A metà marzo 2022, almeno tre diversi gruppi APT in tutto il mondo hanno lanciato campagne di spear-phishing utilizzando il conflitto militare in Ucraina come esca per diffondere malware e rubare informazioni riservate.
Le campagne guidate dai gruppi El Machete, Lyceum e SideWinder si rivolgono a vari settori, compresi i settori energetico, finanziario e governativo in Nicaragua, Venezuela, Israele, Arabia Saudita e Pakistan.
Gli aggressori usano esche sotto forma di documenti dall’aspetto ufficiale, articoli di notizie o persino annunci di lavoro, a seconda dell’obiettivo e della regione.
Secondo gli esperti di sicurezza di Check Point Research, molti documenti utilizzano macro dannose o pattern injection per prendere piede all’interno dei sistemi di organizzazioni specifiche, per poi lanciare attacchi dannosi e installare il Trojan Loki.Rat di accesso remoto open source.
Una delle campagne è organizzata dal gruppo iraniano APT Lyceum.
Gli hacker hanno utilizzato e-mail che mostravano i “crimini di guerra della Russia nei confronti dell’Ucraina”. Le e-mail installano effettivamente del malware scritto in .NET o in Golang sul sistema della vittima, che venivano utilizzati per distribuire backdoor da un server remoto.
Un altro esempio è SideWinder, che presumibilmente opera a sostegno degli interessi politici dell’India.
In questo caso, i criminali informatici hanno utilizzato un documento dannoso per sfruttare la vulnerabilità di Equation Editor in Microsoft Office (CVE-2017-11882) per distribuire ulteriormente malware e quindi rubare informazioni.
