Les agences de cybersécurité du Royaume-Uni et des États-Unis ont mis à nu un nouveau logiciel malveillant utilisé par le groupe APT (Advanced Persistent Threat) parrainé par le gouvernement iranien dans des attaques ciblant les réseaux gouvernementaux et commerciaux dans le monde entier.

« Les acteurs de MuddyWater sont positionnés à la fois pour fournir des données et des accès volés au gouvernement iranien et pour les partager avec d’autres cyber-acteurs malveillants », ont déclaré les agences. mentionné.

L’avis conjoint est une gracieuseté du Federal Bureau of Investigation (FBI), de la Cybersecurity and Infrastructure Security Agency (CISA), de la Cyber ​​Command Cyber ​​National Mission Force (CNMF) des États-Unis et du National Cyber ​​​​Security Center (NCSC) du Royaume-Uni.

L’acteur du cyberespionnage a été démasqué cette année pour avoir mené des opérations malveillantes dans le cadre du ministère iranien du renseignement et de la sécurité (MOIS) ciblant un large éventail d’organisations gouvernementales et du secteur privé, notamment les télécommunications, la défense, les administrations locales et les secteurs du pétrole et du gaz naturel. en Asie, en Afrique, en Europe et en Amérique du Nord.

MuddyWater est également suivi par la communauté de la cybersécurité au sens large sous les noms Earth Vetala, MERCURY, Static Kitten, Seedworm et TEMP.Zagros, le groupe étant connu pour ses cyberoffensives à l’appui des objectifs du MOIS depuis environ 2018.

En plus d’exploiter les vulnérabilités signalées publiquement, le groupe a été observé historiquement en utilisant des outils open source pour accéder à des données sensibles, déployer des ransomwares et assurer la persistance sur les réseaux victimes.

Une enquête de suivi menée par Cisco Talos à la fin du mois dernier a également révélé une campagne de logiciels malveillants auparavant non documentée visant des organisations privées et des institutions gouvernementales turques dans le but de déployer une porte dérobée basée sur PowerShell.

Les nouvelles activités démasquées par les autorités du renseignement ne sont pas différentes en ce sens qu’elles utilisent des scripts PowerShell obscurcis pour dissimuler les parties les plus dommageables des attaques, y compris les fonctions de commande et de contrôle (C2).

Les intrusions sont facilitées par une campagne de harponnage qui tente d’inciter ses cibles à télécharger des archives ZIP suspectes contenant soit un fichier Excel avec une macro malveillante qui communique avec le serveur C2 de l’acteur, soit un fichier PDF qui dépose une charge utile malveillante sur les personnes infectées. système.

« De plus, le groupe utilise plusieurs ensembles de logiciels malveillants – y compris PowGoop, Small Sieve, Canopy/Starwhale, Mori et POWERSTATS – pour le chargement de logiciels malveillants, l’accès par porte dérobée, la persistance et l’exfiltration », ont déclaré le FBI, la CISA, le CNMF et le NCSC.

Alors que PowGoop fonctionne comme un chargeur responsable du téléchargement des scripts PowerShell de deuxième étape, Small Sieve est décrit comme un implant basé sur Python utilisé pour maintenir l’ancrage dans le réseau en exploitant l’API Telegram pour les communications C2 afin d’échapper à la détection.

D’autres logiciels malveillants clés sont Canopy, un fichier de script Windows (.WSF) utilisé pour collecter et transmettre des métadonnées système à une adresse IP contrôlée par un adversaire, et deux portes dérobées appelées Mori et POWERSTATS qui sont utilisées pour exécuter les commandes reçues du C2 et maintenir accès persistant.

En plus de cela, MuddyWater a utilisé un script d’enquête pour énumérer les informations sur les ordinateurs victimes, qui sont ensuite renvoyées au serveur C2 distant. Une porte dérobée PowerShell nouvellement identifiée est également déployée et est utilisée pour exécuter les commandes reçues de l’attaquant.

Pour créer des barrières contre les attaques potentielles, les agences recommandent aux organisations d’utiliser l’authentification multifacteur le cas échéant, de limiter l’utilisation des privilèges d’administrateur, de mettre en œuvre des protections contre le phishing et de donner la priorité à la correction des vulnérabilités exploitées connues.