2023年8月，研究人員分析了一種新的惡意軟件，并將其歸因于APT34組織。研究人員發現了該組織在有針對性的網絡釣魚攻擊中使用的惡意文檔，該文檔負責投放研究人員稱為 Menorah 的新惡意軟件（取自惡意文檔投放的可執行文件，被檢測為 Trojan.W97M.SIDETWIST.AB），并創建一個計劃任務以實現持久性。該惡意軟件專為網絡間諜活動而設計，能夠識別機器、從機器讀取和上傳文件以及下載其他文件或惡意軟件。在調查過程中，有關該惡意軟件針對的受害者的信息很少。APT34 再此次攻擊中使用的文件名為“MyCv.doc”，一份與塞舌爾許可證管理局有關的許可證登記表。不過，研究人員注意到該文件包含以沙特里亞爾為單位的定價信息，這可能表明目標受害者是沙特阿拉伯王國境內的一個組織。

APT34是一個疑似來自伊朗的APT組織。研究人員捕獲了一個新的APT34釣魚攻擊活動。在該活動中，APT34攻擊者偽裝成一個名為GGMS的市場營銷服務公司，向企業目標發動攻擊，最終投放一種SideTwist變種木馬，實現對受害主機的長期控制。

APT34發動了供應鏈攻擊，最終目標是獲取阿拉伯聯合酋長國 (UAE) 境內政府目標的訪問權限。APT34創建了一個虛假網站，偽裝成阿聯酋的一家 IT 公司，將招聘表格發送給目標 IT 公司，當受害者打開惡意文檔以申請廣告中的 IT 職位時，就會執行信息竊取惡意軟件。

2022年12月，研究人員發現一個可疑的可執行文件（Trojan.MSIL.REDCAP.AD），該文件已在多臺計算機上投放并執行。 研究人員將此攻擊與APT34組織聯系起來，其主要目標是竊取用戶的憑據。即使在密碼重置或更改的情況下，惡意軟件也能夠將新憑據發送給攻擊者。該惡意軟件能夠使用新的過濾技術——濫用受感染的郵箱帳戶，將竊取的數據從內部郵箱發送到攻擊者控制的外部郵件帳戶。惡意軟件數據泄露例程的高級概述如下：

4月26日，研究人員發現了一封針對約旦外交部政府官員的可疑電子郵件。該電子郵件包含一個惡意 Excel 文檔，其中包含一個名為Saitama的新后門。經調查，研究人員將此次攻擊歸因于已知的伊朗組織APT34。APT34又名OilRig/COBALT GYPSY/IRN2/HELIX KITTEN，是一個伊朗威脅組織，至少自 2014 年以來針對中東國家和全球受害者發起攻擊，目標行業為金融、政府、能源、化學和電信行業。

2021年以來，研究人員追蹤到多起以軍隊事務和移動運營商業務為話題的定向攻擊活動。攻擊者偽裝成為軍事部門以軍隊內部事務如海軍戰艦就緒清單、某軍官解雇令為誘餌對目標發起定向攻擊并植入木馬，同時也常常偽裝成為一些國家的重要企業以招聘人員為由攻擊目標。研究人員通過對攻擊目標、入侵技術特點、代碼同源性等因素進行比對分析后，確認此批攻擊來源于APT34組織。APT34組織2019年的武器庫泄露事件中曾暴露出其控制的Exchange服務器的webshell列表，這些列表中包含了十多家被黑客成功滲透過的中國企業和機構。APT34于2016年首次被披露，是一個來自于伊朗的APT組織，其最早活躍時間可追溯到2014年，攻擊目標主要集中在中東及亞洲地區，涉及金融、政府、能源、化工、電信等行業。APT34善于采用通信隱匿技術來規避檢測和追蹤，比如：通過Exchange Web Services (EWS) API實現高可信度、高隱匿性的“EWS隧道技術”。APT34組織的攻擊活動時間線如下：

研究人員發現了來自伊朗的APT34組織的最新攻擊活動，本次攻擊針對的目標似乎是黎巴嫩，目的是旨在通過SideTwist后門從受感染系統中竊取敏感信息，APT34（又名OilRig）組織主要攻擊中東的金融，政府，能源，化工和電信行業，其行動與伊朗的戰略利益保持一致 。在2018年的DNSpionage活動起，就觀察到該組織通過偽造的工作機會文檔來定向針對目標，這些文件是通過LinkedIn消息直接發送給的，而2021年1月所發現的攻擊活動也是使用相同的方式，但暫不清楚文件的交付方式是什么。惡意文檔于2021年1月10日從黎巴嫩上傳到VirusTotal，該文檔提供了位于美國的一家名為Ntiva IT咨詢公司的不同職位信息，

2020年10月上旬，研究人員發現了一個惡意文檔樣本，該樣本可能歸因于一個名為APT34/OilRig的APT組織。安全研究人員報告了基于惡意文檔中發現的幾種元素對其進行歸因。根據提取的證據，作者對該惡意文檔進行“簽名”，并將用戶名保留在文檔元數據中。此昵稱在網絡威脅情報領域廣為人知。這個昵稱是Iamfarhadzadeh，與Mohammad Farhadzadeh關聯，這個人名被認為是APT34/OilRig黑客組織的成員。至于為何在文檔元數據中留下這個昵稱。我們的第一個假設是故意欺騙安全研究人員，促使他們通過發布與社會政治事件相關的惡意文檔，將惡意活動歸因于網絡間諜活動。

近日360發現伊朗APT組織的最新攻擊活動樣本。其中一類樣本是Cobalt Strike生成的loader加載器與Beacon后門。加載器通過管道傳輸數據讀寫，內部隱藏著加密后的beacon.dll內存反射后門，通過異或解密后，直接在內存中創建線程執行。Beacon內部存儲了C&C、端口、通信方式等配置信息。該組織在2020年對中東電信組織的攻擊活動中使用的RDAT是以加密后的硬編碼地址作為C&C。與歷史攻擊活動中的樣本不同，此次攻擊RDAT僅使用DNS通信，數據傳輸方式為，其中的數據使用AES加密生成。通過關聯發現，發現樣本的C2地址大部分出現在伊朗APT組織OilRig和GreenBug過去的攻擊活動中。

今年5月，研究人員發現伊朗的Oilrig黑客組織在工具庫中添加了DNSExfiltrator工具，該工具是GitHub上可用的開源項目，通過收集數據并將其隱藏在非標準協議中來創建隱蔽的通信通道。Oilrig有可能使用DoH作為滲透渠道，在受害者網絡中橫向移動，以便進行數據竊取或監視活動。DoH協議是當前理想的滲透渠道。首先，這是一個新協議，并非所有安全產品都能夠監視，其次，DoH協議是默認加密的，這能夠避免在竊取數據時被檢測。Oilrig 組織之前就有DNS滲透歷史，并在2018年就開始使用名為DNSpionage的定制工具，因此，Oilrig是首批部署DoH的APT組織也不足為奇。