L\u2019acteur iranien connu sous le nom d\u2019\u00c9tat-nation Eau boueuse<\/strong> a \u00e9t\u00e9 li\u00e9 \u00e0 une nouvelle campagne de spear phishing ciblant deux entit\u00e9s isra\u00e9liennes pour finalement d\u00e9ployer un outil d’administration \u00e0 distance l\u00e9gitime de N-able appel\u00e9 Agent de surveillance avanc\u00e9<\/a>.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Deep Instinct, qui a divulgu\u00e9 les d\u00e9tails des attaques, dit<\/a> la campagne \u00ab pr\u00e9sente des TTP mis \u00e0 jour pour l’activit\u00e9 MuddyWater pr\u00e9c\u00e9demment signal\u00e9e \u00bb, qui a, dans le pass\u00e9, utilis\u00e9 des cha\u00eenes d’attaque similaires pour distribuer d’autres outils d’acc\u00e8s \u00e0 distance tels que ScreenConnect, RemoteUtilities, Syncro et SimpleHelp.<\/p>\n Bien que ce dernier d\u00e9veloppement marque la premi\u00e8re fois que MuddyWater est observ\u00e9 \u00e0 l’aide du logiciel de surveillance \u00e0 distance de N-able, il souligne \u00e9galement le fait que le mode op\u00e9ratoire largement inchang\u00e9 continue de donner un certain succ\u00e8s \u00e0 l’acteur malveillant.<\/p>\n Les r\u00e9sultats ont \u00e9galement \u00e9t\u00e9 confirm\u00e9s s\u00e9par\u00e9ment par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Group-IB dans un rapport. poste<\/a> partag\u00e9 sur X (anciennement Twitter).<\/p>\n Le groupe parrain\u00e9 par l’\u00c9tat est une \u00e9quipe de cyberespionnage qui serait un \u00e9l\u00e9ment subordonn\u00e9 au sein du minist\u00e8re iranien du renseignement et de la s\u00e9curit\u00e9 (VEVAK), rejoignant d’autres groupes affili\u00e9s au Vevak comme OilRig, Lyceum, Agrius et Scarred Manticore. Il est actif depuis au moins 2017.<\/p>\n Les s\u00e9quences d’attaques pr\u00e9c\u00e9dentes impliquaient l’envoi d’e-mails de spear phishing contenant des liens directs ainsi que des pi\u00e8ces jointes HTML, PDF et RTF contenant des liens vers des archives h\u00e9berg\u00e9es sur diverses plates-formes de partage de fichiers qui, en fin de compte, abandonnaient l’un des outils d’administration \u00e0 distance susmentionn\u00e9s.<\/p>\n Les derni\u00e8res tactiques et outils repr\u00e9sentent \u00e0 certains \u00e9gards une continuation, et \u00e0 d\u2019autres \u00e9gards une \u00e9volution, pour le groupe connu sous le nom de Mango Sandstorm et Static Kitten.<\/p>\n Ce qui est diff\u00e9rent cette fois-ci, c’est l’utilisation d’un nouveau service de partage de fichiers appel\u00e9 Storyblok pour lancer un vecteur d’infection en plusieurs \u00e9tapes.<\/p>\n “Il contient des fichiers cach\u00e9s, un fichier LNK qui lance l’infection et un fichier ex\u00e9cutable con\u00e7u pour afficher un document leurre lors de l’ex\u00e9cution d’Advanced Monitoring Agent, un outil d’administration \u00e0 distance”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Simon Kenin dans une analyse publi\u00e9e mercredi.<\/p>\n “Une fois la victime infect\u00e9e, l’op\u00e9rateur de MuddyWater se connectera \u00e0 l’h\u00f4te infect\u00e9 \u00e0 l’aide de l’outil d’administration \u00e0 distance l\u00e9gitime et commencera \u00e0 effectuer une reconnaissance de la cible.”<\/p>\n Le document de leurre pr\u00e9sent\u00e9 \u00e0 la victime est un m\u00e9mo officiel de la Commission de la fonction publique isra\u00e9lienne, qui peut \u00eatre t\u00e9l\u00e9charg\u00e9 publiquement<\/a> depuis son site officiel.<\/p>\n Autre signe de l’am\u00e9lioration rapide des cybercapacit\u00e9s malveillantes de l’Iran, Deep Instinct a d\u00e9clar\u00e9 avoir \u00e9galement rep\u00e9r\u00e9 les acteurs de MuddyWater tirant parti d’un nouveau cadre de commande et de contr\u00f4le (C2) appel\u00e9 MuddyC2Go, successeur de MuddyC3 et PhonyC2.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Lentreprise-iranienne-MuddyWater-cible-Israel-dans-le-cadre-dune-nouvelle.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n