El Grupo de Análisis de Amenazas (TAG) de Google dijo que están rastreando a más de 270 actores de amenazas respaldados por el gobierno de más de 50 países, y agregó que ha enviado aproximadamente 50.000 alertas de intentos de phishing o malware patrocinados por el estado a los clientes desde principios de 2021.
Las advertencias marcan un aumento del 33% desde 2020, dijo el gigante de Internet, y el aumento se debe principalmente al «bloqueo de una campaña inusualmente grande de un actor ruso conocido como APT28 o Fancy Bear».
Además, Google dijo que interrumpió una serie de campañas montadas por un grupo de atacantes patrocinado por el estado iraní que se rastreó como APT35 (también conocido como Charming Kitten, Phosphorous o Newscaster), incluido un sofisticado ataque de ingeniería social denominado «Operación SpoofedScholars» dirigido a grupos de expertos, periodistas y profesores con el objetivo de solicitar información confidencial haciéndose pasar por académicos de la Escuela de Estudios Orientales y Africanos de la Universidad de Londres (SOAS).
Los detalles del ataque fueron documentados públicamente por primera vez por la firma de seguridad empresarial Proofpoint en julio de 2021.
Otros ataques involucraron el uso de una aplicación VPN infectada de software espía cargada en Google Play Store que, una vez instalada, podría aprovecharse para desviar información confidencial como registros de llamadas, mensajes de texto, contactos y datos de ubicación de los dispositivos infectados. Además, una táctica inusual adoptada por APT35 se refería al uso de Telegram para notificar a los atacantes cuando los sitios de phishing bajo su control han sido visitados en tiempo real a través de JavaScript malicioso incrustado en las páginas.
También se dice que el actor de la amenaza se hizo pasar por funcionarios políticos al enviar «mensajes de correo electrónico no maliciosos en el primer contacto» modelados en torno a las conferencias de Seguridad de Munich y Think-20 (T20) Italia como parte de una campaña de phishing para atraer a personas de alto perfil a visitar sitios web fraudulentos.
«Durante años, este grupo ha secuestrado cuentas, desplegado malware y utilizado técnicas novedosas para realizar espionaje alineado con los intereses del gobierno iraní», dijo Ajax Bash de Google TAG.
