Kelompok peretas yang didukung pemerintah Iran yang dikenal sebagai APT 33 telah aktif selama lebih dari 10 tahunmelakukan operasi spionase agresif terhadap berbagai macam korban dari sektor publik dan swasta di seluruh dunia, termasuk target infrastruktur penting. Dan sementara kelompok tersebut khususnya dikenal untuk serangan strategis namun secara teknis sederhana seperti “password spraying”, perusahaan ini juga mencoba mengembangkan alat peretasan yang lebih canggih, termasuk malware yang berpotensi merusak. dirancang untuk mengganggu sistem kontrol industri. Sekarang, temuan dari Microsoft yang dirilis pada hari Rabu menunjukkan bahwa kelompok tersebut terus mengembangkan tekniknya dengan pintu belakang multitahap baru.
Microsoft Threat Intelligence mengatakan bahwa kelompok yang disebut Peach Sandstorm tersebut telah mengembangkan malware khusus yang dapat digunakan oleh penyerang untuk membuat akses jarak jauh ke jaringan korban. Backdoor tersebut, yang diberi nama “Tickler” oleh Microsoft, untuk beberapa alasanmenginfeksi target setelah kelompok peretas memperoleh akses awal melalui password spraying atau rekayasa sosial. Dimulai pada bulan April dan baru-baru ini pada bulan Juli, para peneliti mengamati Peach Sandstorm menyebarkan backdoor terhadap korban di berbagai sektor termasuk satelit, peralatan komunikasi, serta minyak dan gas. Microsoft juga mengatakan bahwa kelompok tersebut telah menggunakan malware untuk menargetkan entitas pemerintah federal dan negara bagian di Amerika Serikat dan Uni Emirat Arab.
“Malware Tickler tidak selalu merupakan peningkatan besar dalam taktik, teknik, dan prosedur bagi pelaku ancaman ini, tetapi malware ini menunjukkan fokus pengembangan yang jelas dan aktif dalam mengambil tindakan terhadap sasaran,” ungkap Sherrod DeGrippo, direktur intelijen ancaman Microsoft, kepada WIRED dalam sebuah pernyataan.
Para peneliti mengamati Peach Sandstorm menyebarkan Tickler dan kemudian memanipulasi infrastruktur cloud Azure milik korban dengan menggunakan langganan Azure milik peretas untuk memperoleh kendali penuh atas sistem target. Microsoft mengatakan bahwa mereka telah memberi tahu pelanggan yang terkena dampak dari penargetan tersebut.
Kelompok peretas tersebut juga melanjutkan serangan penyemprotan kata sandi berteknologi rendah, menurut Microsoft, di mana para peretas mencoba mengakses banyak akun target dengan menebak kata sandi yang bocor atau umum hingga salah satu dari mereka mengizinkannya masuk. Peach Sandstorm telah menggunakan teknik ini untuk mendapatkan akses ke sistem target baik untuk menginfeksinya dengan pintu belakang Tickler maupun untuk jenis operasi spionase lainnya. Sejak Februari 2023, para peneliti mengatakan mereka telah diamati Para peretas “melakukan aktivitas penyemprotan kata sandi terhadap ribuan organisasi.” Dan pada bulan April dan Mei 2024, Microsoft mengamati Peach Sandstorm menggunakan penyemprotan kata sandi untuk menargetkan organisasi-organisasi Amerika Serikat dan Australia yang bergerak di sektor antariksa, pertahanan, pemerintahan, dan pendidikan.
“Peach Sandstorm juga terus melakukan serangan password spray terhadap sektor pendidikan untuk pengadaan infrastruktur dan terhadap sektor satelit, pemerintahan, dan pertahanan sebagai target utama pengumpulan intelijen,” kata Microsoft menulis.
Para peneliti mengatakan bahwa, selain aktivitas ini, kelompok tersebut telah melanjutkan operasi rekayasa sosialnya di jejaring sosial profesional milik Microsoft, LinkedIn, yang menurut mereka sudah ada sejak setidaknya November 2021 dan terus berlanjut hingga pertengahan 2024. Microsoft mengamati kelompok tersebut membuat profil LinkedIn yang mengaku sebagai mahasiswa, pengembang perangkat lunak, dan manajer akuisisi bakat yang konon berkantor pusat di AS dan Eropa Barat.
“Peach Sandstorm terutama digunakan [these accounts] untuk melakukan pengumpulan intelijen dan kemungkinan rekayasa sosial terhadap pendidikan tinggi, sektor satelit, dan industri terkait,” tulis Microsoft. “Akun LinkedIn yang teridentifikasi kemudian dihapus.”
DeGrippo dari Microsoft menunjukkan bahwa meskipun kampanye baru ini patut diperhatikan, Peach Sandstorm telah menargetkan industri luar angkasa sebelumnya.
“Ini bukan pertama kalinya Peach Sandstorm menunjukkan minat dalam penargetan terkait satelit. Aktor ancaman ini telah [previously] organisasi yang dikejar di sektor satelit, pertahanan, dan farmasi di seluruh dunia,” kata DeGrippo dari Microsoft. “Pintu belakang ini adalah malware khusus dengan beberapa iterasi, ini menunjukkan fokus dan komitmen untuk memanfaatkan malware untuk tujuan tertentu.”
Peretas Iran telah produktif dan agresif di panggung internasional selama bertahun-tahun dan tidak menunjukkan tanda-tanda melambat. Awal bulan ini, muncul laporan bahwa peretas Iran yang berbeda Kelompok Iran telah menargetkan siklus pemilu AS 2024termasuk serangan terhadap kampanye Trump dan Harris.
Diperbarui pada 17:35 ET, 28 Agustus 2024: Menambahkan komentar dari direktur intelijen ancaman Microsoft.
