“Spear-Phishers” de Irán secuestran las conversaciones por correo electrónico

Investigadores de seguridad han descubierto una nueva e importante operación de spear-phishing respaldada por el Estado y dirigida a varios funcionarios israelíes y estadounidenses de alto rango.

Check Point rastreó la campaña hasta el grupo iraní Phosphorus APT.

Desde al menos diciembre de 2021, el objetivo era la ex ministra de Asuntos Exteriores y viceprimera ministra israelí, Tzipi Livni; un ex general de división de las Fuerzas de Defensa de Israel (IDF); y un ex embajador de Estados Unidos en Israel.

Otros objetivos son un alto ejecutivo de la industria de defensa israelí y el presidente de uno de los principales grupos de reflexión sobre seguridad del país, según el informe.

La metodología es bastante sencilla. El atacante compromete la bandeja de entrada de un contacto frecuente del objetivo y luego secuestra una conversación existente entre ambos. A continuación, abre una nueva dirección de correo electrónico suplantando al mismo contacto, con un formato parecido a joe.doe.corp[@]gmail.com.

El atacante intenta entonces continuar la conversación utilizando esta nueva dirección de correo electrónico, intercambiando múltiples mensajes. Check Point añadió que a veces se utilizan documentos reales como parte del intercambio para añadir legitimidad y relevancia a la estafa.

En un caso, Livni fue contactada por el “general de división retirado de las FDI” a través de su dirección de correo electrónico real y se le pidió repetidamente que hiciera clic en un enlace del mensaje y utilizara su contraseña para abrir el archivo vinculado. Cuando ella se reunió con él más tarde, él confirmó que nunca había enviado el correo electrónico.

“Hemos puesto al descubierto una infraestructura de phishing iraní dirigida a ejecutivos del sector público israelí y estadounidense, con el objetivo de robar su información personal, escanear sus pasaportes y robar el acceso a sus cuentas de correo”, explicó el director del grupo de inteligencia de amenazas de Check Point, Sergey Shykevich.

Ya en 2019, Microsoft afirmó haber logrado un “impacto significativo” en sus esfuerzos por desbaratar al grupo Phosphorous -también conocido como APT35 y Charming Kitten- después de que una orden judicial le permitiera tomar el control de 99 dominios de phishing utilizados por el grupo.

Las últimas revelaciones demuestran lo difícil que es detener a un adversario decidido y financiado por el Estado.