MuddyWater лансира RustyWater RAT преку spear-phishing низ секторите на Блискиот Исток

Иранскиот заканувачки актер познат како MuddyWater е поврзан со spear-phishing кампања насочена кон дипломатски, поморски, финансиски и телекомуникациски организации на Блискиот Исток, при што се користи имплант напишан во Rust со кодно име RustyWater.

„Кампањата користи лажно претставување на икони и злонамерни Word документи за испорака на импланти базирани на Rust, способни за асинхрона C2 комуникација, анти-анализа, перзистентност преку регистар и модуларно проширување на можностите по компромитацијата,“ изјави истражувачот од CloudSEK, Праџвал Авасти, во извештај објавен оваа недела.

Најновиот развој ја одразува континуираната еволуција на техниките на MuddyWater, кои постепено, но стабилно, ја намалуваат зависноста од легитимен софтвер за далечински пристап како алатка по експлоатација, во корист на разновиден арсенал од сопствен малициозен софтвер, вклучувајќи алатки како Phoenix, UDPGangster, BugSleep (познат и како MuddyRot) и MuddyViper.

Исто така следена под имињата Mango Sandstorm, Static Kitten и TA450, хакерската група се смета дека е поврзана со иранското Министерство за разузнавање и безбедност (MOIS). Активна е најмалку од 2017 година.

Синџирите на напади што го дистрибуираат RustyWater се релативно едноставни: spear-phishing е-пораки маскирани како упатства за сајбер-безбедност доаѓаат во прилог со Microsoft Word документ кој, кога ќе се отвори, го инструира жртвата да „Enable content“ за да се активира извршувањето на злонамерна VBA макро-команда одговорна за инсталирање на Rust имплантот.

Познат и како Archer RAT и RUSTRIC, RustyWater собира информации за машината на жртвата, детектира инсталиран безбедносен софтвер, воспоставува перзистентност преку клуч во Windows Registry и воспоставува контакт со командно-контролен (C2) сервер („nomercys.it[.]com“) за овозможување операции со датотеки и извршување команди.

Вреди да се напомене дека употребата на RUSTRIC беше забележана од Seqrite Labs кон крајот на минатиот месец како дел од напади насочени кон компании од областа на информациските технологии (IT), управувани сервисни провајдери (MSP), човечки ресурси и развој на софтвер во Израел. Активноста ја следи сајбер-безбедносната компанија под имињата UNG0801 и Operation IconCat.

„Историски гледано, MuddyWater се потпираше на PowerShell и VBS лоудери за почетен пристап и операции по компромитацијата,“ соопшти CloudSEK. „Воведувањето на импланти базирани на Rust претставува значајна еволуција на алатките кон поструктурирани, модуларни и нискошумни RAT можности.“

Извори:

• The Hacker News – MuddyWater Launches RustyWater RAT via Spear-Phishing Across Middle East Sectors The Hacker News