Gatito encantador

En 2013, Monica Witt, ex sargento técnico de la Fuerza Aérea de los Estados Unidos y contratista de inteligencia militar, desertó a Irán ^{[ 8 ]} a sabiendas de que podría enfrentar cargos penales por parte de Estados Unidos. Su entrega de información al gobierno iraní posteriormente desencadenó la Operación Rosa Azafrán, una operación de guerra cibernética dirigida contra contratistas militares estadounidenses.

En 2017, tras un ciberataque a HBO , se inició una investigación conjunta a gran escala debido a la filtración de información confidencial. Un hacker conocido con el alias Sokoote Vahshat ( en persa , سکوت وحشت, lit. «Silencio del Miedo») declaró que, si no se pagaba, se filtrarían los guiones de episodios de televisión, incluidos episodios de Juego de Tronos . El ataque provocó la filtración de 1,5 terabytes de datos, algunos de los cuales correspondían a programas y episodios que aún no se habían emitido. ^{[ 9 ]} Desde entonces, HBO ha declarado que tomará medidas para garantizar que no vuelvan a sufrir una brecha de seguridad. ^{[ 10 ]}

Posteriormente, Behzad Mesri fue acusado por el ataque informático. Desde entonces, se le ha acusado de formar parte de la unidad operativa que filtró información confidencial. ^{[ 11 ]}

Según Certfa, Charming Kitten había atacado a funcionarios estadounidenses involucrados en el acuerdo nuclear iraní de 2015. El gobierno iraní negó cualquier implicación. ^{[ 12 ] [ 13 ]}

Un gran jurado federal del Tribunal de Distrito de los Estados Unidos para el Distrito de Columbia acusó a Witt de espionaje (específicamente de "conspiración para entregar y entregar información de defensa nacional a representantes del gobierno iraní"). La acusación se hizo pública el 19 de febrero de 2019. En la misma acusación, cuatro ciudadanos iraníes —Mojtaba Masoumpour, Behzad Mesri, Hossein Parvar y Mohamad Paryar— fueron acusados ​​de conspiración, intento de intrusión informática y robo de identidad agravado , por una campaña llevada a cabo en 2014 y 2015 que buscaba comprometer los datos de los antiguos compañeros de trabajo de Witt. ^{[ 14 ]}

En marzo de 2019, Microsoft tomó posesión de 99 dominios DNS propiedad de hackers patrocinados por el gobierno iraní, en una medida destinada a disminuir el riesgo de spear-phishing y otros ciberataques. ^{[ 15 ]}

En 2020, Reuters informó que Charming Kitten atacó a críticos del gobierno iraní, académicos y periodistas, como Erfan Kasraie y Hassan Sarbakhshian, quienes recibieron solicitudes de entrevista falsas diseñadas para obtener credenciales de correo electrónico. Los correos electrónicos suplantaban la identidad de reporteros de medios como The Wall Street Journal , CNN y Deutsche Welle , y en ocasiones solicitaban a los destinatarios que ingresaran contraseñas de Google o firmaran contratos falsos. Las empresas de ciberseguridad Certfa, ClearSky y Secureworks atribuyeron la operación a Charming Kitten basándose en las tácticas, la infraestructura y la segmentación. ^{[ 16 ]}

Según Microsoft, en un período de 30 días entre agosto y septiembre de 2019, Charming Kitten realizó 2700 intentos para obtener información sobre cuentas de correo electrónico específicas. ^{[ 17 ]} Esto resultó en 241 ataques y 4 cuentas comprometidas. Si bien se consideró que la iniciativa estaba dirigida a una campaña presidencial de Estados Unidos, ninguna de las cuentas comprometidas estaba relacionada con las elecciones.

Microsoft no reveló quiénes fueron los objetivos específicos, pero un informe posterior de Reuters afirmó que se trataba de la campaña de reelección de Donald Trump. ^{[ 18 ]} Esta afirmación se ve corroborada por el hecho de que solo la campaña de Trump utilizó Microsoft Outlook como cliente de correo electrónico.

Irán negó cualquier implicación en la injerencia electoral. El ministro de Asuntos Exteriores iraní, Mohammad Javad Zarif, declaró en una entrevista en el programa "Meet The Press" de la cadena NBC: "No tenemos preferencia por intervenir en sus elecciones [las de Estados Unidos]" y "No nos entrometemos en los asuntos internos de otro país". ^{[ 19 ]}

Expertos en ciberseguridad de Microsoft y empresas externas como ClearSky Cyber ​​Security sostienen que Irán, específicamente Charming Kitten, estuvo detrás del intento de interferencia. En octubre de 2019, ClearSky publicó un informe que respaldaba la conclusión inicial de Microsoft. ^{[ 20 ]} En el informe, se compararon detalles sobre el ciberataque con los de ataques anteriores que se sabe que se originaron desde Charming Kitten. Se encontraron las siguientes similitudes:

• Perfiles de víctimas similares. Los objetivos de los ataques se ajustaban a categorías similares. Todos eran personas de interés para Irán en los ámbitos académico, periodístico, de defensa de los derechos humanos y de oposición política.
• Coincidencia temporal. La actividad verificada de Charming Kitten se intensificó dentro del mismo período en que se realizaron los intentos de interferencia electoral.
• Vectores de ataque consistentes. Los métodos de ataque eran similares, y los agentes maliciosos recurrían al spear-phishing mediante mensajes de texto SMS.

En 2020, el equipo X-Force IRIS de IBM descubrió más de 40 GB de datos de Charming Kitten, incluyendo videos de entrenamiento que mostraban a sus agentes pirateando cuentas de correo electrónico y redes sociales. Las grabaciones incluían acceso a cuentas de personal de la Armada estadounidense y griega , intentos fallidos de phishing contra funcionarios estadounidenses y el uso de herramientas como Zimbra para gestionar credenciales robadas. Los investigadores describieron el descubrimiento como una valiosa información sobre los métodos del grupo y sugirieron que demostraba una capacidad limitada para eludir la autenticación multifactor . ^{[ 21 ]}

El 23 de agosto de 2022, una publicación del blog del Grupo de Análisis de Amenazas de Google (TAG) reveló una nueva herramienta desarrollada por Charming Kitten para robar datos de proveedores de correo electrónico conocidos (como Google, Yahoo! y Microsoft). ^{[ 22 ]} Esta herramienta necesita las credenciales del objetivo para crear una sesión en su nombre. Actúa de tal manera que el servidor percibe el uso de servicios de correo electrónico antiguos como normal, descarga los correos electrónicos de la víctima y realiza algunos cambios para ocultar su huella digital.

Según el informe, la herramienta está desarrollada para la plataforma Windows, pero no para el equipo de la víctima. Utiliza tanto la línea de comandos como la interfaz gráfica de usuario (GUI) para introducir credenciales u otros recursos necesarios, como las cookies.

En septiembre de 2023, la agencia de inteligencia interna de Alemania emitió una advertencia pública sobre “intentos concretos de espionaje” por parte del grupo de hackers Charming Kitten, vinculado a Irán, según The Guardian . El informe se produjo tras incidentes documentados en varios países europeos en los que activistas iraníes sufrieron intentos de pirateo informático, ciberataques, acoso en línea y amenazas de violencia física. Según se informó, las autoridades locales advirtieron a activistas de Alemania, Francia, el Reino Unido y España sobre amenazas presuntamente vinculadas a ciberactores iraníes. ^{[ 23 ]}