Door de staat gesteunde Iraanse APT valt doelen in Turkije aan
Volgens security intelligence-onderzoekers van Cisco Talos heeft een geavanceerde, hardnekkige dreigingsgroep die vanuit Iran opereert zich zowel op particuliere als op overheidsorganisaties in Turkije gericht.
De APT in kwestie is bekend onder een aantal aliassen, waaronder MuddyWater, Mercury en Static Kitten, en zou banden hebben met het Iraanse ministerie van Inlichtingen en Veiligheid. De dreigingsactor staat nu ongeveer vier jaar op de radar van beveiligingsonderzoekers en heeft eerdere aanvallen uitgevoerd die gericht waren op entiteiten in de VS, Europa en landen in het Midden-Oosten.
MuddyWater APT gekoppeld aan de Iraanse staat
Het United States Cyber Command, een eenheid van het Amerikaanse ministerie van Defensie, heeft de dreigingsactor onlangs in verband gebracht met de Iraanse autoriteiten en zegt dat de groep "inlichtingenactiviteiten" uitvoert voor de regering van het Midden-Oosten.
Volgens onderzoekers werd de laatste campagne van MuddyWater gelanceerd in de laatste paar maanden van 2021 en werden PDF-bestanden vol malware gebruikt als vroege aanvalsvector. De campagne maakte gebruik van phishingmail met de met malware beladen pdf's als bijlage. De e-mails waren vervalsing van officiële Turkse overheidsorganisaties en adressen, waaronder de Turkse ministeries van Volksgezondheid en Binnenlandse Zaken.
De kwaadaardige pdf's bevatten ingesloten Visual Basic-macro's die zijn ontworpen om PowerShell-scripts op het slachtoffersysteem uit te voeren. De PowerShell-opdrachten zouden een downloader uitvoeren die de hackers code-uitvoeringsbevoegdheden geeft en hen in staat stelt persistentie te bereiken door middel van bewerkingen van registerwaarden.
Cyberspionage en gegevensexfiltratie
Zodra de Iraanse APT voet aan de grond zou krijgen op een slachtoffersysteem, zou het gegevens verzamelen met betrekking tot waardevol intellectueel eigendom en cyberspionage uitvoeren. Bovendien zou de APT ransomware op de systemen van het slachtoffer installeren en uitvoeren, maar meer in een poging om de netwerken van het slachtoffer te wissen en sporen te wissen dan om losgeld te innen.
De MuddyWater APT heeft ook kanarie-tokens gebruikt om bij te houden wanneer een bestand is geopend. Dit verhinderde dat Talos de uiteindelijke payload kon beveiligen die bij die laatste aanvallen werd gebruikt, omdat de C2-server verificatiecontroles uitvoerde die die pogingen verstoorden.
