Хакери поврзани со Иран од групата MuddyWater таргетираат американски мрежи со нова задна врата Dindoor

Новото истражување од Broadcom – тимовите Symantec и Carbon Black Threat Hunter Team – откри докази дека иранска хакерска група се инфилтрирала во мрежите на неколку компании во САД, меѓу кои банки, аеродроми, непрофитни организации и израелската филијала на една софтверска компанија.

Активноста е припишана на државно поддржаната хакерска група MuddyWater (позната и како Seedworm), која е поврзана со Ministry of Intelligence and Security на Иран. Се проценува дека кампањата започнала на почетокот на февруари, а нови активности биле откриени по воените напади на САД и Израел врз Иран.

„Софтверската компанија е снабдувач за одбранбената и воздушно-вселенската индустрија, меѓу другите, и има присуство во Израел. Се чини дека израелската операција на компанијата била главната цел во оваа активност,“ соопшти безбедносниот продавач во извештај споделен со The Hacker News.

Нападите врз софтверската компанија, како и врз една американска банка и канадска непрофитна организација, биле искористени за поставување на претходно непозната backdoor алатка наречена Dindoor, која го користи Deno JavaScript runtime за извршување.
Broadcom исто така откри обид за извлекување на податоци од софтверската компанија со помош на алатката Rclone, при што податоците требало да бидат испратени во Wasabi Technologies cloud storage. Сепак, не е познато дали обидот бил успешен.

Во мрежите на еден американски аеродром и една непрофитна организација била откриена и друга Python backdoor алатка наречена Fakeset, која била преземена од сервери на Backblaze, американска компанија за cloud складирање и backup на податоци.

Дигиталниот сертификат што се користел за потпишување на Fakeset бил употребен и за потпишување на малициозниот софтвер Stagecomp и Darkcomp, кои претходно биле поврзани со MuddyWater.

„Иако овој malware не беше директно забележан на таргетираните мрежи, користењето на исти сертификати сугерира дека истиот актер – односно Seedworm – стои зад активностите на мрежите на американските компании,“ соопштија Symantec и Carbon Black.

Истражувачите додаваат дека иранските сајбер актери значително ги подобриле своите способности во последните години. Покрај напредниот malware, тие покажуваат и силни social engineering техники, како spear-phishing кампањи и „honeytrap“ операции за воспоставување доверба со целите и добивање пристап до сметки или чувствителни информации.

Сајбер напади во контекст на растечката тензија

Овие откритија доаѓаат во време на ескалација на воениот конфликт со Иран, што предизвика бран на сајбер напади во дигиталниот простор.

Истражување од Check Point Software Technologies откри дека про-палестинската хактивистичка група Handala Hack (позната и како Void Manticore) ги насочувала своите операции преку IP опсези на Starlink, со цел да скенира јавни апликации за лоша конфигурација и слаби лозинки.

Во последните месеци, повеќе групи поврзани со Иран – како Agrius (позната и како Agonizing Serpens, Marshtreader и Pink Sandstorm) – биле забележани како бараат ранливи камери и видео-интерком системи од Hikvision, користејќи познати безбедносни пропусти.

Според Check Point, овие активности се интензивирале поради актуелниот конфликт на Блискиот Исток. Обидите за експлоатација на IP камери значително се зголемиле во Израел и земјите од Заливот, како United Arab Emirates, Qatar, Bahrain и Kuwait, како и во Lebanon и Cyprus.

Активностите особено ги таргетираат камерите од Dahua Technology и Hikvision, користејќи повеќе познати ранливости.

Компанијата наведува дека овие активности се во согласност со проценката дека Иран користи компромитирани камери за оперативна поддршка и за проценка на штетата од ракетни напади.

Дополнителни случувања

Во последните денови се забележани и следниве настани:

• Израелските разузнавачки служби со години ја хакирале мрежата од сообраќајни камери во Tehran за да ги следат движењата на телохранителите на Ali Khamenei и други високи ирански функционери.
• Islamic Revolutionary Guard Corps на Иран таргетирал дата-центар на Amazon во Bahrain.
• Во тек се wiper сајбер-кампањи против израелските енергетски, финансиски и владини институции.
• Иранските APT групи како MuddyWater, Charming Kitten, OilRig, Elfin и Fox Kitten покажуваат знаци на активирање и подготовка за одмазднички операции.

Според експертите, сајбер-операциите стануваат едно од најважните асиметрични оружја на Иран во време на геополитички тензии.

Препораки за организациите

Организациите се советуваат да:

• ја зајакнат сајбер безбедноста
• подобрат мониторинг на мрежите
• го ограничат директниот интернет пристап
• го оневозможат далечинскиот пристап до OT системите
• применат phishing-resistant MFA
• користат network segmentation
• прават offline backup на податоци
• ги ажурираат сите интернет-достапни апликации, VPN портали и edge уреди

Експертите предупредуваат дека западните организации треба да останат во висока состојба на готовност, бидејќи сајбер активностите може да преминат од хактивизам во деструктивни операции. 🔐💻

Извори:

• The Hacker News – Iran-Linked MuddyWater Hackers Target U.S. Networks With New Dindoor Backdoor The Hacker News