L’acteur \u00e9tatique iranien connu sous le nom de MuddyWater a \u00e9t\u00e9 observ\u00e9 en train d’utiliser une porte d\u00e9rob\u00e9e jamais vue auparavant dans le cadre d’une r\u00e9cente campagne d’attaque, s’\u00e9loignant de sa tactique bien connue consistant \u00e0 d\u00e9ployer un logiciel l\u00e9gitime de surveillance et de gestion \u00e0 distance (RMM) pour maintenir un acc\u00e8s persistant.<\/p>\n
C’est ce que r\u00e9v\u00e8lent des conclusions ind\u00e9pendantes des soci\u00e9t\u00e9s de cybers\u00e9curit\u00e9 Check Point et Sekoia, qui ont donn\u00e9 \u00e0 cette souche de malware le nom de code BugSleep<\/strong> et Pourriture boueuse<\/strong>respectivement.<\/p>\n \u00ab Par rapport aux campagnes pr\u00e9c\u00e9dentes, cette fois, MuddyWater a modifi\u00e9 sa cha\u00eene d’infection et ne s’est pas appuy\u00e9 sur l’outil l\u00e9gitime de surveillance et de gestion \u00e0 distance (RRM) d’Atera comme validateur \u00bb, a d\u00e9clar\u00e9 Sekoia. dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. \u00ab Au lieu de cela, nous avons observ\u00e9 qu’ils utilisaient un nouvel implant non document\u00e9. \u00bb<\/p>\n Certains \u00e9l\u00e9ments de la campagne ont \u00e9t\u00e9 premier partag\u00e9<\/a> par la soci\u00e9t\u00e9 isra\u00e9lienne de cybers\u00e9curit\u00e9 ClearSky le 9 juin 2024. Les cibles incluent des pays comme la Turquie, l’Azerba\u00efdjan, la Jordanie, l’Arabie saoudite, Isra\u00ebl et le Portugal.<\/p>\n MuddyWater (alias Boggy Serpens, Mango Sandstorm et TA450) est un acteur de menace parrain\u00e9 par l’\u00c9tat qui est consid\u00e9r\u00e9 comme affili\u00e9 au minist\u00e8re iranien du renseignement et de la s\u00e9curit\u00e9 (MOIS).<\/p>\n Les cyberattaques lanc\u00e9es par le groupe ont \u00e9t\u00e9 assez coh\u00e9rentes, exploitant des leurres de spear-phishing dans les messages \u00e9lectroniques pour diffuser divers outils RMM comme Atera Agent, RemoteUtilities, ScreenConnect, SimpleHelp et Syncro.<\/p>\n D\u00e9but avril, HarfangLab a d\u00e9clar\u00e9 avoir constat\u00e9 une augmentation des campagnes MuddyWater diffusant Atera Agent depuis fin octobre 2023 aupr\u00e8s d’entreprises en Isra\u00ebl, en Inde, en Alg\u00e9rie, en Turquie, en Italie et en \u00c9gypte. Les secteurs cibl\u00e9s comprennent les compagnies a\u00e9riennes, les soci\u00e9t\u00e9s informatiques, les t\u00e9l\u00e9communications, l’industrie pharmaceutique, la fabrication automobile, la logistique, les voyages et le tourisme.<\/p>\n \u00ab MuddyWater accorde une grande priorit\u00e9 \u00e0 l’acc\u00e8s aux comptes de messagerie des entreprises dans le cadre de ses campagnes d’attaque en cours \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9 not\u00e9<\/a> \u00e0 l’\u00e9poque.<\/p>\n \u00ab Ces comptes compromis constituent des ressources pr\u00e9cieuses, permettant au groupe d’am\u00e9liorer la cr\u00e9dibilit\u00e9 et l’efficacit\u00e9 de ses efforts d’hame\u00e7onnage cibl\u00e9, d’\u00e9tablir une certaine persistance au sein des organisations cibl\u00e9es et d’\u00e9chapper \u00e0 la d\u00e9tection en se fondant dans le trafic r\u00e9seau l\u00e9gitime. \u00bb<\/p>\n Les derni\u00e8res cha\u00eenes d’attaque ne sont pas diff\u00e9rentes dans la mesure o\u00f9 des comptes de messagerie compromis appartenant \u00e0 des entreprises l\u00e9gitimes sont utilis\u00e9s pour envoyer des messages de spear-phishing contenant soit un lien direct, soit une pi\u00e8ce jointe PDF pointant vers un sous-domaine Egnyte, qui a d\u00e9j\u00e0 \u00e9t\u00e9 abus\u00e9 par l’acteur de la menace pour propager Atera Agent.<\/p>\n BugSleep, alias MuddyRot, est un implant x64 d\u00e9velopp\u00e9 en C qui est \u00e9quip\u00e9 de fonctionnalit\u00e9s permettant de t\u00e9l\u00e9charger\/t\u00e9l\u00e9charger des fichiers arbitraires vers\/depuis l’h\u00f4te compromis, de lancer un shell invers\u00e9 et de configurer la persistance. Les communications avec un serveur de commande et de contr\u00f4le (C2) s’effectuent via un socket TCP brut sur le port 443.<\/p>\n \u00ab Le premier message envoy\u00e9 au C2 est l’empreinte digitale de l’h\u00f4te de la victime, qui est la combinaison du nom d’h\u00f4te et du nom d’utilisateur reli\u00e9s par une barre oblique \u00bb, a expliqu\u00e9 Sekoia. \u00ab Si la victime re\u00e7oit \u00ab -1 \u00bb, le programme s’arr\u00eate, sinon le malware entre dans une boucle infinie pour attendre un nouvel ordre du C2. \u00bb<\/p>\n On ne sait pas encore clairement pourquoi MuddyWater a opt\u00e9 pour un implant sur mesure, mais on soup\u00e7onne que la surveillance accrue des outils RMM par les fournisseurs de s\u00e9curit\u00e9 a pu jouer un r\u00f4le.<\/p>\n \u00ab L’activit\u00e9 accrue de MuddyWater au Moyen-Orient, en particulier en Isra\u00ebl, met en \u00e9vidence la nature persistante de ces acteurs de la menace, qui continuent d’op\u00e9rer contre une grande vari\u00e9t\u00e9 de cibles dans la r\u00e9gion \u00bb, a d\u00e9clar\u00e9 Check Point. dit<\/a>.<\/p>\n \u00ab Leur utilisation constante de campagnes de phishing, int\u00e9grant d\u00e9sormais une porte d\u00e9rob\u00e9e personnalis\u00e9e, BugSleep, marque une \u00e9volution notable dans leurs techniques, tactiques et proc\u00e9dures (TTP). \u00bb<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Des-pirates-informatiques-iraniens-deploient-une-nouvelle-porte-derobee-BugSleep.png\")
<\/a><\/center><\/section>\n<\/a><\/div>\n