2023年8月，研究人员分析了一种新的恶意软件，并将其归因于APT34组织。研究人员发现了该组织在有针对性的网络钓鱼攻击中使用的恶意文档，该文档负责投放研究人员称为 Menorah 的新恶意软件（取自恶意文档投放的可执行文件，被检测为 Trojan.W97M.SIDETWIST.AB），并创建一个计划任务以实现持久性。该恶意软件专为网络间谍活动而设计，能够识别机器、从机器读取和上传文件以及下载其他文件或恶意软件。在调查过程中，有关该恶意软件针对的受害者的信息很少。APT34 再此次攻击中使用的文件名为“MyCv.doc”，一份与塞舌尔许可证管理局有关的许可证登记表。不过，研究人员注意到该文件包含以沙特里亚尔为单位的定价信息，这可能表明目标受害者是沙特阿拉伯王国境内的一个组织。

APT34是一个疑似来自伊朗的APT组织。研究人员捕获了一个新的APT34钓鱼攻击活动。在该活动中，APT34攻击者伪装成一个名为GGMS的市场营销服务公司，向企业目标发动攻击，最终投放一种SideTwist变种木马，实现对受害主机的长期控制。

APT34发动了供应链攻击，最终目标是获取阿拉伯联合酋长国 (UAE) 境内政府目标的访问权限。APT34创建了一个虚假网站，伪装成阿联酋的一家 IT 公司，将招聘表格发送给目标 IT 公司，当受害者打开恶意文档以申请广告中的 IT 职位时，就会执行信息窃取恶意软件。

2022年12月，研究人员发现一个可疑的可执行文件（Trojan.MSIL.REDCAP.AD），该文件已在多台计算机上投放并执行。 研究人员将此攻击与APT34组织联系起来，其主要目标是窃取用户的凭据。即使在密码重置或更改的情况下，恶意软件也能够将新凭据发送给攻击者。该恶意软件能够使用新的过滤技术——滥用受感染的邮箱帐户，将窃取的数据从内部邮箱发送到攻击者控制的外部邮件帐户。恶意软件数据泄露例程的高级概述如下：

4月26日，研究人员发现了一封针对约旦外交部政府官员的可疑电子邮件。该电子邮件包含一个恶意 Excel 文档，其中包含一个名为Saitama的新后门。经调查，研究人员将此次攻击归因于已知的伊朗组织APT34。APT34又名OilRig/COBALT GYPSY/IRN2/HELIX KITTEN，是一个伊朗威胁组织，至少自 2014 年以来针对中东国家和全球受害者发起攻击，目标行业为金融、政府、能源、化学和电信行业。

2021年以来，研究人员追踪到多起以军队事务和移动运营商业务为话题的定向攻击活动。攻击者伪装成为军事部门以军队内部事务如海军战舰就绪清单、某军官解雇令为诱饵对目标发起定向攻击并植入木马，同时也常常伪装成为一些国家的重要企业以招聘人员为由攻击目标。研究人员通过对攻击目标、入侵技术特点、代码同源性等因素进行比对分析后，确认此批攻击来源于APT34组织。APT34组织2019年的武器库泄露事件中曾暴露出其控制的Exchange服务器的webshell列表，这些列表中包含了十多家被黑客成功渗透过的中国企业和机构。APT34于2016年首次被披露，是一个来自于伊朗的APT组织，其最早活跃时间可追溯到2014年，攻击目标主要集中在中东及亚洲地区，涉及金融、政府、能源、化工、电信等行业。APT34善于采用通信隐匿技术来规避检测和追踪，比如：通过Exchange Web Services (EWS) API实现高可信度、高隐匿性的“EWS隧道技术”。APT34组织的攻击活动时间线如下：

研究人员发现了来自伊朗的APT34组织的最新攻击活动，本次攻击针对的目标似乎是黎巴嫩，目的是旨在通过SideTwist后门从受感染系统中窃取敏感信息，APT34（又名OilRig）组织主要攻击中东的金融，政府，能源，化工和电信行业，其行动与伊朗的战略利益保持一致 。在2018年的DNSpionage活动起，就观察到该组织通过伪造的工作机会文档来定向针对目标，这些文件是通过LinkedIn消息直接发送给的，而2021年1月所发现的攻击活动也是使用相同的方式，但暂不清楚文件的交付方式是什么。恶意文档于2021年1月10日从黎巴嫩上传到VirusTotal，该文档提供了位于美国的一家名为Ntiva IT咨询公司的不同职位信息，

2020年10月上旬，研究人员发现了一个恶意文档样本，该样本可能归因于一个名为APT34/OilRig的APT组织。安全研究人员报告了基于恶意文档中发现的几种元素对其进行归因。根据提取的证据，作者对该恶意文档进行“签名”，并将用户名保留在文档元数据中。此昵称在网络威胁情报领域广为人知。这个昵称是Iamfarhadzadeh，与Mohammad Farhadzadeh关联，这个人名被认为是APT34/OilRig黑客组织的成员。至于为何在文档元数据中留下这个昵称。我们的第一个假设是故意欺骗安全研究人员，促使他们通过发布与社会政治事件相关的恶意文档，将恶意活动归因于网络间谍活动。

近日360发现伊朗APT组织的最新攻击活动样本。其中一类样本是Cobalt Strike生成的loader加载器与Beacon后门。加载器通过管道传输数据读写，内部隐藏着加密后的beacon.dll内存反射后门，通过异或解密后，直接在内存中创建线程执行。Beacon内部存储了C&C、端口、通信方式等配置信息。该组织在2020年对中东电信组织的攻击活动中使用的RDAT是以加密后的硬编码地址作为C&C。与历史攻击活动中的样本不同，此次攻击RDAT仅使用DNS通信，数据传输方式为，其中的数据使用AES加密生成。通过关联发现，发现样本的C2地址大部分出现在伊朗APT组织OilRig和GreenBug过去的攻击活动中。

今年5月，研究人员发现伊朗的Oilrig黑客组织在工具库中添加了DNSExfiltrator工具，该工具是GitHub上可用的开源项目，通过收集数据并将其隐藏在非标准协议中来创建隐蔽的通信通道。Oilrig有可能使用DoH作为渗透渠道，在受害者网络中横向移动，以便进行数据窃取或监视活动。DoH协议是当前理想的渗透渠道。首先，这是一个新协议，并非所有安全产品都能够监视，其次，DoH协议是默认加密的，这能够避免在窃取数据时被检测。Oilrig 组织之前就有DNS渗透历史，并在2018年就开始使用名为DNSpionage的定制工具，因此，Oilrig是首批部署DoH的APT组织也不足为奇。