Gli aggressori informatici pro-Hamas puntano il malware "Pierogi" contro diversi obiettivi nel Medio Oriente

Gli aggressori informatici pro-Hamas puntano il malware "Pierogi" contro diversi obiettivi nel Medio Oriente

Timestamp: 15 dicembre 2023 1:51
Nodo di origine: 3021137

Un gruppo di aggressori pro-Hamas noto come Gaza Cybergang sta utilizzando una nuova variante del malware backdoor Pierogi++ per lanciare attacchi contro obiettivi palestinesi e israeliani.

Secondo ricerca dei Sentinel Labs, la backdoor si basa sul linguaggio di programmazione C++ ed è stata utilizzata nelle campagne tra il 2022 e il 2023. Gli aggressori hanno utilizzato anche il Micropsia malware nelle recenti campagne di hacking in tutto il Medio Oriente.

“Le recenti attività delle cybergang di Gaza mostrano un costante attacco contro entità palestinesi, senza che siano stati osservati cambiamenti significativi nelle dinamiche dall’inizio della guerra tra Israele e Hamas”, ha scritto nel rapporto Aleksandar Milenkoski, ricercatore senior sulle minacce di Sentinel Labs.

Distribuzione del malware

Gli hacker hanno distribuito il malware Pierogi++ utilizzando file di archivio e documenti Office dannosi che trattavano argomenti palestinesi sia in inglese che in arabo. Questi contenevano artefatti di Windows come attività pianificate e applicazioni di utilità, che includevano macro piene di malware progettate per diffondere la backdoor Pierogi++.

Milenkoski dice a Dark Reading che la Gaza Cybergang ha utilizzato attacchi di phishing e interazioni basate sui social media per far circolare i file dannosi.

"Distribuito tramite un documento Office dannoso, Pierogi++ viene distribuito da una macro di Office quando l'utente apre il documento", spiega Milenkoski. “Nei casi in cui la backdoor viene diffusa tramite un file di archivio, in genere si camuffa come un documento a tema politico sugli affari palestinesi, inducendo l’utente ad eseguirlo tramite un’azione di doppio clic”.

Molti documenti utilizzavano temi politici per adescare le vittime e mettere in atto la backdoor di Pierogi++, come ad esempio: “La situazione dei rifugiati palestinesi in Siria” e “Il Ministero di Stato per gli affari del muro e degli insediamenti istituito dal governo palestinese”.

Il Pierogi originale

Questo nuovo ceppo di malware è una versione aggiornata della backdoor Pierogi, sviluppata dai ricercatori di Cybereason identificato quasi cinque anni fa.

Questi ricercatori hanno descritto la backdoor come se permettesse agli “aggressori di spiare le vittime prese di mira” utilizzando ingegneria sociale e documenti falsificati, spesso basati su argomenti politici legati al governo palestinese, all’Egitto, a Hezbollah e all’Iran.

La differenza principale tra la backdoor originale Pierogi e la variante più recente è che la prima utilizza i linguaggi di programmazione Delphi e Pascal, mentre la seconda utilizza C++.

Le versioni precedenti di questa backdoor utilizzavano anche i comandi backdoor ucraini "vydalyty", "Zavantazhyty" e "Ekspertyza". Pierogi++ utilizza le stringhe inglesi 'download' e 'screen'.

L'uso dell'ucraino nelle versioni precedenti di Pierogi potrebbe aver suggerito un coinvolgimento esterno nella creazione e distribuzione della backdoor, ma Sentinel Labs non crede che questo sia il caso di Pierogi++.

Sentinel Labs ha osservato che entrambe le varianti presentano somiglianze nella codifica e nella funzionalità nonostante alcune differenze. Questi includono documenti falsificati identici, tattiche di ricognizione e stringhe di malware. Ad esempio, gli hacker possono utilizzare entrambe le backdoor per fare screenshot, scaricare file ed eseguire comandi.

I ricercatori hanno affermato che Pierogi++ è la prova che Gaza Cybergang sta sostenendo la “manutenzione e l’innovazione” del suo malware nel tentativo di “migliorare le sue capacità ed eludere il rilevamento in base alle caratteristiche note del malware”.

Nessuna nuova attività da ottobre

Sebbene Gaza Cybergang abbia preso di mira vittime palestinesi e israeliane prevalentemente in campagne di “raccolta di informazioni e spionaggio” dal 2012, il gruppo non ha aumentato il volume di attività di base dall’inizio del conflitto di Gaza in ottobre. Milenkoski afferma che negli ultimi anni il gruppo ha costantemente preso di mira “principalmente entità e individui israeliani e palestinesi”.

La banda comprende diversi “sottogruppi adiacenti” che hanno condiviso tecniche, processi e malware negli ultimi cinque anni, ha osservato Sentinel Labs.

“Questi includono Gaza Cybergang Group 1 (molerati), Gruppo Cybergang di Gaza 2 (Vipera arida, Desert Falcons, APT-C-23) e Gaza Cybergang Group 3 (il gruppo dietro Operazione Parlamento)", hanno detto i ricercatori.

Sebbene Gaza Cybergang sia attiva in Medio Oriente da più di un decennio, l’esatta ubicazione fisica dei suoi hacker è ancora sconosciuta. Tuttavia, sulla base delle precedenti informazioni di intelligence, Milenkoski ritiene che siano probabilmente dispersi in tutto il mondo di lingua araba in luoghi come Egitto, Palestina e Marocco.

Timestamp:

Di più da Lettura oscura