Handala Hack es considerado un grupo de hacktivistas proiraníes y pro-palestinos

Ciberdelincuentes vinculados a Irán lograron acceder a la cuenta de correo electrónico personal de Kash Patel, director del Buró Federal de Investigaciones (FBI) de Estados Unidos, y filtraron a Internet un conjunto de fotos y otros documentos.

Handala Hack Team, el grupo que llevó a cabo el ataque, declaró en su sitio web que Patel "ahora figurará en la lista de víctimas de ciberataques exitosos". En un comunicado compartido con Reuters, el FBI confirmó que los correos electrónicos de Patel habían sido el objetivo y señaló que se han tomado las medidas necesarias para "mitigar los riesgos potenciales asociados con esta actividad".

La agencia también afirmó que los datos publicados eran de carácter histórico y no contenían información gubernamental. La filtración incluye correos electrónicos de 2010 y 2019 supuestamente enviados por Patel.

Handala Hack es considerado un grupo de hacktivistas proiraníes y pro-palestinos, cuya identidad ha sido adoptada por el Ministerio de Inteligencia y Seguridad de Irán (MOIS). La comunidad de ciberseguridad lo rastrea bajo los alias Banished Kitten, Cobalt Mystique, Red Sandstorm y Void Manticore, y desde mediados de 2022 opera con otro alias llamado Homeland Justice para atacar a entidades albanesas.

Una tercera personalidad vinculada al adversario afiliado a MOIS es Karma, que, según se dice, probablemente fue reemplazada por completo por Handala Hack desde finales de 2023.

Los datos recopilados por StealthMole han revelado que la presencia en línea de Handala se extiende más allá de las plataformas de mensajería y los foros de ciberdelincuencia como BreachForums para dar a conocer sus actividades, manteniendo una infraestructura en capas que incluye dominios web superficiales, servicios alojados en Tor y plataformas externas de alojamiento de archivos como MEGA.

"Handala ha atacado sistemáticamente a proveedores de TI y servicios en un intento por obtener credenciales, basándose principalmente en cuentas VPN comprometidas para el acceso inicial", afirmó Check Point en un informe publicado este mes. "Durante los últimos meses, identificamos cientos de intentos de inicio de sesión y ataques de fuerza bruta contra la infraestructura VPN de las organizaciones vinculada a la infraestructura asociada a Handala".

Se sabe que los ataques perpetrados por el grupo proxy aprovechan el protocolo RDP para el movimiento lateral e inician operaciones destructivas mediante la instalación de malware de borrado de datos, como Handala Wiper y Handala PowerShell Wiper, a través de scripts de inicio de sesión de directivas de grupo. También utilizan utilidades legítimas de cifrado de disco, como VeraCrypt, para dificultar las labores de recuperación.

"A diferencia de los grupos ciberdelincuentes con motivaciones económicas, la actividad asociada a Handala se ha centrado históricamente en la desestabilización, el impacto psicológico y la señalización geopolítica", afirmó Flashpoint. "Las operaciones atribuidas a este perfil suelen coincidir con períodos de alta tensión geopolítica y a menudo tienen como objetivo organizaciones con valor simbólico o estratégico".