Se ha observado que el actor estatal iran\u00ed conocido como MuddyWater ha utilizado una puerta trasera nunca antes vista como parte de una campa\u00f1a de ataque reciente, alej\u00e1ndose de su conocida t\u00e1ctica de implementar software leg\u00edtimo de monitoreo y administraci\u00f3n remota (RMM) para mantener un acceso persistente.<\/p>\n
As\u00ed lo indican los hallazgos independientes de las empresas de ciberseguridad Check Point y Sekoia, que han bautizado la cepa de malware con el nombre en c\u00f3digo Sue\u00f1o de insectos<\/strong> y Putrefacci\u00f3n fangosa<\/strong>respectivamente.<\/p>\n “En comparaci\u00f3n con campa\u00f1as anteriores, esta vez MuddyWater cambi\u00f3 su cadena de infecci\u00f3n y no se bas\u00f3 en la herramienta leg\u00edtima de monitoreo y gesti\u00f3n remota (RRM) de Atera como validador”, dijo Sekoia. dicho<\/a> En un informe compartido con The Hacker News, se afirma que “en lugar de ello, observamos que utilizaron un implante nuevo y no documentado”.<\/p>\n Algunos elementos de la campa\u00f1a fueron primero compartido<\/a> por la empresa israel\u00ed de ciberseguridad ClearSky el 9 de junio de 2024. Los objetivos incluyen pa\u00edses como Turqu\u00eda, Azerbaiy\u00e1n, Jordania, Arabia Saudita, Israel y Portugal.<\/p>\n MuddyWater (tambi\u00e9n conocido como Boggy Serpens, Mango Sandstorm y TA450) es un actor de amenazas patrocinado por el estado que se eval\u00faa que est\u00e1 afiliado al Ministerio de Inteligencia y Seguridad de Ir\u00e1n (MOIS).<\/p>\n Los ataques cibern\u00e9ticos realizados por el grupo han sido bastante consistentes, aprovechando se\u00f1uelos de phishing en mensajes de correo electr\u00f3nico para entregar varias herramientas RMM como Atera Agent, RemoteUtilities, ScreenConnect, SimpleHelp y Syncro.<\/p>\n A principios de abril, HarfangLab afirm\u00f3 que hab\u00eda notado un aumento en las campa\u00f1as de MuddyWater que entregaban Atera Agent desde fines de octubre de 2023 a empresas de Israel, India, Argelia, Turqu\u00eda, Italia y Egipto. Los sectores a los que se dirigen incluyen aerol\u00edneas, empresas de TI, telecomunicaciones, farmac\u00e9utica, fabricaci\u00f3n de autom\u00f3viles, log\u00edstica, viajes y turismo.<\/p>\n “MuddyWater otorga una alta prioridad a obtener acceso a cuentas de correo electr\u00f3nico comerciales como parte de sus campa\u00f1as de ataque en curso”, dijo la firma francesa de ciberseguridad. anotado<\/a> En el momento.<\/p>\n “Estas cuentas comprometidas sirven como recursos valiosos, permitiendo al grupo mejorar la credibilidad y eficacia de sus esfuerzos de phishing selectivo, establecer persistencia dentro de las organizaciones objetivo y evadir la detecci\u00f3n al mezclarse con el tr\u00e1fico leg\u00edtimo de la red”.<\/p>\n Las \u00faltimas cadenas de ataque no son diferentes, ya que se utilizan cuentas de correo electr\u00f3nico comprometidas que pertenecen a empresas leg\u00edtimas para enviar mensajes de phishing que contienen un enlace directo o un archivo PDF adjunto que apunta a un subdominio de Egnyte, que el actor de amenazas ha abusado previamente para propagar Atera Agent.<\/p>\n BugSleep, tambi\u00e9n conocido como MuddyRot, es un implante x64 desarrollado en C que viene equipado con capacidades para descargar\/cargar archivos arbitrarios hacia\/desde el host comprometido, iniciar un shell inverso y configurar la persistencia. Las comunicaciones con un servidor de comando y control (C2) se realizan a trav\u00e9s de un socket TCP sin formato en el puerto 443.<\/p>\n “El primer mensaje que se env\u00eda al C2 es la huella digital del host de la v\u00edctima, que es la combinaci\u00f3n del nombre del host y el nombre de usuario unidos por una barra”, dijo Sekoia. “Si la v\u00edctima recibi\u00f3 ‘-1’, el programa se detiene; de \u200b\u200blo contrario, el malware entra en un bucle infinito a la espera de una nueva orden del C2”.<\/p>\n Actualmente no est\u00e1 claro por qu\u00e9 MuddyWater decidi\u00f3 utilizar un implante a medida, aunque se sospecha que el aumento de la supervisi\u00f3n de las herramientas RMM por parte de los proveedores de seguridad puede haber influido.<\/p>\n “La creciente actividad de MuddyWater en Oriente Medio, particularmente en Israel, pone de relieve la naturaleza persistente de estos actores amenazantes, que siguen operando contra una amplia variedad de objetivos en la regi\u00f3n”, afirma Check Point. dicho<\/a>.<\/p>\n “Su uso constante de campa\u00f1as de phishing, que ahora incorporan una puerta trasera personalizada, BugSleep, marca un desarrollo notable en sus t\u00e9cnicas, t\u00e1cticas y procedimientos (TTP)”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/Los-piratas-informaticos-iranies-utilizan-la-nueva-puerta-trasera-BugSleep.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n