El actor-estado-naci\u00f3n iran\u00ed conocido como FangosoAgua<\/strong> ha aprovechado un marco de comando y control (C2) recientemente descubierto llamado MuddyC2Go en sus ataques al sector de las telecomunicaciones en Egipto, Sud\u00e1n y Tanzania.<\/p>\n El equipo Symantec Threat Hunter, parte de Broadcom, es seguimiento<\/a> la actividad bajo el nombre Seedworm, que tambi\u00e9n se rastrea bajo los apodos Boggy Serpens, Cobalt Ulster, Earth Vetala, ITG17, Mango Sandstorm (anteriormente Mercury), Static Kitten, TEMP.Zagros y Yellow Nix.<\/p>\n Activo desde al menos 2017, se considera que MuddyWater est\u00e1 afiliado al Ministerio de Inteligencia y Seguridad de Ir\u00e1n (MOIS), destacando principalmente entidades en el Medio Oriente.<\/p>\n El uso de MuddyC2Go por parte del grupo de ciberespionaje fue destacado por primera vez por Deep Instinct el mes pasado, describi\u00e9ndolo como un reemplazo basado en Golang para PhonyC2, en s\u00ed mismo un sucesor de MuddyC3. Sin embargo, hay pruebas que sugieren que es posible que se haya empleado ya en 2020.<\/p>\n Supere las amenazas impulsadas por la IA con confianza cero: seminario web para profesionales de la seguridad<\/p>\n <\/a> <\/p>\n Las medidas de seguridad tradicionales no son suficientes en el mundo actual. Es hora de adoptar la seguridad Zero Trust. Proteja sus datos como nunca antes. <\/p>\n \u00danete ahora<\/a> <\/section>\n Si bien a\u00fan no se conoce el alcance total de las capacidades de MuddyC2Go, el ejecutable viene equipado con un script PowerShell que se conecta autom\u00e1ticamente al servidor C2 de Seedworm, brindando as\u00ed a los atacantes acceso remoto a un sistema v\u00edctima y obviando la necesidad de ejecuci\u00f3n manual por parte de un operador.<\/p>\n Tambi\u00e9n se descubri\u00f3 que el \u00faltimo conjunto de intrusiones, que tuvo lugar en noviembre de 2023, depend\u00eda de SimpleHelp y Venom Proxy, junto con un registrador de teclas personalizado y otras herramientas disponibles p\u00fablicamente.<\/p>\n Las cadenas de ataques montadas por el grupo tienen un historial de convertir en armas correos electr\u00f3nicos de phishing y vulnerabilidades conocidas en aplicaciones sin parches para el acceso inicial, seguido de la realizaci\u00f3n de reconocimiento, movimiento lateral y recopilaci\u00f3n de datos.<\/p>\n En los ataques documentados por Symantec dirigidos a una organizaci\u00f3n de telecomunicaciones an\u00f3nima, se ejecut\u00f3 el iniciador MuddyC2Go para establecer contacto con un servidor controlado por un actor, al mismo tiempo que se implementaba software leg\u00edtimo de acceso remoto como AnyDesk y SimpleHelp.<\/p>\n Se dice que la entidad fue comprometida previamente por el adversario a principios de 2023, en el que se utiliz\u00f3 SimpleHelp para iniciar PowerShell, entregar software proxy y tambi\u00e9n instalar la herramienta de acceso remoto JumpCloud.<\/p>\n “En otra empresa de medios y telecomunicaciones objetivo de los atacantes, se utilizaron m\u00faltiples incidentes de SimpleHelp para conectarse a la infraestructura conocida de Seedworm”, se\u00f1al\u00f3 Symantec. “Una construcci\u00f3n personalizada del Proxy de veneno<\/a> La herramienta hacktool tambi\u00e9n se ejecut\u00f3 en esta red, as\u00ed como el nuevo keylogger personalizado utilizado por los atacantes en esta actividad”.<\/p>\n Al utilizar una combinaci\u00f3n de herramientas personalizadas, que viven de la tierra y disponibles p\u00fablicamente en sus cadenas de ataque, el objetivo es evadir la detecci\u00f3n durante el mayor tiempo posible para cumplir con sus objetivos estrat\u00e9gicos, dijo la compa\u00f1\u00eda.<\/p>\n “El grupo contin\u00faa innovando y desarrollando su conjunto de herramientas cuando es necesario para mantener su actividad fuera del radar”, concluy\u00f3 Symantec. “El grupo todav\u00eda hace un uso intensivo de PowerShell y herramientas y scripts relacionados con PowerShell, lo que subraya la necesidad de que las organizaciones sean conscientes del uso sospechoso de PowerShell en sus redes”.<\/p>\n El desarrollo se produce cuando un grupo vinculado a Israel llamado Gonjeshke Darande (que significa “gorri\u00f3n depredador” en persa) reclamado<\/a> responsabilidad<\/a> por un ciberataque que interrumpi\u00f3 “la mayor\u00eda de los surtidores de gas en todo Ir\u00e1n” en respuesta a la “agresi\u00f3n de la Rep\u00fablica Isl\u00e1mica y sus representantes en la regi\u00f3n”.<\/p>\n Se cree que el grupo, que resurgi\u00f3 en octubre de 2023 despu\u00e9s de permanecer en silencio durante casi un a\u00f1o, est\u00e1 vinculado<\/a> a la Direcci\u00f3n de Inteligencia Militar de Israel, habiendo llevado a cabo<\/a> ataques destructivos<\/a> en Ir\u00e1n, incluyendo instalaciones de acero<\/a>, estaciones petrol\u00edferas<\/a>y redes ferroviarias del pa\u00eds.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/12\/Hackers-iranies-utilizan-MuddyC2Go-en-ataques-de-espionaje-de-telecomunicaciones.jpg\")
<\/a><\/center><\/div>\n