La cyber-gang Indra ha attaccato la rete ferrovia Iraniana.

“Abbiamo attaccato i sistemi informatici delle Ferrovie e del Ministero delle Strade e dello Sviluppo Urbano”. Il messaggio lasciato dagli aggressori sulle macchine hackerate

Venerdì 9 luglio, l’infrastruttura ferroviaria iraniana è stata oggetto di un attacco informatico.

Secondo le notizie iraniane, gli hacker hanno visualizzato messaggi sui ritardi o le cancellazioni dei treni sui pannelli informativi nelle stazioni di tutto il paese e hanno invitato i passeggeri a chiamare un determinato numero di telefono per ulteriori informazioni.

Questo numero apparteneva all’ufficio del leader supremo del paese, l’ayatollah Ali Khamenei.

I social media iraniani hanno diffuso le foto di un monitor di uno dei computer hackerati, dove gli aggressori si sono assunti la responsabilità di entrambi gli attacchi consecutivi.

Check Point Research ha studiato questi attacchi e ha trovato molteplici prove del fatto che questi attacchi si basano fortemente sulla precedente conoscenza e ricognizione delle reti da parte dell’attaccante.

Gli attacchi all’Iran sono risultati tatticamente e tecnicamente simili alla precedente attività contro più società private in Siria, condotta almeno dal 2019. CPR è stato in grado di collegare questa attività a un gruppo di minacce che si identifica come gruppo di opposizione al regime, chiamato Indra.

Durante questi anni, gli aggressori hanno sviluppato e distribuito all’interno delle reti delle vittime almeno 3 diverse versioni di wiper soprannominato Meteor, Stardust e Comet.

L’esecuzione inizia con il push di un’attività pianificata dall’AD a tutte le macchine tramite criteri di gruppo. Il nome dell’attività è Microsoft\Windows\Power Efficiency Diagnostics\AnalyzeAlle imita l’ AnalyzeSystem, attività eseguita dallo strumento di report di Windows Power Efficiency Diagnostics. La successiva catena di file e archivi .bat è destinata a eseguire le seguenti operazioni:

• Filtra le macchine di destinazione : setup.bat prima controlla se il nome host della macchina è uno dei seguenti: PIS-APP, PIS-MOB, WSUSPROXY o PIS-DB. In tal caso, interrompe l’esecuzione ed elimina la cartella contenente lo script dannoso da questa macchina. PIS nei nomi degli host sta per Passenger Information System, che di solito è responsabile tra l’altro dell’aggiornamento delle schede della piattaforma con dati reali, quindi gli aggressori si sono assicurati che il loro messaggio al pubblico iraniano fosse visualizzato correttamente.
• Scarica i file dannosi sulla macchina: lo stesso file batch scarica un archivio cab denominato env.cab da un indirizzo remoto nella rete interna: \\railways.ir\sysvol\railways.ir\scripts\env.cab. L‘uso di nomi host e percorsi interni specifici indica che l’attaccante aveva una conoscenza preliminare dell’ambiente.
• Estrai ed esegui strumenti aggiuntivi: update.bat, che è stato estratto e avviato da setup.bat, utilizza la password hackemallper ed esegue le fasi successive: cache.bat, msrun.bate bcd.bat.
• Disconnettere la macchina da tutte le reti: lo script cache.bat disabilita tutte le schede di rete sulla macchina con il seguente comando:powershell -Command “Get-WmiObject -class Win32_NetworkAdapter | ForEach { If ($.NetEnabled) { $.Disable() } }” > NUL
• Esegui controlli Anti-AV: lo stesso cache.bat script verifica anche se Kaspersky Antivirus è installato sulla macchina e, in caso contrario, aggiunge tutti i file e le cartelle relativi all’attacco all’elenco di esclusione di Windows Defender e procede con l’esecuzione.
• Corrupt the boot: bcd.bat viene utilizzato per danneggiare il processo di avvio. Innanzitutto, tenta di sovrascrivere il bootfile con un nuovo contenuto e quindi elimina i diversi identificatori di avvio utilizzando lo strumento BCDEdit integrato di Windows:for /F “tokens=2” %%j in (‘%comspec% /c “bcdedit -v | findstr identifier”‘) do bcdedit /delete %%j /f
• Rimuove tutte le tracce: lo stesso bcd.bat oltre all’override di avvio rimuove anche i registri di sicurezza di sistema e del visualizzatore eventi applicazioni.
• Avvia il payload principale: lo script msrun.bat è responsabile di scatenare il Wiper. Sposta i file relativi al wiper in “C:\temp” e crea un’attività pianificata denominata mstaskper eseguire il wiper solo una volta alle 23:55:00.


Il flusso di esecuzione degli attacchi contro obiettivi in ​​Iran

A giudicare dalla qualità degli strumenti, dal loro modus operandi e dalla loro presenza sui social media, CPR ha trovato improbabile che Indra sia gestito da un attore di uno stato nazionale.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.