هذه مقالة غير مراجعة. ينبغي أن يزال هذا القالب بعد أن يراجعهامحرر؛ إذا لزم الأمر فيجب أن توسم المقالة بقوالب الصيانة المناسبة. يمكن أيضاً تقديم طلب لمراجعة المقالة في الصفحة المخصصة لذلك.(نوفمبر 2019)
منذو عام 2017 تتبعت FireEye و الولايات المتحده المجموعة.تعتقد شركة الأمن FireEye أن المجموعة كانت نشطة منذو عام 2013 على الأقل . لدى FireEye دليل قوي على أنها تعمل نيابة عن الحكومة الإيرانية. وعلى الرغم من أنها مركزة إلى حد كبير على التجسس الخفي، فقد وجدت FireEye روابط لأنشطة بينها وبين قطعة من البرامج الضارة التي تدمر البيانات والتي حللها محللو الأمن منذو وقت سابق من عام 2017.[5]
وبحسب ما ورد تستخدم المجموعة برنامج قطارة يسمى DropShot ، والذي يمكنه نشر ماسحات الاقراص الصلبة تسمى ShapeShift ، أو تثبيت مستتر خلفي يسمى TurnedUp.
تم الكشف عن استخدام المجموعة لأداة ALFASHELL لإرسال رسائل بريد إلكتروني للتصيد العشوائي محملة بمواقع وهمية .[1]
المجالات التي تستهدفها المجموعة تستهدف العديد من الكيانات التجارية، بما في ذلك بوينغ ، وشركة السلام للطائرات، ونورثروب غرومان وفينيل .[1]
هوية
لاحظت FireEye و Kaspersky Lab أوجه التشابه بين ShapeShift و Shamoon ، وهو فيروس آخر مرتبط بإيران. كما استخدمت APT33 الفارسية في ShapeShift و DropShot ، وكانت أكثر نشاطًا خلال ساعات العمل في توقيت إيران الرسمي ، حيث ظلت غير نشطة في عطلة نهاية الأسبوع الإيرانية.[1]
تم ربط أحد المتطفلين المعروفين باسم مستعار xman_1365_x بكل من رمز أداة TurnedUp ومعهد النصر الإيراني، والذي تم ربطه بالجيش الإيراني الإلكتروني .[1][6] xman_1365_x لها حسابات على منتديات الهاكر الإيرانية، بما في ذلك Shabgard و Ashiyane .[7]
^Auchard، Eric؛ Wagstaff، Jeremy؛ Sharafedin، Bozorgmehr (20 سبتمبر 2017). Heinrich (المحرر). "Once 'kittens' in cyber spy world, Iran gaining hacking prowess: security experts". رويترز. مؤرشف من الأصل في 2019-03-30. FireEye found some ties between APT33 and the Nasr Institute - which other experts have connected to the Iranian Cyber Army, an offshoot of the Revolutionary Guards - but it has yet to find any links to a specific government agency, Hultquist said.
^Cox، Joseph. "Suspected Iranian Hackers Targeted U.S. Aerospace Sector". ذا ديلي بيست. مؤرشف من الأصل في 2017-09-21. Included in a piece of non-public malware APT33 uses called TURNEDUP is the username "xman_1365_x." xman has accounts on a selection of Iranian hacking forums, such as Shabgard and Ashiyane, although FireEye says it did not find any evidence to suggest xman was formally part of those site's hacktivist groups. In its report, FireEye links xman to the "Nasr Institute," a hacking group allegedly controlled by the Iranian government.
