Serangan Phishing yang Disponsori Negara Menargetkan Pejabat Militer Israel

Sebuah kelompok ancaman persisten tingkat lanjut, yang memiliki hubungan dengan Iran, diyakini berada di balik kampanye phishing yang menargetkan pejabat tinggi pemerintah dan militer Israel, menurut ke laporan oleh Check Point Software.

Target kampanye termasuk kepemimpinan senior di industri pertahanan Israel, mantan Duta Besar AS untuk Israel dan mantan Wakil Perdana Menteri Israel.

Tujuan dari kampanye tersebut, kata para peneliti, adalah untuk mendapatkan informasi pribadi dari target.

Email Palsu dari Alamat Sah

Salah satu target, menurut Check Point, adalah Tzipi Livni, mantan menteri luar negeri Israel, menteri kehakiman dan wakil perdana menteri. Para peneliti percaya bahwa target itu dipilih karena daftar kontak berkaliber tinggi di buku alamatnya.

Belum lama ini dia menerima email dari, menurut para peneliti, "mantan Mayor Jenderal terkenal di IDF yang bertugas di posisi yang sangat sensitif." Alamat pengirim tidak dipalsukan – itu adalah domain yang sama dengan yang dia gunakan sebelumnya. Diterjemahkan dari bahasa Ibrani, pesan itu berbunyi:

Halo teman-teman terkasih, Silakan lihat artikel terlampir untuk meringkas tahun ini. ((*mata saja*)) Tentu saya tidak mau disebarluaskan, karena ini bukan versi final. Saya akan dengan senang hati menerima komentar dalam bentuk apa pun. Selamat beristirahat.

Pesan itu berisi tautan. Livni menunda mengeklik tautan tersebut, membuat beberapa email tindak lanjut.

Selamat pagi, saya belum mendengar kabar dari Anda. Beberapa teman mengirimi saya komentar. Komentar Anda juga sangat penting bagi saya. Aku tahu kamu sangat sibuk. Tetapi saya ingin meminta Anda meluangkan waktu dan membaca artikel itu. Minggu yang baik

Kegigihan pengirim dan kebingungan pesan meningkatkan kecurigaannya, menurut Check Point. Setelah Livni bertemu dengan mantan Mayor Jenderal, menjadi jelas bahwa email dikirim dari akun yang disusupi dan isi pesannya adalah bagian dari serangan phishing.

Itu adalah cerita yang sama untuk target lain dalam kampanye ini – email yang dicurigai dikirim dari kontak yang sah.

Apa yang sebenarnya terjadi

Metode serangannya tidak terlalu teknis. “Bagian paling canggih dari operasi ini adalah rekayasa sosial,” Sergey Shykevich, manajer kelompok intelijen ancaman di Check Point Research, mencatat. Dia mengatakan, kampanye itu adalah “rantai phishing yang sangat bertarget yang secara khusus dibuat untuk setiap target.” Email phishing yang dibuat secara pribadi adalah teknik yang disebut spear phishing.

Penyerang memulai serangan spear phishing mereka, pertama dengan merusak buku alamat email milik kontak target mereka. Kemudian, dengan menggunakan akun yang dibajak, mereka akan melanjutkan rantai email yang sudah ada antara kontak dan target. Pada waktunya, mereka akan mengarahkan percakapan ke arah menipu target untuk mengklik atau membuka tautan atau dokumen berbahaya.

“Beberapa email menyertakan tautan ke dokumen nyata yang relevan dengan target,” catat analis Check Point. Misalnya, "undangan ke konferensi atau penelitian, halaman phishing Yahoo, tautan untuk mengunggah pindaian dokumen."

“Tujuannya,” pada akhirnya, adalah “untuk mencuri informasi pribadi mereka, pemindaian paspor, dan mencuri akses ke akun email mereka.”

Siapa dan Mengapa

“Kami memiliki bukti kuat bahwa itu dimulai setidaknya dari Desember 2021,” tulis Shykevich, “tetapi kami berasumsi bahwa itu dimulai lebih awal.”

Dalam analisis mereka, para peneliti menemukan bukti yang mereka yakini menunjuk ke grup APT Fosfor yang terkait dengan Iran (alias Charming Kitten, Ajax Security, NewsBeef, APT35). Fosfor adalah salah satu dari Iran paling aktif APT, dengan “sejarah panjang melakukan operasi siber profil tinggi, selaras dengan kepentingan rezim Iran, serta menargetkan pejabat Israel.”

Iran dan Israel biasanya berselisih, dan serangan ini terjadi “di tengah meningkatnya ketegangan antara Israel dan Iran. Dengan pembunuhan pejabat Iran baru-baru ini (beberapa berafiliasi dengan Mossad Israel), dan upaya yang digagalkan untuk menculik warga Israel di seluruh dunia, kami menduga bahwa Fosfor akan melanjutkan upaya berkelanjutannya di masa depan.”