Иранские госхакеры семь лет искали иностранных шпионов

Компания Mandiant обнаружила одну из необычных операций иранской контрразведки, которая сосредоточена на поиске потенциальных агентов иностранных разведывательных служб.

Операция проводилась иранскими хакерами из группировки APT42, связанной с Корпусом стражей иранской революции, в период с 2017 года по март 2024-го. Более 35 фальшивых ресурсов по подбору персонала предлагали гражданам Ирана работу в Израиле и собирали персональные данные соискателей, чтобы выявить потенциальных кандидатов для вербовки в израильскую разведку Human Intelligence (HUMINT).

В рамках это сложной кампании были размещены поддельные израильские ресурсы по подбору персонала (как десктопные, так и их мобильные версии) и фейковые страницы в соцсети X, в Telegram, на YouTube и на иранской платформе Virasty. Предложения были ориентированы на людей, говорящих на фарси. Граждан завлекали посетить сайты с помощью методов социальной инженерии.

Найденные поддельные ресурсы распространяли ссылки на вредоносные веб-сайты, размещённые на WordPress. Сайты имитировали израильские кадровые агентства — например, Optima HR или Kandovan HR — и предлагали вакансии и возможности карьерного роста, связанные с кибербезопасностью и разведкой. От кандидата требовалось заполнить форму и указать персональные данные, включая имя, дату рождения, электронные адреса, место жительства, образование и сведения о профессиональном опыте. Эксперты нашли связи ресурсов с иранским разработчиком ПО, однако, проверить их не удалось.

По данным Mandiant, APT42 регулярно использует социальные сети для пропаганды и преследования диссидентов, активистов и экспатриантов. Примечательно, что в процессе реализации эта кампания была расширена на Ливан и Сирию и охватывала военных и сотрудников спецслужб, участников террористической группировки «Хезболла».