Sima est un groupe d'origine présumée iranienne ciblant les Iraniens de la diaspora. En février 2016, des personnes s'intéressant à l'Iran ont reçu des messages prétendant émaner de la directrice des situations d'urgence de Human Rights Watch (HRW), les invitant à lire un article sur l'Iran poussant les réfugiés afghans à combattre en Syrie. Tout en faisant référence à un véritable rapport publié par HRW, les liens fournis pour la biographie de la directrice et l'article redirigeaient le destinataire vers un maliciel hébergé ailleurs. Ces tentatives de spear-phishing représentent une évolution des acteurs iraniens du point de vue de leurs tactiques d'ingénierie sociale et de leur ciblage restreint. Bien que les messages comportaient encore de légères erreurs grammaticales et stylistiques qui seraient évidentes pour un locuteur natif, les acteurs ont démontré une meilleure maîtrise de la langue anglaise que les ensembles d'intrusion précédents et un investissement plus poussé dans les recherches préalables à la tentative. Les acteurs se sont approprié une identité réelle dont on attendrait qu'elle interagisse professionnellement avec le sujet, puis ont offert une validation au moyen de liens vers sa biographie et ses réseaux sociaux, le premier de ces liens étant lui-même un maliciel. Les documents d'appât contenaient un véritable article pertinent au regard de leurs centres d'intérêt et du sujet évoqué, et le message tentait d'expliquer en quoi il correspondait à leurs recherches professionnelles ou à leur domaine d'emploi. Les documents référencés envoyés étaient des binaires malveillants se faisant passer pour des fichiers légitimes au moyen de la tactique courante des noms de fichiers de droite à gauche afin de dissimuler la véritable extension du fichier. Toutes ces techniques, bien que constituant des mécanismes de prétexte courants, représentent un raffinement par rapport à la tendance d'autres groupes à simplement envoyer continuellement différentes formes de maliciels ou de phishing génériques, dans l'espoir que l'un d'eux finisse par réussir.
Références
Métadonnées de l'acteur importées depuis Malpedia (Fraunhofer FKIE).