Hogyan célozza meg a MURKYTOUR Backdoor az álláskeresőket

2024 októberében egy nagyon célzott és ügyesen álcázott kiberkampány jelent meg, amely felfedte a MURKYTOUR néven ismert lopakodó hátsó ajtó bevetését. A Mandiant fenyegetésekkel foglalkozó hírszerző cég által feltárt művelet rávilágít az államhoz igazodó szereplők folyamatosan fejlődő taktikájára, valamint arra, hogy a megtévesztésre, mint a digitális csatatér elsődleges eszközére összpontosítanak.

A kampányt az UNC2428 néven azonosított csoportnak tulajdonították, amely egy iráni érdekekhez igazodó kiberfenyegetettség szereplője. Megközelítésük nem csupán egy újabb adathalász e-mail volt – ez egy árnyalt és mélyen megtévesztő szociális tervezési stratégia, amely hamis munkalehetőséget kínált a gyanútlan egyének csalogatására, különösen Izraelben.

Mi az a MURKYTOUR?

A MURKYTOUR egy hátsó ajtó, egyfajta rosszindulatú program, amely lehetővé teszi az eszközök jogosulatlan elérését és ellenőrzését a felhasználó tudta nélkül. Ebben az esetben csendben telepítették, miután az áldozatok részt vettek egy törvényes álláspályázati eljárásban. A támadók egy jó hírű izraeli védelmi cégnek, a Rafaelnek álcázták magukat, és egy hamis online platformon kérték fel az álláskeresőket, hogy nyújtsák be igazolványaikat.

Amikor az áldozatok letöltötték és elindították a telepítőt – „RafaelConnect.exe” néven álcázva –, egy professzionális megjelenésű felületet mutattak meg nekik, amelyet a bizalom elnyerésére terveztek. Ez az alkalmazás, valójában a LONEFLEET néven ismert csalitelepítő, arra kérte a felhasználókat, hogy adjanak meg személyes adatokat, és töltsenek fel önéletrajzot. A színfalak mögött azonban egy másik LEAFPILE nevű eszköz indította el a MURKYTOUR lopakodó telepítését, így a támadók hosszú távú hozzáférést biztosítottak az áldozat számítógépéhez.

Miért számít ez?

A MURKYTOUR hátsó ajtó nem csak egy rosszindulatú program, hanem annak szimbóluma, hogy a kiberkémkedés pszichológiailag egyre kifinomultabbá vált. Az olyan szereplők, mint az UNC2428, ahelyett, hogy tompa erőt alkalmaznának, szociális tervezést alkalmaznak – olyan műveletekre manipulálják az embereket, amelyeket általában nem tennének –, hogy csendesen feltörjék a rendszereket.

Az ilyen taktikák következményei széles körűek. Az egyének munkacsalogatókkal való megcélzása lehetővé teszi a támadók számára, hogy érzékeny szervezetekbe is bejussanak azáltal, hogy becsapják az e hálózatokhoz kapcsolódó alkalmazottakat vagy álláskeresőket. A hozzáférés megszerzése után a rosszindulatú szereplők hírszerzési információkat gyűjthetnek, bizalmas adatokat lophatnak el, vagy felkészülhetnek a további beszivárgásra.

Egy tágabb stratégia a Playnél

A MURKYTOUR-t nem elszigetelten telepítették. Ez egyike annak a több mint 20 rosszindulatú programtörzsnek, amelyeket a Mandiant azonosított, mint amelyeket az iráni fenyegetés szereplői használtak 2024-ben. Ez a szélesebb körű erőfeszítés olyan csoportokat foglal magában, mint az UNC3313 és az APT42 , amelyek hasonlóképpen a szociális tervezésre, a lándzsás adathalászatra és a legitim szoftvereszközökkel való visszaélésre összpontosítottak, hogy észrevétlenül maradjanak.

Az UNC3313 például képzési és webinárium-témákat használt az áldozatok csalogatására, rosszindulatú programokat juttatva el ismerős fájlmegosztó platformokon. Eközben az APT42 a főbb webszolgáltatások, például a Google és a Microsoft utánzására összpontosított a hitelesítő adatok begyűjtése érdekében. Ezek a taktikák egy mintát tárnak fel: az iráni kötődésű kiberszolgáltatók valósághű és meggyőző személyeskedéseket alkalmaznak a hagyományos biztonsági védelem megkerülésére.

Ezenkívül a felhő-infrastruktúra a parancs- és irányítási műveletek kedvelt környezetévé vált. Azzal, hogy tevékenységüket a vállalkozások által gyakran használt platformokon rejtik el, a támadók megnehezítik a biztonsági csapatok számára a szokatlan viselkedés észlelését.

Egyénekre és szervezetekre gyakorolt hatás

A MURKYTOUR incidens határozottan emlékeztet az éberség szükségességére, különösen olyan helyzetekben, amelyek rutinszerűnek tűnnek – például állásra pályáznak. A számítógépes támadók egyre inkább az emberi biztonsági réteget veszik célba, tudván, hogy gyakran ez a leggyengébb láncszem.

A szervezetek számára ez többet jelent, mint pusztán víruskereső szoftverek vagy tűzfalak telepítését. Folyamatos oktatást és figyelemfelkeltő képzést kér a személyzet számára, különösen a nemzetállami szereplők által gyakran megcélzott ágazatokban, mint például a védelem, az egészségügy, a pénzügy és a technológia.

A toborzási és HR folyamatok a kibervédelem váratlan frontvonalává is válnak. A vállalatoknak ellenőrizniük kell a harmadik féltől származó munkaplatformok hitelességét, és figyelniük kell a megszemélyesítési kísérleteket. Hasonlóképpen, a potenciális jelentkezőknek óvatosnak kell lenniük a váratlan toborzási üzenetekkel, és ellenőrizniük kell az álláshirdetéseket a vállalat hivatalos webhelyein.

Végső gondolatok

A MURKYTOUR kampány a modern kiberkémkedés tankönyvi példája. A technikai felkészültséget a pszichológiai manipulációval ötvözi, kihasználva a bizalmat és a rutinfolyamatokat, hogy megvegye a lábát. Ahogy a kiberfenyegetések folyamatosan fejlődnek, az ehhez hasonló kampányok megértése elengedhetetlen a nemzetállamok nevében tevékenykedő fenyegetés szereplőinek következő lépésének előrejelzéséhez.

A legjobb védekezés? Tudatosság, éberség és egy egészséges adag szkepticizmus – különösen, ha az ajánlat túl szépnek tűnik, hogy igaz legyen.