第3種則是針對美國及以色列的國防和外交事務相關人士而來，駭客偽裝成非政府組織、Mailer Daemon、短網址服務Bitly，疑似透過釣魚郵件發動攻擊。他們看到對方去年11月，針對以色列大學的核子物理學教授下手，企圖竊取Microsoft 365帳密。

在透過上述3種管道取得帳密資料後，研究人員指出，他們在2022至2023年，看到這些駭客企圖從受害的美國、英國法律服務機構、非政府組織的公有雲基礎設施，竊取伊朗政府感興趣的敏感資料。

他們看到對方透過社交工程取得帳密資料後，就會將受害者導向冒牌的Duo身分驗證服務來繞過雙因素驗證（MFA），得逞後就會利用收信軟體Thunderbird存取受害者的電子郵件信箱，然後存取Citrix應用程式，並透過遠端桌面連線（RDP）進行偵察。

過程中駭客利用多種迴避偵測的手法，像是濫用Microsoft 365內建工具、檢視感興趣的資料後清除Chrome的瀏覽記錄，此外，駭客利用ExpressVPN服務、Cloudflare代管網域、臨時VPS伺服器來隱匿行蹤。

而對於駭客使用的後門程式，研究人員指出，Nicecurl是透過VBS打造而成，攻擊者可加裝特定的外掛模組，以便執行特定任務，此後門程式透過HTTPS加密通訊協定與C2通訊。

第2款後門程式Tamecat功能較為複雜，可執行PowerShell程式碼或C#指令碼，對方疑似藉此進行資料竊取及控制受害電腦。值得一提的是，攻擊者使用Base64混淆C2通訊流量，並能動態調整配置，從而迴避防毒軟體的偵測機制。