חשיפתAPT39  - מערך ריגול איראני המתמקד במידע אישי כתמיכה באינטרסים האיראניים
מאת:Ryan Whelan , 30.1.19, 13:20
קבוצת תקיפת סייבר זו מהווה איום מיידי לישראל. פעילות APT39 מדגימה את היכולות המבצעיות של הממשל האיראני וגורמי הביטחון שלו, ומראה כיצד הוא מנצל את מרחב הסייבר ככלי אפקטיבי ובעל עלות נמוכה יחסית לטובת איסוף מודיעין על אישים המאיימים על הביטחון הלאומי של משטר האייתולות, וכן כדי  לייצר עליונות מול יריבים אזוריים וגלובליים.

קבוצה זו אחראית על גניבה רחבה של מידע אישי. בין היתר, מטרת הקבוצה היא לנטר ולעקוב אחר אישים ספציפיים ולאסוף עליהם מידע הכולל פירוט טיסות ונתוני תקשורת. פירוט כל שלבי התקיפה בארגוני היעד.
 
חברת FireEye עוקבת אחרי פעילות המקושרת לקבוצה זו מאז נובמבר 2014  כדי להגן על ארגונים מפעילותה. המיקוד של APT39 באיסוף רחב של פרטים אישיים מבדיל קבוצה זו מקבוצות איראניות אחרות שהחברה מנטרת, שקושרו למבצעי השפעה, פעילויות סייבר הרסניות ואיומים נוספים.
 
APT39 ככה"נ ממוקדת באיסוף מידע אישי כדי לתמוך במבצעי מעקב וניטור אשר משמשים את האינטרסים הלאומיים של איראן. בנוסף, פעילות הקבוצה מאפשרת ליצור נגישויות נוספות והזדמנויות לפעילויות סייבר עתידיות.
 
חלק מהפעילות של קבוצה זו חופפות בחלקן עם דיווחים פומביים אודות קבוצה בשם "Chafer". עם זאת, חשוב לציין, שישנם הבדלים הנובעים משיטות מחקר ומקורות שונים.
 
APT39 עושה שימוש בכלים SEAWEED,  CACHEMONEYוכן בגרסה ספציפית של הכלי POWBAT. בעוד שיעדי התקיפה של APT39 הם חובקי עולם, הפעילות העיקרית של הקבוצה מתמקדת באזור המזרח התיכון. הקבוצה תוקפת יעדים במגזר התקשורת, ההייטק, והתיירות, כולל חברות IT התומכות בתעשייה זו.
 
המדינות והמגזרים אשר נתקפו ע"י APT39:  
מטרה מבצעית
המיקוד של APT39 במגזר התקשורת ובתעשיית התיירות מצביע על כוונתה לתמוך במבצעי ריגול ומעקב אחר אישים ספציפיים ולאסוף מידע פנימי. מידע זה כולל מידע אישי של לקוחות העשוי לשמש למטרות מבצעיות המשרתות יעדים אסטרטגיים בעלי חשיבות לאומית.
 
יעד נוסף של הקבוצה הוא השגת נגישות רחבה כדי ליצור תשתית לפעילות סייבר עתידית. תקיפת יעדים ממשלתיים מצביעה על כוונה משנית לאסוף מודיעין גיאופוליטי העשוי לסייע לממשלות ולתמוך בתהליכי קבלת החלטות.
 
מכל האמור לעיל ניתן להסיק, שמטרת העל של הקבוצה היא לנטר ולעקוב אחר אישים ספציפיים ולאסוף עליהם מידע אישי, כולל פירוט טיסות ונתוני תקשורת.
 
שורשים איראניים
החברה מעריכה בסבירות בינונית, שמבצעי הסייבר של APT39 נועדו לתמוך באינטרסים לאומיים איראניים, זאת על בסיס ניתוח יעדי התקיפה והמיקוד שלה במזרח התיכון, התשתיות המבצעיות המשמשות את הקבוצה, זמני הפעילות והדמיון לקבוצה איראנית אחרת בשם APT34, שחלקים ממנה מוכרים פומבית בשם “OilRig”.
 
ישנם קווי דמיון בין APT39 ו-APT34, כולל השיטות שלהן להפצת כלי התקיפה, השימוש בכלי POWBAT, סגנון בחירת השמות בתשתיות המבצעיות ואף חפיפה ביעדי התקיפה עצמם. אך ניתן עדיין להבחין בין 2 הקבוצות, בעיקר על בסיס השימוש של APT39 בגרסה מאוד ספציפית של הכלי POWBAT. יתכן כי 2 הקבוצות משתפות פעולה ואף חולקות משאבי פיתוח.
 
שלבי התקיפה
קבוצת APT39 עושה שימוש בכלים פרי פיתוח עצמי וכן בכלים פומביים לאורך כל שלבי התקיפה.
 
חדירה ראשונית - בשלב הראשוני של התקיפה נעשה שימוש במיילי spear phishing עם דבוקות או לינקים זדוניים המדביקים את מחשב היעד ב-POWBAT. בתוך כך, הקבוצה רושמת דומיינים המתחזים לשירותי אינטרנט לגיטימיים וכן לארגוני צד ג' הרלוונטיים לעולם התוכן של היעד.
 
הקבוצה גם נוטה לזהות ולנצל שרתי web פגיעים אצל ארגוני היעד כדי להתקין עליהם web shell-ים כגון ANTAK ו-ASPXSPY. כ"כ, נעשה שימוש בנתוני אימות לגיטימיים גנובים כדי לחדור לממשקי Outlook Web Access (OWA) החשופים לאינטרנט.
 
ביסוס אחיזה, העלאת הרשאות וסיור ברשת הפנימית - לאחר החדירה הראשונית לרשת היעד, קבוצת APT39 עושה שימוש בכלי תקיפה פרי פיתוח עצמי כגון SEAWEED,  CACHEMONEYוכן בגרסה ספציפית של הכלי POWBAT כדי לבסס אחיזה ברשת.
 
לשם העלאת הרשאות הקבוצה עושה שימוש בכלים פומביים דוגמת Mimikatz ו-Ncrack, וכן בכלי ניהול לגיטימיים כגון Windows Credential Editor ו-ProcDump. סיור ברשת הפנימית מבוצע על בסיס סקריפטים ייעודיים וכן כלים פומביים או פרי פיתוח עצמי כגון סורק הפורטים BLUETORCH.
 
התפשטות ברשת, שימור אחיזה והשלמת המשימה - התפשטות ומעבר בין רכיבי הרשת בארגון מבוצעים באמצעות מגוון כלים כגון Remote Desktop Protocol (RDP), Secure Shell (SSH), PsExec, RemCom ו-xCmdSvc.
 
כמו כן, נעשה שימוש בכלים פרי פיתוח עצמי REDTRIP, PINKTRIP ו- BLUETRIP כדי ליצור SOCKS5 proxies בין עמדות הקצה הנגועות. קבוצת APT39 עושה שימוש בפרוטוקול RDP גם לשם שימור האחיזה במחשבים ברשת. בשלב השלמת המשימה הקבוצה בד"כ דוחסת את המידע, שנאסף באמצעות הכלים WinRAR או 7-Zip טרם הזלגתו אל מחוץ לרשת.
 
שלבי התקיפה של APT39:
   
ישנם ממצאים טכנולוגיים המצביעים על כך, שקבוצת APT39 נוטה לשמור על חוסן מבצעי גבוה כדי לחמוק מגורמי אבטחה. בתוך כך, נעשה שימוש בגרסה ייעודית של Mimikatz כדי לעקוף מנגנוני אנטי-וירוס. במקרה אחר, לאחר השגת הנגישות הראשונית בוצע תהליך איסוף נתוני האימות (credential harvesting) מחוץ לרשת היעד כדי לא להקפיץ התרעות במערכות האבטחה של הארגון.
 
לסיכום, החברה מאמינה, שהמיקוד של APT39 במגזר התקשורת ובתעשיית התיירות נועד לעקוב אחר אישים ספציפיים ולתמוך במבצעים עתידיים. חברות תקשורת הן יעד אטרקטיבי לאור העובדה, שהן שומרות מידע אישי רב על לקוחותיהן, וכן משום שהן פותחות צוהר לתשתית התקשורת ובכך למגוון רחב של יעדים פוטנציאליים נוספים.
 
תבנית בחירת המטרות של קבוצת APT39 מראה, שהאיום אינו מוגבל לארגונים הנתקפים עצמם, אלא גם ובעיקר מכוון כלפי קהל הלקוחות שלהם, שכולל אנשים בכל רחבי העולם וממגוון רחב של מגזרים ותעשיות.
 
פעילות זו מצד APT39 מדגימה את היכולות המבצעיות של הממשל האיראני וגורמי הביטחון שלו, ומראה כיצד הוא מנצל את מרחב הסייבר ככלי אפקטיבי ובעל עלות נמוכה (יחסית) לטובת איסוף מודיעין על אישים המאיימים על הביטחון הלאומי של משטר האייתולות, וכן כדי  לייצר עליונות אל מול יריבים אזוריים וגלובליים.

מאת: Ryan Whelan, ינואר 2019.
מנהל קבוצת מודיעין האיומים האסטרטגים ב-FireEye