בכנס אבטחת המידע ומודיעין הסייבר הראשון של החברה- כנס LABScon
חוקרי חברת סנטינל וואן חשפו קבוצת ATP לא מוכרת בשם Metador, שפעלה כנגד חברות תקשורת, ספקי אינטרנט ואוניברסיטאות במזרח התיכון ובאפריקה. מקור הקבוצה עדיין לא ידוע. חוקרי החברה חשפו את הפעילות בכנס אבטחת המידע ומודיעין סייבר LABScon, שאותו קיימה החברה בפעם הראשונה בחודש ספטמבר 2022 ובמהלכו התארחו והציגו חוקרי אבטחה ומודיעין מובילים מרחבי התעשייה.
שמה של הקבוצה ניתן לה כמש-אפ בין הביטוי ״Meta״ (באחד מהסטרינגים של התוכנה מופיע הביטוי “I am meta” ) והמאטדור שמזוהה עם התרבות הספרדית (משום שחלק מהטקסטים של שרתי השליטה של הקבוצה כתובים בספרדית ומרפררים לתרבות פופולארית לטינו-אמריקאית).
חוקרי החברה גילו את הפעילות לאחר שאחד הגופים שהותקף התקין את פלטפורמת ה XDR- של החברה, דבר שגרם לתוקפים לשנות את פעילותם באופן חריג וכך גרמו לחשיפתם.
מניתוח פעילות עבר של הקבוצה עולה שמדובר בתוקפים מיומנים שלא משתמשים בתשתית משותפת לתקיפות שונות ופועלים בזהירות רבה, מה שתרם לכך שפעלו זמן רב מבלי להיחשף. מכיוון שהחוקרים נחשפו לפעילות של התוקפים רק בשלב מאוחר יחסית (כאמור- המערכת של SentinelOne הותקנה בתגובה לכך שהלקוח חשד בפריצה), לא ניתן היה לקבוע את וקטור החדירה הראשוני לארגון. על אף מאמצים רבים שנעשו, בשיתוף עם גורמי מחקר וגופי אכיפת חוק בעולם, לא ניתן כרגע לקבוע בוודאות את מקור הקבוצה. נבירה בקוד העלתה שמות ומונחים שקשורים לעולם התרבותי ההיספאני ולהקת פופ בריטית משנות ה-80, וניתוח זמני הפעולה של כותבי הקוד מראה על פעילות באזור זמן של GMT +1 (מרכז אירופה). על אף שמקובל להניח שפעילות מתוחכמת כזו מבוצעת על ידי תוקפים מדינתיים, יש אינדיקציות לכך שלפחות חלק מהתשתית נוצר בידי קבלני משנה אזרחיים.
אופן הפעילות- שימוש בתשתיות חדשות במקום מחזור תשתיות תקיפה קיימות, שימוש בכתובת IP אחד חדשה פר קורבן)- מעידות שהמפעילים של הקמפיין בקיאים מאוד בתורת הגנה ובתפעול מערכות הגנה מודרניות, ועשו כל שביכולתם לחדור למטרה בעלת ערך ולהישאר פעילים בה, באופן חשאי, למשך זמן ארוך ככל הניתן.
ניתן להסיק מכך שמטרת התוקפים הייתה איסוף מידע מודיעיני ערכי.
