Das Unit 42-Team von Palo Alto Networks hat einen Bericht über Cyberspionage-Kampagnen einer iranischen APT-Gruppe veröffentlicht. Die Gruppe zielt laut Bericht auf Ziele in den USA, Israel, den Vereinigten Arabischen Emiraten und weiteren Ländern ab. Die Angriffe stehen im Zusammenhang mit dem Konflikt im Nahen Osten. Die Gruppe wird von Unit 42 als Screening Serpens bezeichnet. Bekannte Aliasse sind Smoke Sandstorm, Iranian Dream Job und UNC1549. Trotz gestörter Internetinfrastruktur und ausgefallener Kommandozentralen in der Region soll die Gruppe ein konstant hohes Operationstempo beibehalten haben.
Gefälschte Jobangebote als Angriffsmethode
Screening Serpens setzt laut Bericht personalisierte ‚Recruitment Lures‘ ein. Die Angreifer geben sich als bekannte Marken und Jobplattformen aus. Zielgruppe sind vor allem Softwareentwickler, die durch gefälschte Stellenangebote zur Auslösung der Infektionskette verleitet werden sollen. Unit 42 hat eine bisher unbekannte Taktik namens ‚AppDomain Hijacking‘ entdeckt. Dabei wird die Initialisierungsphase von .NET-Anwendungen manipuliert. Dies soll es ermöglichen, Sicherheits-Telemetrie zu umgehen und Schadcode auszuführen, bevor Endpoint-Lösungen vollständig geladen sind. Die Methode soll dauerhaften Systemzugang und Kontrolle über Datenexfiltration ermöglichen.
Statement zur Sicherheitsstrategie
Elad Koren, Vice President Product Management bei Palo Alto Networks, sagt: „Da APT-Gruppen wie Screening Serpens ihre Methoden kontinuierlich weiterentwickeln und zunehmend fortschrittliche KI-Technologien einsetzen, reichen klassische Endpoint-Security-Lösungen nicht mehr aus. Moderne Organisationen benötigen eine mehrschichtige, verhaltensbasierte Sicherheitsstrategie, die über einfache Dateisignaturen hinausgeht.“
