El actor de amenazas iran\u00ed conocido como MuddyWater contin\u00faa con su tradici\u00f3n comprobada de confiar en herramientas leg\u00edtimas de administraci\u00f3n remota para requisar sistemas espec\u00edficos.<\/p>\n
Si bien el grupo de estado-naci\u00f3n ha empleado anteriormente ScreenConnect, RemoteUtilities y Syncro, un nuevo an\u00e1lisis<\/a> de Group-IB ha revelado el uso del adversario del software de soporte remoto SimpleHelp en junio de 2022.<\/p>\n MuddyWater, activo desde al menos 2017, se considera un elemento subordinado dentro del Ministerio de Inteligencia y Seguridad de Ir\u00e1n (MOIS). Algunos de los principales objetivos incluyen Turqu\u00eda, Pakist\u00e1n, Emiratos \u00c1rabes Unidos, Irak, Israel, Arabia Saudita, Jordania, Estados Unidos, Azerbaiy\u00e1n y Afganist\u00e1n.<\/p>\n “MuddyWater utiliza SimpleHelp, una herramienta leg\u00edtima de administraci\u00f3n y control de dispositivos remotos, para garantizar la persistencia en los dispositivos de las v\u00edctimas”, dijo Nikita Rostovtsev, analista senior de amenazas de Group-IB.<\/p>\n “SimpleHelp no est\u00e1 comprometido y se usa seg\u00fan lo previsto. Los actores de amenazas encontraron una manera de descargar la herramienta del sitio web oficial y usarla en sus ataques”.<\/p>\n El m\u00e9todo de distribuci\u00f3n exacto utilizado para colocar las muestras de SimpleHelp no est\u00e1 claro actualmente, aunque se sabe que el grupo env\u00eda mensajes de phishing con enlaces maliciosos desde buzones de correo corporativos ya comprometidos.<\/p>\n Los hallazgos del Grupo-IB fueron corroborado<\/a> por la firma eslovaca de seguridad cibern\u00e9tica ESET a principios de enero, detallando los ataques de MuddyWater en Egipto y Arabia Saudita que implicaron el uso de SimpleHelp para implementar su herramienta de tunelizaci\u00f3n inversa Ligolo y un recolector de credenciales denominado MKL64.<\/p>\n Zero Trust + Deception: \u00a1Aprende a ser m\u00e1s astuto que los atacantes!<\/p>\n Descubra c\u00f3mo Deception puede detectar amenazas avanzadas, detener el movimiento lateral y mejorar su estrategia Zero Trust. \u00a1\u00danase a nuestro seminario web perspicaz!<\/p>\n Guardar mi asiento!<\/a><\/div>\n La compa\u00f1\u00eda con sede en Singapur dijo adem\u00e1s que pudo identificar una infraestructura hasta ahora desconocida operada por el grupo, as\u00ed como una secuencia de comandos de PowerShell<\/a> que es capaz de recibir comandos de un servidor remoto, cuyos resultados se env\u00edan de vuelta al servidor.<\/p>\n La divulgaci\u00f3n se produce semanas despu\u00e9s de que Microsoft detallara el modus operandi del grupo de llevar a cabo ataques destructivos en entornos h\u00edbridos bajo la apariencia de una operaci\u00f3n de ransomware.<\/p>\n <\/p>\n![\"Soporte](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/04\/1682202496_506_Piratas-informaticos-iranies-utilizan-el-software-de-soporte-remoto-SimpleHelp.png\" "\\"Soporte")
<\/div>\n