Cyber Isnaad Front (IRGC/ASA) : sabotage IT et OT d'une usine alimentaire israélienne

🔍 Contexte

Source : Profero Threat Intelligence, publiée le 24 mai 2026. L’article documente une opération de sabotage combinée IT/OT menée contre une usine de production alimentaire israélienne, attribuée avec haute confiance à Cyber Isnaad Front, persona opérée par ou aux côtés d’Aria Sepehr Ayandehsazan (ASA), successeur de l’entité sanctionnée Emennet Pasargad, affiliée à l’IRGC.

🎭 Acteur de la menace

• Cyber Isnaad Front : persona arabophone présentée comme un collectif hacktiviste pro-palestinien, active depuis juin 2025
• Opérée par/avec ASA (Aria Sepehr Ayandehsazan), successeur d’Emennet Pasargad (sanctionné par l’OFAC pour ingérence électorale US 2020)
• Modèle opératoire : hack-and-leak public + destruction silencieuse en arrière-plan
• Cibles déclarées : sous-traitants défense israéliens, logistique carburant (~5 To), opérateurs télécom (>160 clients data center)

💻 Volet IT : malware GRAT (Go Remote Access Toolkit)

GRAT est un binaire Go unique (~10,4 Mo) intégrant 11 sous-systèmes :

• Persistance : tâche planifiée “OneDrive Update” (relance toutes les minutes et au démarrage), répertoires utilisateur
• Déguisement : noms de fichiers (SpellChecker.exe, WindowsUpdater.exe, Checker.exe.exe) et chemins imitant Microsoft
• Capacités : énumération système (AV, BitLocker), gestion processus/registre/services, serveur VNC, exfiltration vers cloud
• Module ransomware : chiffrement nommé “BigBang”
• Module wiper : écrasement du disque physique + destruction de la table de partitions (variante multi-passes : zéro, aléatoire, 0xFF via syscalls directs)
• C2 dual-channel : commandes via RabbitMQ over TLS (port 7878), résultats via Redis plain TCP (port 9988), serveur 84.201.6.131
• Paramètres de connexion chiffrés AES-256 par build (architecture builder : une clé par cible)

🏭 Volet OT : sabotage physique de la réfrigération CO2

L’attaquant a compromis deux systèmes de réfrigération industrielle (réfrigérant R-744/CO2) :

Système ancien :

• Modification des setpoints, seuils de protection, limites d’alarme
• Restauration possible en quelques heures

Système récent (impact majeur) :

• Effacement et réinitialisation complète de la configuration du contrôleur (entrées/sorties numériques et analogiques)
• Vannes motorisées passées en mode manuel et bloquées ouvertes (gas cooler + receiver)
• Changement des credentials du contrôleur central → lockout des ingénieurs
• Conséquence physique : arrivée de liquide dans les compresseurs → destruction de 3 compresseurs (le liquide CO2 est incompressible), décharge du circuit via soupapes de sécurité
• Durée de remise en service : plusieurs jours, remplacement de compresseurs, vannes, filtres, re-câblage, tests pression/vide, recharge R-744
• Aucun malware déployé sur les contrôleurs OT : sabotage réalisé dans le langage natif de l’équipement

📊 Type d’article

Rapport d’incident technique détaillé publié par Profero IRT, visant à documenter une opération hybride IT/OT, fournir des IoCs exploitables, une règle YARA, un mapping MITRE ATT&CK (Enterprise + ICS) et des indicateurs de détection pour les défenseurs.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Cyber Isnaad Front (state-sponsored) —
• Aria Sepehr Ayandehsazan (state-sponsored) —
• Emennet Pasargad (state-sponsored) — orkl.eu · Malpedia

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1547.001 — Registry Run Keys / Startup Folder (Persistence)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1070.001 — Indicator Removal: Clear Windows Event Logs (Defense Evasion)
• T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1082 — System Information Discovery (Discovery)
• T1518.001 — Security Software Discovery (Discovery)
• T1071 — Application Layer Protocol (Command and Control)
• T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
• T1571 — Non-Standard Port (Command and Control)
• T1567.002 — Exfiltration to Cloud Storage (Exfiltration)
• T1486 — Data Encrypted for Impact (Impact)
• T1561.001 — Disk Wipe: Disk Content Wipe (Impact)
• T1561.002 — Disk Wipe: Disk Structure Wipe (Impact)
• T1490 — Inhibit System Recovery (Impact)
• T0892 — Change Credential (Persistence / Evasion)
• T0836 — Modify Parameter (Impair Process Control)
• T0889 — Modify Program (Inhibit Response Function)
• T0858 — Change Operating Mode (Impair Process Control)
• T0831 — Manipulation of Control (Impair Process Control)
• T0879 — Damage to Property (Impact)
• T0826 — Loss of Availability (Impact)
• T0809 — Data Destruction (Impact)

IOC

• IPv4 : 84.201.6.131 — AbuseIPDB · VT · ThreatFox
• IPv4 : 146.103.40.190 — AbuseIPDB · VT · ThreatFox
• IPv4 : 193.29.104.5 — AbuseIPDB · VT · ThreatFox
• IPv4 : 45.82.66.163 — AbuseIPDB · VT · ThreatFox
• IPv4 : 84.201.6.128 — AbuseIPDB · VT · ThreatFox
• IPv4 : 84.201.6.129 — AbuseIPDB · VT · ThreatFox
• IPv4 : 85.137.56.9 — AbuseIPDB · VT · ThreatFox
• IPv4 : 85.17.55.232 — AbuseIPDB · VT · ThreatFox
• SHA256 : 6f5f427d96656ae51405e6a5e65253759db45ea0a17da2d70f881404a4ed717b — VT · MalwareBazaar
• SHA256 : 0ad128e813314e4562489478e6def8c6dfcc251e006d7f55b24273e93d3bc7fb — VT · MalwareBazaar
• SHA256 : c4909b2d7a7f813b5a3d729fe64535033e716ae89dc39c402a6cb8ccbccaadca — VT · MalwareBazaar
• SHA256 : 86194eb5c5abcfe763899aaad7eb64894c71e816dd7d27427c8bac4ab280533d — VT · MalwareBazaar
• Fichiers : SpellChecker.exe
• Fichiers : WindowsUpdater.exe
• Fichiers : Checker.exe.exe
• Chemins : C:\Users\<user>\AppData\Roaming\Microsoft\Spelling\SpellChecker.exe
• Chemins : C:\ProgramData\WindowsUpdater.exe

Malware / Outils

• GRAT (Go Remote Access Toolkit) (rat)

🟢 Indice de vérification factuelle : 72/100 (haute)

• ⬜ profero.io — source non référencée (0pts)
• ✅ 20940 chars — texte complet (fulltext extrait) (15pts)
• ✅ 17 IOCs dont des hashes (15pts)
• ✅ 2/6 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, VirusTotal) (12pts)
• ✅ 25 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Cyber Isnaad Front, Aria Sepehr Ayandehsazan, Emennet Pasargad (5pts)
• ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

• 146.103.40.190 (ip) → AbuseIPDB (45% confiance, 101 signalements) + VT (18/91 détections)
• 193.29.104.5 (ip) → VT (8/91 détections)

🔗 Source originale : https://profero.io/blog/war-between-wars/