Actu
TA453 usurpe secrètement l’université de Londres pour dérober des données personnelles récupérées ensuite par le gouvernement iranien
juillet 2021 par Proofpoint, Inc.
Alors qu’ils ciblaient en mars dernier les éminents chercheurs en médecine via des campagnes de phishing principalement aux États-Unis et en Israël, l’acteur malveillant TA453 affilié au gouvernement iranien, également connu sous les noms de CHARMING KITTEN et PHOSPHORUS, est de retour avec une nouvelle campagne de leurres par email, détectée par les chercheurs Proofpoint.
Baptisée « SpoofedScholars », cette opération représente l’une des campagnes les plus sophistiquées de TA453 selon Proofpoint. En effet, l’acteur malveillant procède en usurpant des infrastructures légitimes et reconnues pour atteindre leurs cibles. C’est en initiant des campagnes d’emails malveillants que TA453 a pu obtenir illégalement l’accès à un site Web appartenant à une institution universitaire de renommée mondiale afin de récolter les identifiants des cibles victimes.
Les attaques de TA453 sont toujours plus innovantes et complexes. La finalité de l’opération « SpoofedScholars » ? Dérober des informations qui seront ensuite détenues par l’IRGC (Corps des Gardiens de la révolution islamique). C’est après avoir établi une pseudo relation de confiance par le biais de nombreuses conversations, que TA453 a pu infiltrer les systèmes d’information de ses infrastructures cibles comme l’Université de Londres. En effet, TA453 fournissait dans ses échanges par emails, un "lien d’enregistrement" vers un site Web compromis hébergeant une page de collecte d’informations d’identification de la radio SOAS de l’Université de Londres. Ce site de phishing, aux apparences trompeuses était en réalité configuré pour dérober une variété de données d’identification.
Sur la durée, TA453 a changé de tactique et a décidé de fournir le lien d’enregistrement phishing plus tôt et plus furtivement dans ses interactions avec ses cibles, rendant ainsi la phase de conversation non-nécessaire.
Bien qu’à l’heure actuelle cette campagne ait été démasquée et qu’une partie du groupe de TA453 ne semblent plus être actifs, Proofpoint estime avec une grande confiance que TA453 continuera d’usurper les universitaires du monde entier pour soutenir les opérations de collecte de renseignements de TA453 en faveur des intérêts du gouvernement iranien. Les universitaires, les journalistes et le personnel des groupes de réflexion devront redoubler de vigilance et vérifier l’identité des personnes qui souhaiteront échanger avec eux par mail pour des opportunités professionnelles.
Nous l’indiquions dans les précédentes recherches de Proofpoint sur la campagne BadBlood de TA453, les équipes Proofpoint ne sont pas encore aptes à confirmer si TA453 fait partie de l’IRGC. Cependant, les tactiques et techniques utilisées par le groupe et leur ciblage global détecté par Proofpoint sont conformes aux priorités de collecte de renseignements de l’IRGC, ce qui nous permet d’émettre l’hypothèse que TA453 opère en soutien de l’IRGC.
