Un grupo de amenazas persistentes avanzadas (APT) supuestamente vinculado a Hamás está usando documentos con malware con el fin de infiltrarse en agencias gubernamentales y entidades diplomáticas de África y Oriente Medio, principalmente en Omán, Marruecos y la Autoridad Palestina. 
Como señuelo estos cibermalos usan documentos con temas políticos o diplomáticos para que los funcionarios piquen y abran los archivos maliciosos. La intrusión suele arrancar con un PDF infectado que induce a la víctima a descargar un archivo comprimido (.RAR) con el malware.

Cuando consigue entrar, la herramienta es capaz de extraer archivos, ejecutar comandos remotos y robar datos directamente de cuentas de email o sistemas comprometidos. 

Un veterano del conflicto

Ashen Lepus ha estado activo desde al menos 2018, pero sus campañas han evolucionado y ampliado su alcance. Al principio se enfocó en instituciones gubernamentales de países cercanos al conflicto Israel-Palestina, pero recientemente ha virado hacia los objetivos que señalábamos al principio. 

Investigadores de seguridad han observado solapamientos de herramientas y objetivos con otros grupos atribuidos a Hamás o a su esfera de influencia, como parte de redes más amplias de actores. Así, a este APT también lo han relacionado con otras agrupaciones más amplias, como Gaza Cybergang y Molerats. 

Investigaciones anteriores han asociado a hackers ligados a Hamás con variantes de malware como SysJoker, que en el pasado se dirigió a instituciones educativas en Israel.

Su manera de actuar deja entrever que su lev motiv es, fundamentalmente, recopilar inteligencia política y diplomática, más que causar daños.

Algo llamativo de este APT es que ha estado activo incluso durante y después del conflicto entre Israel y Hamás, incluso tras el alto el fuego que se registró en octubre.