντανή.

Το APT42 χρησιμοποιεί ηλεκτρονικό ψάρεμα υποβοηθούμενο από AI και κακόβουλο λογισμικό TAMECAT

Η καμπάνια SpearSpecter χρησιμοποίησε επαγγελματικά θέματα όπως προσκλήσεις συνεδρίων, συνεντεύξεις και έγγραφα συσκέψεων για την προσέγγιση στόχων.

Οι χειριστές φέρεται να ξόδεψαν μέρες ή εβδομάδες δημιουργώντας σχέσεις πριν στείλουν έναν κακόβουλο σύνδεσμο, καθιστώντας το ψάρεμα με δόρυ τεχνητής νοημοσύνης πιο δύσκολο να εντοπιστεί μόνο μέσω κακής γραμματικής ή γενικής διατύπωσης.

Σε μια διαδρομή κακόβουλου λογισμικού, τα θύματα κατευθύνθηκαν σε μια σελίδα που ενεργοποίησε τον χειριστή αναζήτησης-ms των Windows και τους ζήτησε να ανοίξουν την Εξερεύνηση αρχείων.

Εάν ο χρήστης ενέκρινε την προτροπή, ο Explorer συνδέθηκε με ένα κοινόχρηστο στοιχείο WebDAV ελεγχόμενο από εισβολέα, όπου ένα αρχείο συντόμευσης μεταμφιεσμένο σε PDF περίμενε την εκτέλεση.

Στη συνέχεια, η συντόμευση ξεκίνησε τη γραμμή εντολών, κατέβασε ένα αρχείο δέσμης και χρησιμοποίησε το PowerShell για την ανάκτηση περαιτέρω στοιχείων.

Αυτή η αλυσίδα αντανακλά ευρύτερα την κατάχρηση παράδοσης Windows WebDAV που μπορεί να κάνει τα απομακρυσμένα αρχεία να φαίνονται λιγότερο ύποπτα στους χρήστες που πιστεύουν ότι ανοίγουν ένα κανονικό έγγραφο.

Το TAMECAT είναι κάτι περισσότερο από ένα απλό πρόγραμμα λήψης. Το κακόβουλο λογισμικό μπορεί να συλλέγει cookies και διαπιστευτήρια προγράμματος περιήγησης, να αναζητά αρχεία, να τραβήξει στιγμιότυπα οθόνης, να έχει πρόσβαση σε δεδομένα γραμματοκιβωτίου του Outlook, να εκτελεί εντολές, να συσκευάζει κλεμμένες πληροφορίες και να τις στέλνει μέσω πολλών καναλιών, συμπεριλαμβανομένων των HTTPS, Discord και Telegram.

Η δυνατότητα του προγράμματος περιήγησης-cookie δημιουργεί σοβαρό κίνδυνο ταυτότητας, επειδή η επαναφορά κωδικού πρόσβασης από μόνη της δεν μπορεί να αφαιρέσει την πρόσβαση ενός εισβολέα.

Οι οργανισμοί θα πρέπει να ανακαλούν ενεργές περιόδους σύνδεσης και να ανανεώνουν τα διακριτικά, να ελέγχουν τα διαπιστευτήρια που είναι αποθηκευμένα στο πρόγραμμα περιήγησης και να διερευνούν ύποπτες συνδέσεις μετά από μια ύποπτη μόλυνση.

Η ανίχνευση απαιτεί πλαίσιο

Η δραστηριότητα phishing του APT42 περιλαμβάνει επίσης σελίδες συλλογής διαπιστευτηρίων που μιμούνται υπηρεσίες εγγράφων cloud.

Σε μια επιχείρηση τον Μάρτιο του 2026, χρησιμοποιήθηκε πρώτα ένα καλοήθη PDF που φιλοξενείται από το OneDrive για την εδραίωση εμπιστοσύνης, ενώ ένας μεταγενέστερος σύνδεσμος ανακατεύθυνε τον στόχο σε μια ελεγχόμενη από τον εισβολέα σελίδα σύνδεσης, μια τακτική παρόμοια με τις πρόσφατες επιθέσεις phishing διαπιστευτηρίων OneDrive.

Οι ομάδες ασφαλείας θα πρέπει να ελέγχουν ολόκληρη τη συνομιλία αντί να αντιμετωπίζουν έναν νόμιμο πρώτο σύνδεσμο ως απόδειξη ότι ο αποστολέας είναι ασφαλής.

Μια ξαφνική μετάβαση από το προσωπικό email στο εταιρικό email ή στο WhatsApp, έναν αλλαγμένο προορισμό εγγράφου ή ένα αίτημα για να συνδεθείτε ξανά θα πρέπει να ενεργοποιήσει την επαλήθευση μέσω ενός ανεξάρτητου καναλιού.

Η παρακολούθηση τελικού σημείου θα πρέπει να επικεντρώνεται σε συνδεδεμένα συμβάντα: ένα πρόγραμμα περιήγησης που ανοίγει το search-ms, το rundll32.exe που χρησιμοποιεί το davclnt.dll για τη δημιουργία πρόσβασης στο WebDAV, ένα απομακρυσμένο αρχείο LNK που εκκινεί το cmd.exe και την ανάκτηση περιεχομένου curl ή PowerShell.

Αυτή η ακολουθία παρέχει μια ισχυρότερη προειδοποίηση από έναν τομέα, κατακερματισμό αρχείου ή συμβάν διαδικασίας που προβάλλονται μόνοι.

Οι χρήστες υψηλού κινδύνου θα πρέπει να χρησιμοποιούν MFA ανθεκτικό στο phishing, όπως κλειδιά ασφαλείας ή κωδικούς πρόσβασης FIDO2, ενώ οι οργανισμοί θα πρέπει να απενεργοποιούν τον έλεγχο ταυτότητας παλαιού τύπου όπου είναι δυνατόν.

Οι ομάδες θα πρέπει επίσης να παρακολουθούν ασυνήθιστους κανόνες εισερχομένων, αλλαγές προώθησης, νέα δικαιώματα OAuth, αλλαγές στη μέθοδο ανάκτησης και επαναχρησιμοποίηση διακριτικού περιόδου σύνδεσης μετά από ύποπτες επικοινωνίες.

Η καμπάνια δείχνει πώς η υπομονετική κοινωνική μηχανική και το προσαρμόσιμο κακόβουλο λογισμικό μπορούν να συνεργαστούν ενάντια σε στόχους των οποίων οι λογαριασμοί και οι συσκευές διαθέτουν ευαίσθητες πληροφορίες.

Οι υπερασπιστές πρέπει να συνδυάσουν το ιστορικό email, την τηλεμετρία τελικού σημείου, τα αρχεία καταγραφής ταυτότητας και την ευφυΐα υποδομής για να καθορίσουν εάν μια απόπειρα προσέγγισης έγινε συμβιβαστική.

Δείκτες συμβιβασμού (IoCs):

Σημείωμα: Οι διευθύνσεις IP και οι τομείς είναι σκόπιμα αλλοιωμένοι (π.χ. [.]) για την αποφυγή τυχαίας επίλυσης ή υπερσύνδεσης. Re-fang μόνο σε ελεγχόμενες πλατφόρμες πληροφοριών απειλών όπως το MISP, το VirusTotal ή το SIEM σας.