La Amenaza persistente avanzada 33 (APT33) es un grupo de hackers identificado por FireEye como apoyado por el gobierno de Irán. El grupo también se ha llamado Refined Kitten (por Crowdstrike), Magnallium (por Dragos), y Holmium (por Microsoft).https://www.symantec.com/blogs/threat-intelligence/elfin-apt33-espionagehttps://dragos.com/resource/magnallium/https://www.apnews.com/c5e1d8f79e86460fbfbd4d36ae348156
Historia FireEye cree que el grupo se formó a más tardar en 2013.
Objetivos Se ha informado de que el APT33 se ha dirigido a objetivos de la industria aeroespacial, de defensa y petroquímica en Estados Unidos, Corea del Sur y Arabia Saudí.
Modus operandi Se dice que APT33 utiliza un dropper designado DropShot, que puede desplegar un wiper llamado ShapeShift, o instalar una puerta trasera llamada TurnedUp. Se informa que el grupo utiliza la herramienta ALFASHELL para enviar correos electrónicos de spear-phishing cargados con archivos de aplicaciones HTML maliciosas a sus objetivos.
El APT33 registró dominios que se hacían pasar por muchas entidades comerciales, como Boeing, Alsalam Aircraft Company, Northrop Grumman y Vinnell.
Identificación FireEye y Kaspersky Lab observaron similitudes entre el ShapeShift y Shamoon, otro virus vinculado a Irán. El APT33 también usaba el Farsi en ShapeShift y DropShot, y estaba más activo durante el horario comercial de Irán, permaneciendo inactivo el fin de semana iraní.
Un hacker conocido con el seudónimo de xman_1365_x estaba vinculado tanto al código de la herramienta TurnedUp como al Instituto Nasr iraní, que ha sido conectado al ciberejército iraní. xman_1365_x tiene cuentas en los foros de hackers iraníes, incluyendo Shabgard y Ashiyane.
Véase también Charming Kitten
Referencias
Categoría:Grupos de amenazas persistentes avanzadas Categoría:Hackers de Irán