Le groupe d’\u00c9tats-nations iranien connu sous le nom de Eau boueuse<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’effectuer des attaques destructrices sur des environnements hybrides sous le couvert d’une op\u00e9ration de ransomware.<\/p>\n C’est selon les nouvelles d\u00e9couvertes de l’\u00e9quipe Microsoft Threat Intelligence, qui a d\u00e9couvert l’acteur de la menace ciblant \u00e0 la fois les infrastructures sur site et dans le cloud en partenariat avec un autre cluster d’activit\u00e9s \u00e9mergentes surnomm\u00e9 DEV-1084<\/strong>.<\/p>\n “Alors que les acteurs de la menace ont tent\u00e9 de faire passer l’activit\u00e9 pour une campagne de ransomware standard, les actions irr\u00e9cup\u00e9rables montrent que la destruction et la perturbation \u00e9taient les objectifs ultimes de l’op\u00e9ration”, a d\u00e9clar\u00e9 le g\u00e9ant de la technologie. r\u00e9v\u00e9l\u00e9<\/a> Vendredi.<\/p>\n MuddyWater est le nom attribu\u00e9 \u00e0 un acteur bas\u00e9 en Iran que le gouvernement am\u00e9ricain a publiquement li\u00e9 au minist\u00e8re du renseignement et de la s\u00e9curit\u00e9 (MOIS) du pays. Il est connu pour \u00eatre actif depuis au moins 2017.<\/p>\n Il est \u00e9galement suivi par la communaut\u00e9 de la cybers\u00e9curit\u00e9 sous divers noms, notamment Boggy Serpens, Cobalt Ulster, Earth Vetala, ITG17, Mercury, Seedworm, Static Kitten, TEMP.Zagros et Yellow Nix.<\/p>\n Les attaques mont\u00e9es par le groupe ont principalement cibl\u00e9 les pays du Moyen-Orient, les intrusions observ\u00e9es au cours de l’ann\u00e9e \u00e9coul\u00e9e tirant parti de la faille Log4Shell pour violer les entit\u00e9s isra\u00e9liennes.<\/p>\n Les derni\u00e8res d\u00e9couvertes de Microsoft r\u00e9v\u00e8lent que l’acteur de la menace a probablement travaill\u00e9 avec DEV-1084 pour r\u00e9ussir l’attaque, ce dernier ayant men\u00e9 les actions destructrices apr\u00e8s que MuddyWater ait r\u00e9ussi \u00e0 s’implanter dans l’environnement cible.<\/p>\n “Mercury a probablement exploit\u00e9 des vuln\u00e9rabilit\u00e9s connues dans des applications non corrig\u00e9es pour un acc\u00e8s initial avant de transf\u00e9rer l’acc\u00e8s \u00e0 DEV-1084 pour effectuer une reconnaissance et une d\u00e9couverte approfondies, \u00e9tablir une persistance et se d\u00e9placer lat\u00e9ralement sur tout le r\u00e9seau, attendant souvent des semaines et parfois des mois avant de passer \u00e0 l’\u00e9tape suivante, ” a d\u00e9clar\u00e9 Microsoft.<\/p>\n Dans l’activit\u00e9 d\u00e9tect\u00e9e par Redmond, DEV-1084 a ensuite abus\u00e9 d’informations d’identification compromises hautement privil\u00e9gi\u00e9es pour effectuer le chiffrement des appareils sur site et la suppression \u00e0 grande \u00e9chelle des ressources cloud, y compris les batteries de serveurs, les machines virtuelles, les comptes de stockage et les r\u00e9seaux virtuels.<\/p>\n En outre, les acteurs de la menace ont obtenu un acc\u00e8s complet aux bo\u00eetes de r\u00e9ception des e-mails via Exchange Web Services, l’utilisant pour effectuer \u00ab des milliers d’activit\u00e9s de recherche \u00bb et usurper l’identit\u00e9 d’un employ\u00e9 de haut rang anonyme pour envoyer des messages \u00e0 des destinataires internes et externes.<\/p>\n On estime que toutes ces actions se sont d\u00e9roul\u00e9es sur une p\u00e9riode d’environ trois heures commen\u00e7ant \u00e0 00h38 (lorsque l’attaquant s’est connect\u00e9 \u00e0 l’environnement Microsoft Azure via des informations d’identification compromises) et se terminant \u00e0 3h21 (lorsque l’attaquant a envoy\u00e9 des e-mails \u00e0 d’autres parties apr\u00e8s l’interruption r\u00e9ussie du cloud).<\/p>\n Il convient de noter ici que DEV-1084 fait r\u00e9f\u00e9rence au m\u00eame acteur mena\u00e7ant<\/a> ce assum\u00e9<\/a> le personnage “DarkBit” dans le cadre d’une attaque de ransomware et d’extorsion visant le Technion, une universit\u00e9 de recherche de premier plan en Isra\u00ebl, en f\u00e9vrier. La Direction nationale de la cybers\u00e9curit\u00e9 d’Isra\u00ebl, le mois dernier, attribu\u00e9<\/a> l’attaque de MuddyWater.<\/p>\n Apprenez \u00e0 s\u00e9curiser le p\u00e9rim\u00e8tre d’identit\u00e9 – Strat\u00e9gies \u00e9prouv\u00e9es<\/p>\n Am\u00e9liorez la s\u00e9curit\u00e9 de votre entreprise gr\u00e2ce \u00e0 notre prochain webinaire sur la cybers\u00e9curit\u00e9 dirig\u00e9 par des experts\u00a0: Explorez les strat\u00e9gies de p\u00e9rim\u00e8tre d’identit\u00e9\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n “DEV-1084 […] s’est pr\u00e9sent\u00e9 comme un acteur criminel int\u00e9ress\u00e9 par l’extorsion, probablement comme une tentative d’obscurcir le lien de l’Iran et la motivation strat\u00e9gique de l’attaque \u00bb, a ajout\u00e9 Microsoft.<\/p>\n Les liens entre Mercury et DEV-1084 proviennent de l’infrastructure, de l’adresse IP et des chevauchements d’outils, ces derniers \u00e9tant observ\u00e9s \u00e0 l’aide d’un utilitaire de tunnellisation inverse appel\u00e9 Ligolo<\/a>un artefact incontournable de MuddyWater.<\/p>\n Cela dit, il n’y a pas suffisamment de preuves pour d\u00e9terminer si le DEV-1084 fonctionne ind\u00e9pendamment de MuddyWater et collabore avec d’autres acteurs iraniens, ou s’il s’agit d’une sous-\u00e9quipe qui n’est convoqu\u00e9e que lorsqu’il est n\u00e9cessaire de mener une attaque destructrice.<\/p>\n Cisco Talos, au d\u00e9but de l’ann\u00e9e derni\u00e8re, a d\u00e9crit MuddyWater comme un “conglom\u00e9rat” comprenant plusieurs clusters plus petits plut\u00f4t qu’un seul groupe coh\u00e9rent. L’\u00e9mergence de DEV-1084 sugg\u00e8re un clin d’\u0153il dans cette direction.<\/p>\n “Bien que ces \u00e9quipes semblent fonctionner de mani\u00e8re ind\u00e9pendante, elles sont toutes motiv\u00e9es par les m\u00eames facteurs qui s’alignent sur les objectifs de s\u00e9curit\u00e9 nationale iraniens, notamment l’espionnage, le vol intellectuel et les op\u00e9rations destructrices ou perturbatrices bas\u00e9es sur les victimes qu’elles ciblent”, a not\u00e9 Talos en mars 2022.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680944688_426_Des-pirates-informatiques-bases-en-Iran-surpris-en-train-deffectuer.png\")
<\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1680944689_371_Des-pirates-informatiques-bases-en-Iran-surpris-en-train-deffectuer.png\")
<\/div>\n