La operación se remonta al menos a diciembre de 2021

Los atacantes suplantaron cuentas de correo electrónico de contactos de confianza en el formato de [email protected]

Los hallazgos sugieren que la operación está conectada con el grupo APT Phosphorus, atribuido a Irán

Check Point Research (CPR), la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), un proveedor líder de soluciones de ciberseguridad a nivel mundial, ha descubierto una reciente operación de spear-phishing con base en Irán dirigida contra antiguos funcionarios israelíes, personal militar de alto rango, becarios de instituciones de investigación, grupos de expertos y ciudadanos israelíes. Los ataques utilizaron una infraestructura de phishing personalizada, así como una amplia gama de cuentas de correo electrónico falsas para hacerse pasar por sujetos de confianza.

Para establecer un mayor nivel de confianza con los nuevos objetivos, los ciberdelincuentes se apoderaron de las bandejas de entrada de algunas víctimas y secuestraron las conversaciones existentes para iniciar los ataques a partir de una conversación de correo electrónico previas entre un objetivo y una parte de confianza y así continuarla suplantándola. Para facilitar su operación de spear-phishing, los atacantes utilizaron un acortador de URL falso, Litby[.]us, y así disfrazar los enlaces de phishing, y también recurrieron a un servicio legítimo de verificación de identidad, validation.com, para el robo de documentos de identidad.

Los objetivos de alto perfil incluyen:

• Tzipi Livni – ex ministra de Asuntos Exteriores y viceprimera ministra de Israel.
• Ex general de división que sirvió en un puesto altamente sensible en las FDI.
• Presidente de uno de los principales grupos de expertos en seguridad de Israel.
• Ex embajador de Estados Unidos en Israel.
• Ex presidente de un conocido centro de investigación sobre Oriente Medio.
• Alto ejecutivo de la industria de defensa israelí.

Atribución

Check Point Research cree que los ciberdelincuentes detrás de la operación son una entidad respaldada por Irán. Las pruebas apuntan a una posible conexión con el grupo APT Phosphorus, atribuido a Irán. El grupo tiene un largo historial de realizar operaciones cibernéticas de alto perfil, alineadas con los intereses del régimen iraní, así como de atacar a funcionarios israelíes.