El actor de amenazas patrocinado por el estado iraní conocido como MuddyAgua se ha atribuido a un nuevo enjambre de ataques dirigidos a Turquía y la Península Arábiga con el objetivo de implementar troyanos de acceso remoto (RAT) en sistemas comprometidos.
“El supergrupo MuddyWater está muy motivado y puede utilizar el acceso no autorizado para realizar espionaje, robo de propiedad intelectual e implementar ransomware y malware destructivo en una empresa”, afirman los investigadores de Cisco Talos Asheer Malhotra, Vitor Ventura y Arnaud Zobec. dijo en un informe publicado hoy.
El grupo, que ha estado activo desde al menos 2017, es conocido por sus ataques a varios sectores que ayudan a promover los objetivos geopolíticos y de seguridad nacional de Irán. En enero de 2022, el Comando Cibernético de EE. UU. atribuyó al actor al Ministerio de Inteligencia y Seguridad (MOIS) del país.
También se cree que MuddyWater es un “conglomerado de múltiples equipos que operan de forma independiente en lugar de un solo grupo de actores de amenazas”, agregó la firma de ciberseguridad, lo que lo convierte en un actor general en la línea de Winntiuna amenaza persistente avanzada (APT) con sede en China.
Las últimas campañas emprendidas por el equipo de piratería implican el uso de documentos con malware entregados a través de mensajes de phishing para implementar un troyano de acceso remoto llamado SloughRAT (también conocido como Canopy de CISA) capaz de ejecutar código arbitrario y comandos recibidos de su comando y control ( C2) servidores.
El maldoc, un archivo de Excel que contiene una macro maliciosa, activa la cadena de infección para soltar dos archivos de script de Windows (.WSF) en el punto final, el primero de ellos actúa como instrumento para invocar y ejecutar la carga útil de la siguiente etapa.
También se descubrieron dos implantes adicionales basados en secuencias de comandos, uno escrito en Visual Basic y el otro codificado en JavaScript, ambos diseñados para descargar y ejecutar comandos maliciosos en el host comprometido.
Además, el último conjunto de intrusiones marca la continuación de una campaña de noviembre de 2021 que golpeó a organizaciones privadas e instituciones gubernamentales turcas con puertas traseras basadas en PowerShell para recopilar información de sus víctimas, incluso cuando exhibe superposiciones con otra campaña que tuvo lugar en marzo de 2021.
Los puntos en común en las tácticas y técnicas adoptadas por los operadores han planteado la posibilidad de que estos ataques sean “grupos de actividad distintos, pero relacionados”, con las campañas aprovechando un “paradigma más amplio de intercambio de TTP, típico de equipos operativos coordinados”, dijeron los investigadores. señalado.
Una segunda secuencia de ataque de phishing entre diciembre de 2021 y enero de 2022 se refirió al despliegue de descargadores maliciosos basados en VBS que utilizaban tareas programadas creadas por el adversario, lo que permitía la ejecución de cargas útiles recuperadas de un servidor remoto. Los resultados del comando se extraen posteriormente al servidor C2.
“Si bien comparten ciertas técnicas, estas campañas también denotan individualidad en la forma en que se llevaron a cabo, lo que indica la existencia de múltiples subequipos bajo el paraguas de Muddywater, todos compartiendo un conjunto de tácticas y herramientas para elegir”, concluyeron los investigadores. .