Staatlich unterstützte iranische APT greift Ziele in der Türkei an

Laut Sicherheitsforschern von Cisco Talos hat eine vom Iran aus operierende Advanced Persistent Threat Group sowohl private als auch staatliche Organisationen in der Türkei ins Visier genommen.

Das fragliche APT ist unter einer Reihe von Aliasnamen bekannt, darunter MuddyWater, Mercury und Static Kitten, und es wird angenommen, dass es Verbindungen zum iranischen Geheimdienst- und Sicherheitsministerium hat. Der Bedrohungsakteur ist seit rund vier Jahren auf dem Radar von Sicherheitsforschern und hat in der Vergangenheit Angriffe auf Unternehmen in den USA, Europa und Ländern des Nahen Ostens durchgeführt.

MuddyWater APT ist mit dem iranischen Staat verbunden

Das United States Cyber Command, eine Einheit des US-Verteidigungsministeriums, brachte den Bedrohungsakteur kürzlich mit den iranischen Behörden in Verbindung und sagte, die Gruppe führe „Geheimdienstaktivitäten“ für die Regierung des Landes im Nahen Osten durch.

Laut Forschern wurde die letzte von MuddyWater durchgeführte Kampagne in den letzten Monaten des Jahres 2021 gestartet und verwendete mit Malware versehene PDF-Dateien als frühen Angriffsvektor. Die Kampagne verwendete Phishing-Mails mit angehängten, mit Malware beladenen PDFs. Die E-Mails fälschten offizielle türkische Regierungsorganisationen und -adressen, einschließlich des türkischen Gesundheits- und Innenministeriums.

Die schädlichen PDFs enthielten eingebettete Visual Basic-Makros, die entwickelt wurden, um PowerShell-Skripte auf dem System des Opfers auszuführen. Die PowerShell-Befehle würden einen Downloader ausführen, der den Hackern die Ausführung von Code ermöglicht und es ihnen ermöglicht, durch Änderungen der Registrierungswerte Persistenz zu erreichen.

Cyberspionage und Datenexfiltration

Sobald das iranische APT in einem Opfersystem Fuß fassen würde, würde es Daten über wertvolles geistiges Eigentum sammeln und Cyberspionage betreiben. Darüber hinaus installierte der APT Ransomware auf den Opfersystemen und führte sie aus, aber mehr in dem Bestreben, die Opfernetzwerke zu löschen und Spuren zu löschen, als ein Lösegeld zu sammeln.

Das MuddyWater APT hat auch Canary-Token verwendet, um zu verfolgen, wann auf eine Datei zugegriffen wurde. Dies hinderte Talos daran, die letzte Nutzlast zu sichern, die bei diesen letzten Angriffen verwendet wurde, da der C2-Server Verifizierungsprüfungen durchführte, die diese Versuche unterbrachen.