APT iraniano apoiado pelo Estado ataca alvos na Turquia
De acordo com pesquisadores de inteligência de segurança da Cisco Talos, um grupo avançado de ameaças persistentes que opera no Irã tem como alvo organizações privadas e governamentais localizadas na Turquia.
O APT em questão é conhecido sob vários pseudônimos, incluindo MuddyWater, Mercury e Static Kitten, e acredita-se que tenha ligações com o Ministério de Inteligência e Segurança do Irã. O agente da ameaça está no radar dos pesquisadores de segurança há cerca de quatro anos e já realizou ataques anteriores contra entidades nos EUA, Europa e países do Oriente Médio.
APT MuddyWater Ligado ao Estado Iraniano
O Comando Cibernético dos Estados Unidos, uma unidade do Departamento de Defesa dos EUA, recentemente vinculou o agente da ameaça às autoridades iranianas, dizendo que o grupo realiza "atividades de inteligência" para o governo do país do Oriente Médio.
Segundo os pesquisadores, a última campanha executada pela MuddyWater foi lançada nos últimos dois meses de 2021 e usou arquivos PDF com malware como seu vetor inicial de ataque. A campanha usou correio de phishing com os PDFs carregados de malware anexados. Os e-mails falsificavam organizações e endereços oficiais do governo turco, incluindo os ministérios da saúde e do interior turcos.
Os PDFs maliciosos continham macros Visual Basic incorporadas, projetadas para executar scripts do PowerShell no sistema da vítima. Os comandos do PowerShell executariam um downloader que fornece aos hackers poderes de execução de código e permite que eles obtenham persistência por meio de edições de valor do registro.
Ciberespionagem e exfiltração de dados
Uma vez que o APT iraniano ganhasse uma posição em um sistema de vítimas, ele coletaria dados relacionados à propriedade intelectual valiosa e realizaria ciberespionagem. Além disso, o APT instalaria e executaria ransomware nos sistemas das vítimas, mas mais em um esforço para limpar as redes das vítimas e apagar rastros do que para coletar um resgate.
O MuddyWater APT também usa tokens canários para rastrear quando um arquivo foi acessado. Isso impediu o Talos de proteger a carga útil final usada nesses ataques mais recentes, pois o servidor C2 executava verificações que atrapalhavam essas tentativas.
