ESET Research: met een nieuwe backdoor richt Ballistic Bobcat, aan Iran gelinkt, zich op bedrijven
Ballistic Bobcat, voorheen door ESET Research als APT35/APT42 (ook Charming Kitten, TA453 of PHOSPHORUS) gevolgd, is een vermoedelijk aan Iran gelinkte, geavanceerde, persistente dreigingsgroep die zich richt op onderwijs-, overheids- en gezondheidszorgorganisaties, alsook mensenrechtenactivisten en journalisten. Het is het meest actief in Israël, het Midden-Oosten en de Verenigde Staten. Zijn doel is cyberspionage, en het grootste deel van de 34 slachtoffers bevond zich in Israël, terwijl slechts twee in Brazilië en de VAE waren. In Israël werden auto-industrie, productie, techniek, financiële dienstverlening, media, gezondheidszorg, technologie en telecommunicatie aangevallen.
Voor 16 van de 34 slachtoffers van deze nieuwe campagne, Sponsoring Access, lijkt het erop dat Ballistic Bobcat niet de enige bedreigingsfactor was die toegang had tot hun systemen. Samen met de grote verscheidenheid aan slachtoffers en het schijnbare gebrek aan evidente waarde van sommige slachtoffers, kan dit erop wijzen dat Ballistic Bobcat een scan-en-exploit-gedrag had, in tegenstelling tot een campagne gerichte tegen vooraf geselecteerde slachtoffers.
Ballistic Bobcat blijft dus naar doelwitten zoeken met mogelijk niet-gepatchte kwetsbaarheden in aan internet blootgestelde Microsoft Exchange-servers. “De groep blijft een gevarieerde, open-source toolset gebruiken, met verschillende aangepaste applicaties, waaronder de pas ontdekte Sponsor-backdoor,” zegt Adam Burgher, de ESET-onderzoeker die de Sponsor-backdoor ontdekte en de nieuwste Ballistic Bobcat-campagne analyseerde.
De Sponsor backdoor gebruikt configuratiebestanden die op schijf zijn opgeslagen. Deze bestanden worden discreet geïmplementeerd door batchbestanden en zijn speciaal ontworpen om onschadelijk te lijken en zo detectie door scanengines te omzeilen. Ballistic Bobcat begon de nieuwe backdoor in september 2021 te gebruiken, terwijl het de campagne afrondde die in CISA Alert AA21-321A en de PowerLess-campagne gedocumenteerd was.
Tijdens de pandemie richtte Ballistic Bobcat zich op COVID-19-gerelateerde organisaties, waaronder de Wereldgezondheidsorganisatie en Gilead Pharmaceuticals, en op medisch onderzoekspersoneel.
Voor meer technische informatie over Ballistic Bobcat en zijn Sponsoring Access-campagne, raadpleeg de blogpost “Sponsor with batch-filed whiskers: Ballistic Bobcat’s scan and strike backdoor,” op WeLiveSecurity. Volg zeker ook ESET Research op Twitter (tegenwoordig X) voor het laatste nieuws over ESET Research.
