Gli APT iraniani MuddyWater hanno attaccato le Telco in Medio Oriente.

Symantec ha annunciato una campagna di spionaggio informatico del gruppo iraniano APT MuddyWater che prende di mira Telco e società IT e servizi pubblici in Medio Oriente e in altre parti dell’Asia.

Advertising

La fazione MuddyWater (nota anche come Seedworm, MERCURY e Static Kitten) è stata scoperta nel 2017 ed è nota per i suoi attacchi a obiettivi in ​​Medio Oriente.

In una nuova campagna, che i ricercatori di Symantec hanno monitorato negli ultimi sei mesi, gli aggressori hanno preso di mira più organizzazioni in Israele, Giordania, Kuwait, Laos, Pakistan, Arabia Saudita, Thailandia ed Emirati Arabi Uniti.

Gli attacchi hanno utilizzato strumenti legittimi, malware e disponibili pubblici. Dopo la compromissione iniziale, gli aggressori cercano di rubare le credenziali e di navigare nella rete della vittima, concentrandosi sull’implementazione di web shell sui server Microsoft Exchange. In alcuni casi, gli ambienti compromessi sono stati utilizzati per lanciare attacchi contro altre organizzazioni, mentre alcune aziende sono diventate bersagli di attacchi alla supply chain.

Il vettore di infezione originale è sconosciuto nella maggior parte dei casi, ma sembra che un obiettivo sia stato compromesso con un file MSI dannoso consegnato in un archivio di phishing ed e-mail.

In un attacco a un provider di servizi di telecomunicazione, sono stati utilizzati file Windows Script File (WSF) per rilevare ed eseguire comandi e l’utilità Certutil è stata utilizzata per distribuire uno strumento di tunneling e avviare il toolkit WMI, quindi caricare di eseguire una shell Web su il server Exchange.

Gli hacker facevano molto affidamento sugli script per automatizzare le operazioni di raccolta di informazioni, nonché su uno strumento di accesso remoto per eseguire un dump del servizio di sottosistema dell’autorità di sicurezza locale (LSASS), fornire strumenti di tunneling e richiedere un URL da un altro ambiente compromesso.

In un attacco a una società di servizi pubblici in Laos, il server web IIS avrebbe agito come punto di ingresso. Gli aggressori hanno quindi utilizzato il loro punto d’appoggio per attaccare il server webmail e i server IT di due società in Thailandia.

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research