Se ha descubierto un actor de amenazas del nexo geopolítico iraní que despliega dos nuevos programas maliciosos dirigidos que vienen con funcionalidades de puerta trasera “simples” como parte de una intrusión contra una entidad gubernamental no identificada de Oriente Medio en noviembre de 2021.
La compañía de seguridad cibernética Mandiant atribuyó el ataque a un grupo no categorizado que está rastreando bajo el nombre UNC3313que evalúa con “confianza moderada” como asociado con el grupo patrocinado por el estado MuddyWater.
“UNC3313 realiza vigilancia y recopila información estratégica para apoyar los intereses y la toma de decisiones iraníes”, los investigadores Ryan Tomcik, Emiel Haeghebaert y Tufail Ahmed. dijo. “Los patrones de orientación y los señuelos relacionados demuestran un fuerte enfoque en objetivos con un nexo geopolítico”.
A mediados de enero de 2022, las agencias de inteligencia de EE. UU. caracterizaron a MuddyWater (también conocido como Static Kitten, Seedworm, TEMP.Zagros o Mercury) como un elemento subordinado del Ministerio de Inteligencia y Seguridad iraní (MOIS) que ha estado activo desde al menos 2018 y es conocido por utilizar una amplia gama de herramientas y técnicas en sus operaciones.
Se dice que los ataques se orquestaron a través de mensajes de phishing para obtener acceso inicial, y luego aprovecharon las herramientas de seguridad ofensivas disponibles públicamente y el software de acceso remoto para el movimiento lateral y el mantenimiento del acceso al entorno.
Los correos electrónicos de phishing se diseñaron con un señuelo de promoción laboral y engañaron a varias víctimas para que hicieran clic en una URL para descargar un archivo RAR alojado en OneHub, lo que allanó el camino para la instalación de ScreenConnect, un software de acceso remoto legítimo para hacerse un hueco.
“UNC3313 se movió rápidamente para establecer el acceso remoto mediante el uso de ScreenConnect para infiltrarse en los sistemas dentro de una hora del compromiso inicial”, señalaron los investigadores, y agregaron que el incidente de seguridad se contuvo y remedió rápidamente.
Las fases subsiguientes del ataque involucraron la escalada de privilegios, la realización de un reconocimiento interno en la red objetivo y la ejecución de comandos ofuscados de PowerShell para descargar herramientas adicionales y cargas útiles en sistemas remotos.
También se observó una puerta trasera no documentada previamente llamada STARWHALE, un archivo de script de Windows (.WSF) que ejecuta comandos recibidos de un servidor de comando y control (C2) codificado a través de HTTP.
Otro implante entregado durante el curso del ataque es GRAMDOOR, llamado así debido a su uso de la API de Telegram para sus comunicaciones de red con el servidor controlado por el atacante en un intento por evadir la detección, destacando una vez más el uso de herramientas de comunicación para facilitar la exfiltración. de datos.
Los hallazgos también coinciden con un nuevo aviso conjunto de las agencias de seguridad cibernética del Reino Unido y los EE. UU., acusando al grupo MuddyWater de ataques de espionaje dirigidos a los sectores de defensa, gobierno local, petróleo y gas natural y telecomunicaciones en todo el mundo.
About the Author
