MuddyWater
MuddyWater, también conocido como Mango Sandstorm o SeedWorm, es una APT que se ha atribuido al Gobierno de Irán, concretamente bajo la gestión del Ministerio de Inteligencia y Seguridad Nacional. Aunque inicialmente se pensó que el adversario operaba de forma independiente y no bajo el amparo de un Estado, más tarde se atribuyó a Irán. Fue detectado por primera vez en el horizonte de amenazas en 2017, siendo su principal objetivo llevar a cabo operaciones de espionaje.
Se le atribuyen campañas de ciberespionaje dirigidas principalmente contra organizaciones gubernamentales y del sector privado en Oriente Medio, aunque también se ha observado actividad en Europa, Asia y Estados Unidos.
De igual manera que otras APTs, MuddyWater emplea técnicas como la ingeniería social y spear-phishing para obtener acceso inicial a los equipos de las víctimas. El adversario también posee sofisticación suficiente como para usar su propio malware personalizado – en este caso los más conocidos son "POWERSTATS" y "SharpStage".
Como es común cuando se dan eventos armados convencionales de gran magnitud – como una guerra – MuddyWater intensificó sus actividades tras el inicio del conflicto armado entre Israel y Palestina. Aprovechando la inestabilidad regional, el adversario ha dirigido ataques de ciberespionaje y sabotaje contra infraestructuras críticas y entidades gubernamentales en Israel. Estas actividades han impactado diversos sectores, desde el Gubernamental a medios de comunicación o sector salud.
En este contexto destaca la campaña que llevó a cabo en julio de 2024. En esta desplegó una puerta trasera personalizada denominada "BugSleep" que no había sido observada con anterioridad. BugSleep estaba diseñada para ejecutar comandos, establecer persistencia y transferir archivos entre el equipo comprometido y el servidor de Comando y Control (C2). El malware se distribuyó a través de correos de phishing enviados desde cuentas comprometidas, que contenían enlaces a archivos maliciosos alojados en servicios legítimos de intercambio de archivos como Egnyte.
Primera actividad
País de origen
Objetivos
Bibliografía
- 01Elaborate scripting-fu used in espionage attack against Saudi Arabia Government entity | Malwarebytes Labshttps://www.malwarebytes.com/blog/news/2017/09/elaborate-scripting-fu-used-in-espionage-attack-against-saudi-arabia-government_entity
- 02Iranian Government-Sponsored MuddyWater Actors Conducting Malicious Cyber Operations | CISAhttps://www.cisa.gov/news-events/alerts/2022/02/24/iranian-government-sponsored-muddywater-actors-conducting-malicious
- 03Left On Read: Telegram Malware Spotted in Latest Iranian Cyber Espionage Activity | Mandiant | Google Cloud Bloghttps://cloud.google.com/blog/topics/threat-intelligence/telegram-malware-iranian-espionage
- 04MuddyWater, Earth Vetala, MERCURY, Static Kitten, Seedworm, TEMP.Zagros, Mango Sandstorm, TA450, Group G0069 | MITRE ATT&CK®https://attack.mitre.org/groups/G0069
- 05New BugSleep Backdoor Deployed in Recent MuddyWater Campaigns - Check Point Researchhttps://research.checkpoint.com/2024/new-bugsleep-backdoor-deployed-in-recent-muddywater-campaigns
- 06Recent MuddyWater-associated BlackWater campaign shows signs of new anti-detection techniqueshttps://blog.talosintelligence.com/recent-muddywater-associated-blackwater
- 07Seedworm: Group Compromises Government Agencies, Oil & Gas, NGOs, Telecoms, and IT Firms | SECURITY.COMhttps://www.symantec.com/blogs/threat-intelligence/seedworm-espionage-group
- 08TTPs and Malware used by MuddyWater Cyber Espionage Grouphttps://www.picussecurity.com/resource/ttps-and-malware-used-by-muddywater-cyber-espionage-group