Donkere modus
PERSBERICHT NU AANLEVEREN
BEDRIJFSABONNEMENT
Volg ook via:
IT BEDRIJVEN
GIDS
IT PR-BUREAU
GID
S
ZOEKEN
UPLOAD
TAGS
ALGEMEEN
Inloggen
Vaakst getagd:
Onderzoek
Personalia
Artificial intelligence (AI)
Cloud
Samenwerking
Overname
Cybersecurity
Financieel
Datacenter
Awards
Rapport
HR (Human Resource)
MKB
Low-code
Digitale transformatie
Microsoft
Internet of Things (IoT)
Schneider Electric
Groei
e-commerce
Innovatie
Gartner Magic Quadrant
Software-as-a-Service-(SaaS)
Start-up
Trends
Partnership
Kaspersky
ICT onderzoek
SAP
Duurzaam
Recent getagd:
Palo Alto Networks
Onderzoek
Phantom squatting
Artificial intelligence (AI)
Unit 42
Eredivisie
Breedbandwinkel
ilionx
AI-Office
Personalia
Soevereine cloud
Atos Sovereign Cloud
Europese Unie (EU)
Atos
TESSERA
Vultr
AMD
IBAN
neobank
Belgische IBAN
bunq
Agentic AI
HR-professional
HR (Human Resource)
Culture Amp
Msafe
Secure File Transfer
Deepr
Workday
Pax8
Datum:
woensdag 9 feb 2022 • 12:10
(4 jaar en 166 dagen geleden)
Bedrijf:
Proofpoint
PR:
AxiCom
Ugg Boots 4 Sale: Een verhaal over Palestijnse spionage
Campagne Details
De meest recente campagnes van TA402 omvatten spear phishing e-mails met links die vaak leiden naar kwaadaardige bestanden. Proofpoint heeft daarin drie verschillende URL-types waargenomen:
Figuur 1. Aanvalsketen TA402 november 2021 - januari 2022.
Variant 1: Door cybercriminelen bestuurd domein (november 2021)
Bij een aanval in november 2021 deed TA402 zich voor als de Quora-website, terwijl er gebruik werd gemaakt van een Gmail-account dat afkomstig was en gecontroleerd werd door een cybercrimineel. De schadelijke URL in de phishingmail was geofenced naar de doellanden. Als het IP-adres van de gebruiker in het beoogde gebied paste, werd de gebruiker omgeleid om het RAR-bestand met het nieuwste TA402-implantaat, NimbleMamba, te downloaden. Als het IP-adres buiten het doelgebied valt, wordt de gebruiker doorgestuurd naar een legitieme nieuwssite, figuur 2.
Figuur 2. Een onschuldige omleiding naar een legitieme nieuwssite https[:]www[.]emaratalyoum[.]com.
Variatie 2: Dropbox URL (december 2021)
In december 2021 gebruikte TA402 meerdere voorwendselen voor phishing, waaronder clickbait naar medische lokmiddelen en lokmiddelen die vertrouwelijke geopolitieke informatie zouden delen. TA402 bleef een door de cybercrimineel gecontroleerde Gmail-account gebruiken, maar schakelde over op Dropbox-URL's om de schadelijke RAR-bestanden met NimbleMamba te leveren. Deze verschuiving van door cybercriminelen gecontroleerde domeinen betekende dat TA402 zijn payloads niet langer kon geofencen. Proofpoint ontdekte dat TA402 niet alleen Dropbox-services misbruikt voor de levering van NimbleMamba, maar ook voor command and control (C2) van malware. Proofpoint deelde het onderzoek en de analyse met Dropbox en zij namen de nodige maatregelen om de activiteit binnen hun organisatie te neutraliseren.
Variatie 3: WordPress omleiding door cybercriminelen gecontroleerd domein (december 2021/januari 2022)
In de laatste campagnes bleef TA402 voor elk van hun doelwitten aangepaste content gebruiken. De inhoud werd alleen licht gewijzigd door het invoegen van een extra WordPress URL die ook werd beheerd door een cybercrimineel. De WordPress site (Figuur 3), die zich voordoet als een nieuws aggregatie van de oorspronkelijke nieuwssite van variant 1, leidt waarschijnlijk naar de download site van de kwaadaardige RAR-bestanden die NimbleMamba bevatten, indien de bezoeker afkomstig is van een IP-adres binnen het doelgebied. Als het bron-IP-adres niet overeenkomt met de doelregio, zal de URL de ontvanger omleiden naar een niet-malicious website, meestal een Arabisch-talige nieuwswebsite (figuur 2).
Figuur 3. Voorbeeld van een WordPress site (https[:]//emaratalyoumcom[.]wordpress[.]com/) die zich voordoet als een nieuwsaggregator in de Arabische taal.
Het gebruik van URL's met geofencing en Dropbox URL's, tonen aan dat TA402 vastbesloten is om e-mailverkeer te verstoren en doelwitten te infecteren met NimbleMamba.
Malware-analyse: NimbleMamba
De aanval van TA402 leidde bij elke variant naar een RAR-bestand met een of meer schadelijke gecomprimeerde uitvoerbare bestanden. Deze uitvoerbare bestanden bevatten een TA402-implantaat dat door Proofpoint NimbleMamba werd genoemd en vaak een extra trojan die door Proofpoint BrittleBush werd genoemd. NimbleMamba is vrijwel zeker bedoeld ter vervanging van LastConn, die Proofpoint in juni 2021 rapporteerde.
Gebaseerd op de nieuwe toepassingen van NimbleMamba, beoordeelt Proofpoint dat NimbleMamba actief wordt ontwikkeld, goed wordt onderhouden en is ontworpen voor gebruik in zeer gerichte verzamelcampagnes van inlichtingen.
Attributie
Proofpoint schrijft de campagnes toe aan TA402 op basis van zowel technische indicatoren als victimologie. De waargenomen aanvalsketens bootsen eerdere TA402-campagnes na. De phishing-campagnes delen thematische elementen met eerdere Molerats-campagnes.
De door Proofpoint geobserveerde campagnes vonden waarschijnlijk plaats op hetzelfde moment als Zscaler's recent gepubliceerde
onderzoek
naar Molerats activiteiten gericht op individuen in Palestina en Turkije, en tonen aan dat Molerats nog steeds in staat is om hun aanvalsketens aan te passen op basis van de doelwitten van hun informatie.
De door NimbleMamba gebruikte beschermingsmaatregelen laten een duidelijke focus zien op het aanvallen van Arabisch sprekenden en computers in het Midden-Oosten. Proofpoint heeft campagnes waargenomen die gericht waren op regeringen in het Midden-Oosten, denktanks op het gebied van buitenlands beleid, en een luchtvaartmaatschappij die aan de staat gelieerd is. Proofpoint is van mening dat TA402 waarschijnlijk Palestijnse doelen ondersteunt, wat consistent is met eerdere beoordelingen van Proofpoint en de bredere sector.
Conclusie
TA402 blijft een bedreiger die laat zien zeer vasteberaden te zijn met zijn gerichte campagnes op het Midden-Oosten. Op basis van de variaties tussen campagnes die NimbleMamba leveren, samen met het eerdere patroon van het ontwikkelen van nieuwe malware na openbaarmaking, schat Proofpoint met gematigd vertrouwen in dat TA402 zowel hun implantaten als infectieketens zal blijven updaten om verdedigingsinspanningen te moeilijker te maken.
Tags
Proofpoint x 205
Phishing x 75
Palestijnse spionage x 1
Recent van Proofpoint
Vervalsing van OAuth client-ID’s
Chinese dreigingsgroep richt zich op faculteiten van grote Noord-Amerikaanse universiteiten
TA4922: de vermoedelijke Chinese criminele organisatie breidt zich wereldwijd uit
Vandaag gepubliceerd
Palo Alto Networks waarschuwt voor phantom squatting: AI-domeinen vormen nieuw supply-chain risico
Waar kijk je het voordeligst het nieuwe Eredivisieseizoen?
Arno Titawano leidt nieuw AI-Office van ilionx
23 juli 2026
Atos lanceert Atos Sovereign Cloud: een betrouwbaar moderniseringsplatform, ontworpen en ontwikkeld in de EU
Vultr en AMD ondersteunen AI-project TESSERA van University of Cambridge voor grootschalige milieumonitoring
bunq lanceert Belgische IBAN
Driekwart van HR-professionals heeft vertrouwen in AI, blijkt uit onderzoek van Culture Amp
Lees meer in het weekoverzicht
Woensdag 9 feb 2022 • 12:10
Verstreken tijd: 4 jaar en 166 dagen
PR contact
Proofpoint contact
+44 (0)118 402 5900
info-bnl@proofpoint.com
www.proofpoint.com
Spotlight
Productowner.nl neemt Expandior over
ZAMKO ontwikkelt slimme palletboxoplossingen
Innvolve versterkt managementteam voor volgende groeifase
Waarom hogere klikprijzen bedrijven dwingen anders naar online adverteren te kijken
NetRom Software en Trivium eSolutions vormen nieuw groeiplatform voor software-engineering
FC Barcelona Academy markeert nieuwe internationale stap voor Ravi Ryan Mohanlal
Antennex wint BTG High Tech Award, Startups 2026
Gratis omscholen of bijscholen via NHA
Stefan Mackaaij per 1 juli nieuwe ceo Polly.Help
Neo ZIS|EPD-klanten omarmen nieuwe aanmeldzuil met groot enthousiasme
Incentro gaat full agentic: 'Wie AI op oude processen plakt, lost niks op'
Nieuwe Amsterdamse rondvaart verbindt de stad van nu met een 360° virtual reality-reis naar de 17e eeuw
synaforce kondigt de overname van Fairbanks International Group aan en zet daarmee een belangrijke stap in de verdere uitbouw van haar Europese platform voor overheidsclouds, open source oplossingen en AI-ready infrastructuren
Overname Valid Managed Services door DATAGROUP succesvol afgerond
Heftruck certificaat bewijs dat je veilig en professioneel werkt
Msafe lanceert versie 2.3 van Secure File Transfer met easy download
BusinessCom partner-event 'Networking in the Fastlane' op circuit Zandvoort
Frank's Smoke House, al meer dan 25 jaar leverancier van ambachtelijk gerookte vis en vlees, ervaart dagelijks de kracht van het Weegbaas FoodERP-platform!
PQR versterkt Data & AI-dienstverlening met strategisch partnerschap met DAAT
AI kan veel, maar doordacht webdesign blijft mensenwerk
Spryng introduceert RCS als veilige en toekomstbestendige standaard voor klantcommunicatie
Digitale reisplatforms pakken de bureaucratische wirwar van Europese milieuzones aan
Victoria-ID lanceert React Native Bridge: ID-Check direct integreerbaar in iOS en Android-apps
DNA Services lanceert MKB SOC: Veilig online ondernemen met ons Security Operations Center
AI klantenservice helpt MKB bij bereikbaarheid en opvolging
Lokale aanbieder speelt in op stijgende vraag naar mobiele service
Waarom steeds meer mensen kiezen voor een VPN
BusinessCom reikt partner awards uit tijdens Cybersecurity LIVE 2026
Msafe: veilig bestanden delen wordt auditvraagstuk voor organisaties
Analyseer Encrypted Dataverkeer met PCAP Wireshark 29 juni 2026
Palo Alto Networks waarschuwt voor phantom squatting: AI-domeinen vormen nieuw supply-chain risico
Arno Titawano leidt nieuw AI-Office van ilionx
Vultr en AMD ondersteunen AI-project TESSERA van University of Cambridge voor grootschalige milieumonitoring
Workday Learning powered by Sana is nu algemeen beschikbaar als AI-native platform
Keepit introduceert SaaS-gegevensbescherming op de Pax8 Marketplace
Palo Alto Networks breidt toonaangevend observability-platform uit met innovatieve Digital Experience Monitoring
Onderzoek Nutanix: IT-infrastructuur van zorgorganisaties is nog niet ‘AI-ready’; zorgen over Shadow-AI nemen toe
Unit4 lanceert Data Hub voor realtime inzicht in bedrijfsdata
KnowBe4 introduceert Custom AI Video Builder voor gepersonaliseerde, AI-gegenereerde trainingsvideo’s
Whizpr verwelkomt Annick van Moerkerk als Junior PR-Consultant
Conclusion wint aanbesteding RIVM voor beheer en doorontwikkeling Peridos
Palo Alto Networks waarschuwt: verwijderde cloudopslag kan leiden tot datalekken
Pega lanceert Infinity Studio: sneller en veiliger bedrijfsapps bouwen met AI
Overname DataPelago door NetApp maakt data klaar voor AI op infrastructuurniveau
Hostingprovider NFrance moderniseert koeling van soeverein datacenter met thermische beheeroplossingen van Vertiv