L'APT iranien soutenu par l'État attaque des cibles en Turquie
Selon des chercheurs en renseignement de sécurité de Cisco Talos, un groupe de menaces persistantes avancées opérant depuis l'Iran cible à la fois des organisations privées et gouvernementales situées en Turquie.
L'APT en question est connue sous un certain nombre d'alias, notamment MuddyWater, Mercury et Static Kitten, et aurait des liens avec le ministère iranien du renseignement et de la sécurité. L'acteur de la menace est sur le radar des chercheurs en sécurité depuis environ quatre ans maintenant et a déjà réussi des attaques ciblant des entités aux États-Unis, en Europe et dans les pays du Moyen-Orient.
MuddyWater APT lié à l'État iranien
Le Cyber Command des États-Unis, une unité du département américain de la Défense, a récemment lié l'acteur de la menace aux autorités iraniennes, affirmant que le groupe mène des "activités de renseignement" pour le gouvernement du pays du Moyen-Orient.
Selon les chercheurs, la dernière campagne menée par MuddyWater a été lancée au cours des deux derniers mois de 2021 et a utilisé des fichiers PDF contenant des logiciels malveillants comme premier vecteur d'attaque. La campagne a utilisé des courriers de phishing avec les fichiers PDF chargés de logiciels malveillants joints. Les e-mails usurpaient des organisations et des adresses officielles du gouvernement turc, y compris les ministères turcs de la santé et de l'intérieur.
Les fichiers PDF malveillants contenaient des macros Visual Basic intégrées conçues pour exécuter des scripts PowerShell sur le système victime. Les commandes PowerShell exécuteraient un téléchargeur qui donne aux pirates des pouvoirs d'exécution de code et leur permet d'obtenir une persistance grâce à des modifications de la valeur du registre.
Cyberespionnage et exfiltration de données
Une fois que l'APT iranien aurait pris pied sur un système de victimes, il collecterait des données liées à la propriété intellectuelle de valeur et mènerait du cyberespionnage. De plus, l'APT installerait et exécuterait des rançongiciels sur les systèmes victimes, mais plus dans le but d'effacer les réseaux victimes et d'effacer les traces que pour collecter une rançon.
L'APT MuddyWater utilise également des jetons canaris pour savoir quand un fichier a été consulté. Cela a empêché Talos de sécuriser la charge utile finale utilisée dans ces dernières attaques, car le serveur C2 a effectué des contrôles de vérification qui ont interrompu ces tentatives.
