Il 17 giugno 2025 un attacco informatico ha paralizzato Bank Sepah, una delle principali istituzioni finanziarie dell’Iran.

L’attacco è stato rivendicato dal gruppo Predatory Sparrow, già noto per le sue operazioni distruttive contro infrastrutture critiche iraniane. Nel presente documento vi è un’analisi approfondita del Threat Actor Predatory Sparrow, delle sue capacità tecniche e degli obiettivi dichiarati, con particolare attenzione al contesto geopolitico e all’uso di malware proprietari.

Autori:

• Cyber Defence Center Maticmind
• Cyber Competence Center Maticmind
• Andrea Mariucci | Head of Cyber Defence Center @Maticmind
• Riccardo Michetti | Cyber Threat Intelligence Manager @Maticmind
• Federico Savastano | Cyber Threat Intelligence Analyst @Maticmind
• Ada Spinelli | Cyber Threat Intelligence Analyst @Maticmind

SCHEDA THREAT ACTOR: PREDATORY SPARROW

Nome Principale: Predatory Sparrow
Nomi Alternativi: – Gonjeshke Darande (گنجشک درنده – traduzione in farsi) – Indra (overlap parziale, similitudini nel codice dei malware utilizzati)
Classificazione: Gruppo hacktivista pro-israeliano
Primo Avvistamento: 2021
Stato Attuale: Attivo (ultima attività documentata: giugno 2025)

IDENTITÀ E AFFILIAZIONI

Predatory Sparrow si presenta come un gruppo di hacktivisti autoproclamato, ma la sua sofisticazione tecnica e le capacità operative suggeriscono un probabile coinvolgimento governativo o militare. Secondo un articolo di WIRED, fonti della difesa statunitense hanno riferito al New York Times che il gruppo era collegato a Israele.

Il gruppo, nato nel 2021, è entrato in stato di quiescenza tra il 2022 e l’ottobre 2023, tornando operativo all’avvio delle ostilità nella striscia di Gaza.

Diamond Model

Motivazioni e Obiettivi

• Obiettivo Primario: Condurre attacchi distruttivi contro l’Iran, allo scopo di infliggere danni paragonabili a quelli di attacchi convenzionali, con effetti nella sfera psicologica, per indebolire la fiducia della popolazione nel regime degli Ayatollah e la tenuta di questo, in un quadro di operazioni PSYOPS, campagne di disinformazione e azioni di sabotaggio, causando al contempo conseguenze economiche significative alle aziende iraniane connesse con il governo o con l’esercito.
• Motivazione Geopolitica: Si inserisce all’interno del confronto tra Israele, Iran e i proxy di quest’ultimo, allo scopo di rispondere agli attacchi condotti dalla Repubblica islamica direttamente o tramite proxy.
• Valenza strategica: affermare la capacità offensiva dell’attore nel colpire asset industriali e digitali critici in territorio iraniano, con l’obiettivo di esercitare pressione e destabilizzazione mirata.
• Tattiche di rivendicazione e propaganda
  
  • Utilizza canali X e Telegram per rivendicare gli attacchi
  • Pubblica video come prova degli attacchi riusciti, come nel caso del video dell’attacco distruttivo all’acciaieria iraniana
  • Include messaggi provocatori con riferimenti al Leader Supremo Iraniano
  • Si presenta talvolta come gruppo hacktivisti Iraniano per confondere l’attribuzione
  • Apparentemente, il gruppo conduce attacchi con il criterio dichiarato di non mettere a repentaglio vite innocenti (come riportato sul canale Telegram del TA e riportato da BBC)

  
  

CAPACITÀ TECNICHE

Il gruppo dimostra capacità tecniche avanzate che lasciano intendere l’accesso a risorse significative, una conoscenza approfondita dei sistemi industriali iraniani, nonché la capacità di sviluppare malware su misura per obiettivi specifici. Inoltre, evidenzia competenze rilevanti nei sistemi SCADA e ICS (Industrial Control Systems), utilizzati nel controllo di infrastrutture critiche. Rispetto alla maggior parte degli hacktivisti che intervengono su tematiche geopolitiche o di attualità, Predatory Sparrow si distingue per un know-how tecnico notevolmente superiore, che risulta tipico di attori collegati ad apparati statuali.

Settori di Specializzazione

Sistemi di Controllo Industriale (ICS/SCADA)

• Capacità di manipolare equipaggiamento industriale
• Accesso a sistemi di controllo di acciaierie e pompe di benzina
• Interferenza con sistemi ferroviari

Sistemi di Pagamento

• Compromissione di reti point-of-sale
• Attacchi a sistemi di carte di sussidio carburante
• Compromissione di Crypto Exchange
• Compromissione di enti finanziari

Infrastrutture Critiche

• Sistemi ferroviari nazionali
• Reti di distribuzione carburante
• Impianti siderurgici

TOOLSET E MALWARE

Sulla base delle informazioni attualmente disponibili, si ritiene che il gruppo sia in possesso di varianti del wiper “Meteor”, comparso per la prima volta nel 2021 e utilizzato da un threat actor denominato “Indra” contro infrastrutture siriane. Questo fattore potrebbe indicare una parziale sovrapposizione tra i due threat actor.

Lo strain di “Meteor” comprende diverse versioni, note come “Stardust” e “Comet”, sempre con funzionalità di wiper. “Chaplin” risulta invece essere il malware utilizzato nell’attacco alle acciaierie iraniane, non dotato di capacità di cancellazione dei dati ma di compromissione e controllo dei sistemi industriali.

Meteor Express (2021)

Meteor Express è un malware di tipo wiper a tre stadi, sviluppato tramite una combinazione di componenti open source e software legacy. Il codice è altamente modulare e progettato per operazioni distruttive mirate a infrastrutture strategiche.

Funzionalità principali

1. Sovrascrittura e cancellazione di file di sistema.
2. Blocco dell’accesso utente e terminazione dei processi.
3. Cancellazione del Master Boot Record (MBR).
4. Disabilitazione delle interfacce di rete.
5. Cambio delle password per tutti gli utenti
6. Log off delle sessioni attive
7. Disabilitazione della recovery mode

Kill Chain

• Reconnaissance: Presunta fase iniziale di raccolta informazioni tramite accessi precedenti alla rete target.
• Weaponization: Uso di componenti dropper e script batch per il rilascio dei payload.
• Delivery: Infezione attraverso accesso fisico/logico alle macchine o vulnerabilità RDP.
• Installation: Scrittura su disco di tool e script batch eseguiti in sequenza.
• Command and Control: Non presente in quanto malware non persistente e senza C2 attivo.
• Actions on Objectives: Distruzione dei dati, blocco degli account, sabotaggio del sistema operativo.

Tecniche MITRE ATT&CK correlate

• T1490 – Inhibit System Recovery
• T1485 – Data Destruction
• T1562.001 – Impair Defenses: Disable or Modify Tools
• T1489 – Service Stop
• T1491.001 – Defacement: Internal Defacement
• T.1531 – Account Access Removal

• Contesto operativo
  Attacco lanciato nel luglio 2021 contro la rete ferroviaria iraniana. L’obiettivo apparente era la destabilizzazione dell’infrastruttura pubblica e la generazione di caos operativo su larga scala.
• Attribuzione
  Malware attribuito al gruppo Indra.
• Valutazione di impatto

• Tecnico: Paralisi totale del sistema informatico ferroviario, con disservizi prolungati e blocchi operativi.
• Psicologico: Tentativo di disorientare l’opinione pubblica iraniana attraverso il sabotaggio simbolico.
• Obiettivo operativo: Operazione PSYOPS volta a delegittimare il governo iraniano e dimostrare la vulnerabilità delle infrastrutture pubbliche strategiche.

• Indicatori di Compromissione (IoCs)
• Directory di staging: %temp%\Meteor\

Comet (2021)

Malware wiper simile a Meteor ma privo di payload provocatori. Architettura a tre stadi, con codice misto tra componenti open e legacy.

Funzionalità principali

• Cancellazione file.
• Blocco utente e sistema.
• Disattivazione strumenti di logging.

Kill Chain

• Delivery: Script locali o remotizzati.
• Execution: Blocco e visualizzazione contenuti.
• Impact: Interruzione della normale operatività utente.

Tecniche MITRE ATT&CK correlate

• T1490 – Inhibit System Recovery
• T1485 – Data Destruction
• T1562.001 – Impair Defenses: Disable or Modify Tools
• T1489 – Service Stop
• T1491.001 – Defacement: Internal Defacement
• T.1531 – Account Access Removal
• Contesto operativo
• Uso in attacchi silenziosi contro infrastrutture critiche.
• Attribuzione
• Malware attribuito al gruppo Indra.
• Valutazione di impatto

• Tecnico: Elevato.
• Psicologico: Consistente, in quanto crea disservizio e mina la fiducia nelle infrastrutture statali
• Obiettivo operativo: Sabotaggio silenzioso e persistente.

Stardust (2020)

Wiper distruttivo impiegato in attacchi mirati contro obiettivi siriani. Simile a Comet, ma specificamente orientato alla distruzione sistematica dei dati sensibili.

Funzionalità principali

• Sovrascrittura file sensibili.
• Interruzione del sistema.
• Blocco del boot.

Kill Chain

• – Delivery: Tramite accesso ai sistemi vulnerabili.
• – Execution: Esecuzione del wiper su endpoint.
• – Impact: Eliminazione dei dati sensibili e blocco operativo.

Tecniche MITRE ATT&CK correlate

• T1485 – Data Destruction
• T1490 – System Recovery Inhibition
• T1499 – DoS
• Contesto operativo
• Attacchi contro aziende siriane strategiche, senza elementi rivendicativi.
• Attribuzione
• Malware attribuito al gruppo Indra.
• Valutazione di impatto