{"id":829995,"date":"2023-06-29T17:29:38","date_gmt":"2023-06-29T17:29:38","guid":{"rendered":"https:\/\/teknomers.com\/es\/de-muddyc3-a-phonyc2-muddywater-de-iran-evoluciona-con-una-nueva-arma-cibernetica\/"},"modified":"2023-06-29T17:29:38","modified_gmt":"2023-06-29T17:29:38","slug":"de-muddyc3-a-phonyc2-muddywater-de-iran-evoluciona-con-una-nueva-arma-cibernetica","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/de-muddyc3-a-phonyc2-muddywater-de-iran-evoluciona-con-una-nueva-arma-cibernetica\/","title":{"rendered":"De MuddyC3 a PhonyC2: MuddyWater de Ir\u00e1n evoluciona con una nueva arma cibern\u00e9tica"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>29 de junio de 2023<\/span>\ue804<\/i>Ravie Lakshman\u00e1n<\/span><\/span><\/p>\n<\/div>\n

\n
\"\"<\/div>\n

El grupo patrocinado por el estado iran\u00ed denominado MuddyAgua <\/b>se ha atribuido a un marco de comando y control (C2) nunca antes visto llamado FalsoC2<\/strong> que ha sido utilizado por el actor desde 2021.<\/p>\n

La evidencia muestra que el marco desarrollado activamente y hecho a la medida se aprovech\u00f3 en el ataque de febrero de 2023 contra Technion, un instituto de investigaci\u00f3n israel\u00ed, dijo la firma de seguridad cibern\u00e9tica Deep Instinct en un comunicado. informe<\/a> compartido con The Hacker News.<\/p>\n

Adem\u00e1s, se han descubierto v\u00ednculos adicionales entre el programa basado en Python 3 y otros ataques llevados a cabo por MuddyWater, incluida la explotaci\u00f3n continua de los servidores PaperCut.<\/p>\n

“Es estructural y funcionalmente similar a FangosoC3<\/a>un MuddyWater anterior marco C2 personalizado<\/a> eso fue escrito en Python 2\u201d, dijo el investigador de seguridad Simon Kenin. \u201cMuddyWater actualiza continuamente el marco PhonyC2 y cambia los TTP para evitar la detecci\u00f3n\u201d.<\/p>\n

MuddyWater, tambi\u00e9n conocido como Mango Sandstorm (anteriormente Mercury), es un grupo de ciberespionaje que se sabe que opera en nombre del Ministerio de Inteligencia y Seguridad de Ir\u00e1n (MOIS) desde al menos 2017.<\/p>\n

Los hallazgos llegan casi tres meses despu\u00e9s de que Microsoft implicara al actor de amenazas por llevar a cabo ataques destructivos en entornos h\u00edbridos, al tiempo que destacaba su colaboraci\u00f3n con un cl\u00faster relacionado rastreado como Storm-1084 (tambi\u00e9n conocido como DEV-1084 o DarkBit) para reconocimiento, persistencia y movimiento lateral.<\/p>\n

\"La<\/a><\/center><\/div>\n

\u201cIr\u00e1n realiza operaciones cibern\u00e9ticas con el objetivo de recopilar inteligencia con fines estrat\u00e9gicos, apuntando esencialmente a los estados vecinos, en particular a los rivales geopol\u00edticos de Ir\u00e1n como Israel, Arabia Saudita y los pa\u00edses del Golfo Ar\u00e1bigo, un enfoque continuo observado en todas las operaciones desde 2011\u201d, dijo la empresa francesa de ciberseguridad Sekoia. dicho<\/a> en una descripci\u00f3n general de los ataques cibern\u00e9ticos del gobierno pro iran\u00ed.<\/p>\n

Las cadenas de ataque orquestadas por el grupo, al igual que otros conjuntos de intrusi\u00f3n de Ir\u00e1n-nexus, emplean servidores p\u00fablicos vulnerables e ingenier\u00eda social como los principales puntos de acceso iniciales para violar objetivos de inter\u00e9s.<\/p>\n

\"\"<\/div>\n

“Estos incluyen el uso de t\u00edteres de calcetines carism\u00e1ticos, el atractivo de posibles oportunidades laborales, solicitudes de periodistas y hacerse pasar por expertos de grupos de expertos que buscan opiniones”, Recorded Future anotado<\/a> el a\u00f1o pasado. “El uso de la ingenier\u00eda social es un componente central del comercio APT iran\u00ed cuando se involucra en operaciones de informaci\u00f3n y espionaje cibern\u00e9tico”.<\/p>\n

Deep Instinct dijo que descubri\u00f3 el marco PhonyC2 en abril de 2023 en un servidor que est\u00e1 relacionado con una infraestructura m\u00e1s amplia utilizada por MuddyWater en su ataque dirigido a Technion a principios de este a\u00f1o. Tambi\u00e9n se descubri\u00f3 que el mismo servidor albergaba Ligolo, una herramienta b\u00e1sica de tunelizaci\u00f3n inversa utilizada por el actor de amenazas.<\/p>\n

\"\"<\/div>\n

La conexi\u00f3n surge de los nombres de artefactos “C:\\programdata\\db.sqlite” y “C:\\programdata\\db.ps1”, que Microsoft descrito<\/a> como puertas traseras PowerShell personalizadas utilizadas por MuddyWater y que se generan din\u00e1micamente a trav\u00e9s del marco PhonyC2 para su ejecuci\u00f3n en el host infectado.<\/p>\n

PhonyC2 es un “marco posterior a la explotaci\u00f3n que se utiliza para generar varias cargas \u00fatiles que se conectan de nuevo al C2 y esperan las instrucciones del operador para realizar el paso final de la ‘cadena de destrucci\u00f3n de intrusos'”, dijo Kenin, calific\u00e1ndolo como sucesor de MuddyC3 y ESTAD\u00cdSTICAS DE POTENCIA.<\/p>\n

\"La<\/a><\/center><\/div>\n

Algunos de los comandos notables admitidos por el marco son los siguientes:<\/p>\n