La cyber-gang Indra ha attaccato la rete ferrovia Iraniana.

Redazione RHC : 16 Agosto 2021 22:32

“Abbiamo attaccato i sistemi informatici delle Ferrovie e del Ministero delle Strade e dello Sviluppo Urbano”. Il messaggio lasciato dagli aggressori sulle macchine hackerate

Venerdì 9 luglio, l’infrastruttura ferroviaria iraniana è stata oggetto di un attacco informatico.

Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)

Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.

La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.

Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Secondo le notizie iraniane, gli hacker hanno visualizzato messaggi sui ritardi o le cancellazioni dei treni sui pannelli informativi nelle stazioni di tutto il paese e hanno invitato i passeggeri a chiamare un determinato numero di telefono per ulteriori informazioni.

Questo numero apparteneva all’ufficio del leader supremo del paese, l’ayatollah Ali Khamenei.

I social media iraniani hanno diffuso le foto di un monitor di uno dei computer hackerati, dove gli aggressori si sono assunti la responsabilità di entrambi gli attacchi consecutivi.

Check Point Research ha studiato questi attacchi e ha trovato molteplici prove del fatto che questi attacchi si basano fortemente sulla precedente conoscenza e ricognizione delle reti da parte dell’attaccante.

Gli attacchi all’Iran sono risultati tatticamente e tecnicamente simili alla precedente attività contro più società private in Siria, condotta almeno dal 2019. CPR è stato in grado di collegare questa attività a un gruppo di minacce che si identifica come gruppo di opposizione al regime, chiamato Indra.

Durante questi anni, gli aggressori hanno sviluppato e distribuito all’interno delle reti delle vittime almeno 3 diverse versioni di wiper soprannominato Meteor, Stardust e Comet.

L’esecuzione inizia con il push di un’attività pianificata dall’AD a tutte le macchine tramite criteri di gruppo. Il nome dell’attività è Microsoft\Windows\Power Efficiency Diagnostics\AnalyzeAlle imita l’ AnalyzeSystem, attività eseguita dallo strumento di report di Windows Power Efficiency Diagnostics. La successiva catena di file e archivi .bat è destinata a eseguire le seguenti operazioni:

• Filtra le macchine di destinazione : setup.bat prima controlla se il nome host della macchina è uno dei seguenti: PIS-APP, PIS-MOB, WSUSPROXY o PIS-DB. In tal caso, interrompe l’esecuzione ed elimina la cartella contenente lo script dannoso da questa macchina. PIS nei nomi degli host sta per Passenger Information System, che di solito è responsabile tra l’altro dell’aggiornamento delle schede della piattaforma con dati reali, quindi gli aggressori si sono assicurati che il loro messaggio al pubblico iraniano fosse visualizzato correttamente.
• Scarica i file dannosi sulla macchina: lo stesso file batch scarica un archivio cab denominato env.cab da un indirizzo remoto nella rete interna: \\railways.ir\sysvol\railways.ir\scripts\env.cab. L‘uso di nomi host e percorsi interni specifici indica che l’attaccante aveva una conoscenza preliminare dell’ambiente.
• Estrai ed esegui strumenti aggiuntivi: update.bat, che è stato estratto e avviato da setup.bat, utilizza la password hackemallper ed esegue le fasi successive: cache.bat, msrun.bate bcd.bat.
• Disconnettere la macchina da tutte le reti: lo script cache.bat disabilita tutte le schede di rete sulla macchina con il seguente comando:powershell -Command “Get-WmiObject -class Win32_NetworkAdapter | ForEach { If ($.NetEnabled) { $.Disable() } }” > NUL
• Esegui controlli Anti-AV: lo stesso cache.bat script verifica anche se Kaspersky Antivirus è installato sulla macchina e, in caso contrario, aggiunge tutti i file e le cartelle relativi all’attacco all’elenco di esclusione di Windows Defender e procede con l’esecuzione.
• Corrupt the boot: bcd.bat viene utilizzato per danneggiare il processo di avvio. Innanzitutto, tenta di sovrascrivere il bootfile con un nuovo contenuto e quindi elimina i diversi identificatori di avvio utilizzando lo strumento BCDEdit integrato di Windows:for /F “tokens=2” %%j in (‘%comspec% /c “bcdedit -v | findstr identifier”‘) do bcdedit /delete %%j /f
• Rimuove tutte le tracce: lo stesso bcd.bat oltre all’override di avvio rimuove anche i registri di sicurezza di sistema e del visualizzatore eventi applicazioni.
• Avvia il payload principale: lo script msrun.bat è responsabile di scatenare il Wiper. Sposta i file relativi al wiper in “C:\temp” e crea un’attività pianificata denominata mstaskper eseguire il wiper solo una volta alle 23:55:00.


Il flusso di esecuzione degli attacchi contro obiettivi in ​​Iran

A giudicare dalla qualità degli strumenti, dal loro modus operandi e dalla loro presenza sui social media, CPR ha trovato improbabile che Indra sia gestito da un attore di uno stato nazionale.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli