L’acteur mena\u00e7ant iranien connu sous le nom de MuddyWater poursuit sa tradition \u00e9prouv\u00e9e de s’appuyer sur des outils d’administration \u00e0 distance l\u00e9gitimes pour r\u00e9quisitionner des syst\u00e8mes cibl\u00e9s.<\/p>\n
Alors que le groupe d’\u00c9tats-nations a d\u00e9j\u00e0 utilis\u00e9 ScreenConnect, RemoteUtilities et Syncro, un nouvelle analyse<\/a> de Group-IB a r\u00e9v\u00e9l\u00e9 l’utilisation par l’adversaire du logiciel d’assistance \u00e0 distance SimpleHelp en juin 2022.<\/p>\n MuddyWater, actif depuis au moins 2017, est consid\u00e9r\u00e9 comme un \u00e9l\u00e9ment subordonn\u00e9 au sein du minist\u00e8re iranien du renseignement et de la s\u00e9curit\u00e9 (MOIS). Parmi les principales cibles figurent la Turquie, le Pakistan, les \u00c9mirats arabes unis, l’Irak, Isra\u00ebl, l’Arabie saoudite, la Jordanie, les \u00c9tats-Unis, l’Azerba\u00efdjan et l’Afghanistan.<\/p>\n “MuddyWater utilise SimpleHelp, un outil l\u00e9gitime de contr\u00f4le et de gestion des appareils \u00e0 distance, pour assurer la persistance sur les appareils des victimes”, a d\u00e9clar\u00e9 Nikita Rostovtsev, analyste principal des menaces chez Group-IB.<\/p>\n “SimpleHelp n’est pas compromis et est utilis\u00e9 comme pr\u00e9vu. Les acteurs de la menace ont trouv\u00e9 un moyen de t\u00e9l\u00e9charger l’outil \u00e0 partir du site Web officiel et de l’utiliser dans leurs attaques.”<\/p>\n La m\u00e9thode de distribution exacte utilis\u00e9e pour d\u00e9poser les \u00e9chantillons SimpleHelp n’est actuellement pas claire, bien que le groupe soit connu pour envoyer des messages de harponnage contenant des liens malveillants \u00e0 partir de bo\u00eetes aux lettres d’entreprise d\u00e9j\u00e0 compromises.<\/p>\n Les conclusions de Group-IB \u00e9taient corrobor\u00e9<\/a> par la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 ESET plus t\u00f4t en janvier, d\u00e9taillant les attaques de MuddyWater en \u00c9gypte et en Arabie saoudite qui impliquaient l’utilisation de SimpleHelp pour d\u00e9ployer son outil de tunnellisation invers\u00e9e Ligolo et un collecteur d’informations d’identification baptis\u00e9 MKL64.<\/p>\n Zero Trust + Deception\u00a0: apprenez \u00e0 d\u00e9jouer les attaquants\u00a0!<\/p>\n D\u00e9couvrez comment Deception peut d\u00e9tecter les menaces avanc\u00e9es, arr\u00eater les mouvements lat\u00e9raux et am\u00e9liorer votre strat\u00e9gie Zero Trust. Rejoignez notre webinaire perspicace !<\/p>\n Sauvez ma place\u00a0!<\/a><\/div>\n La soci\u00e9t\u00e9 bas\u00e9e \u00e0 Singapour a en outre d\u00e9clar\u00e9 qu’elle \u00e9tait en mesure d’identifier des infrastructures jusque-l\u00e0 inconnues exploit\u00e9es par le groupe ainsi qu’un Script PowerShell<\/a> qui est capable de recevoir des commandes d’un serveur distant, dont les r\u00e9sultats sont renvoy\u00e9s au serveur.<\/p>\n La divulgation intervient des semaines apr\u00e8s que Microsoft a d\u00e9taill\u00e9 le modus operandi du groupe consistant \u00e0 mener des attaques destructrices sur des environnements hybrides sous le couvert d’une op\u00e9ration de ransomware.<\/p>\n <\/p>\n![\"Assistance](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/04\/1682115268_860_Des-pirates-informatiques-iraniens-utilisent-le-logiciel-dassistance-a-distance.png\" "\\"Assistance")
<\/div>\n