Недавно иранская хакерская группа APT34, также известная как OilRig, активизировала свои атаки, нацеленные на государственные и критически важные инфраструктуры стран Персидского залива, включая Объединенные Арабские Эмираты. Как сообщают исследователи Trend Micro, в рамках новой кампании хакеры начали использовать уязвимость Windows CVE-2024-30088 для повышения привилегий на скомпрометированных устройствах, что позволяет им получить полный контроль над системами.
Одной из ключевых целей атак стало получение доступа к серверам Microsoft Exchange, что дало хакерам возможность красть учетные данные и скрытно пересылать их через легитимный трафик электронной почты. Эксперты отмечают, что киберпреступники применяют новый бэкдор под названием StealHook, который помогает им перехватывать и передавать пароли с использованием инфраструктуры правительственных серверов.
«Злоумышленники используют украденные учетные записи для передачи данных через государственные почтовые серверы, что затрудняет обнаружение атаки», — поясняют аналитики Trend Micro.
Атака начинается с эксплуатации уязвимого веб-сервера, что позволяет хакерам загружать веб-оболочку и выполнять удаленные команды PowerShell. После успешного развертывания веб-оболочки, группа OilRig использует её для дальнейшего распространения вредоносных инструментов, включая эксплойт для Windows CVE-2024-30088. Эта уязвимость, которая была исправлена Microsoft в июне 2024 года, позволяет злоумышленникам повысить свои привилегии до уровня SYSTEM, предоставляя им полный доступ к зараженным системам.
Особую тревогу вызывает использование APT34 серверов Microsoft Exchange. Подобные атаки уже имели место год назад, когда было зафиксировано использование бэкдора PowerExchange для выполнения команд через электронную почту. Теперь же злоумышленники усовершенствовали свою тактику, внедряя StealHook, что позволяет им скрытно передавать украденные данные.
Важным аспектом этой кампании стало использование компонента для перехвата паролей во время их смены, что дает хакерам возможность получить доступ к новым учетным данным.
«Главная цель на данном этапе — захватить пароли и передать их атакующим через вложения в письмах», — подчеркивают в Trend Micro.
Эти атаки могут оказать серьёзное влияние на ключевые отрасли, особенно в энергетическом секторе, где инфраструктурные сбои могут затронуть многие организации и людей. Кроме того, связь OilRig с другой иранской хакерской группировкой FOX Kitten, известной своими атаками с использованием программ-вымогателей, вызывает опасения по поводу возможного расширения арсенала хакеров и добавления в него новых угроз, таких как вымогательские атаки.
Microsoft уже признала наличие эксплойта для уязвимости CVE-2024-30088, однако пока не добавила её в список активно эксплуатируемых уязвимостей. Тем временем, аналитики продолжают отслеживать активность хакеров, так как последствия этих атак могут затронуть большое количество компаний и людей на Ближнем Востоке.