Кибергруппировка MuddyWater наращивает активность в Европе и США, используя новые инструменты и инфраструктуру

Исторически MuddyWater полагалась на фишинговые рассылки с вредоносными документами для заражения жертв, часто используя скомпрометированные учетные записи для имитации государственных или академических учреждений. Однако с начала года наблюдается заметный сдвиг: группировка значительно сократила использование инструментов удаленного мониторинга и управления (RMM), вернувшись к более целенаправленному подходу. Хотя RMM-программы все еще применяются, акцент сместился на кастомные бэкдоры, такие как Phoenix, StealthCache и PowerShell-скрипты.

Для доставки вредоносного кода продолжают использоваться фишинговые письма с документами, содержащими зловредные макросы. Инфраструктурный анализ выявил активное использование Amazon Web Services (AWS) для размещения вредоносных активов, а также сервисов Cloudflare для сокрытия отпечатков инфраструктуры и затруднения анализа. Группировка задействует хостинги множества коммерческих провайдеров, включая M247, SEDO, DigitalOcean, OVH, а также устойчивые к давлению bulletproof-хостинги, такие как Stark Industries, что указывает на deliberate mixing of mainstream and resilient infrastructure.

Среди новых инструментов, замеченных в арсенале MuddyWater, - бэкдор BugSleep, разработанный на C/C++ и активно применявшийся во второй половине 2024 года против организаций Ближнего Востока, Турции, Азербайджана и ряда европейских стран. BugSleep выполняет команды и обеспечивает передачу файлов между зараженными машинами и сервером управления. Множественные версии malware демонстрируют ongoing development со стороны threat actors.

StealthCache представляет собой более продвинутый бэкдор с расширенным набором функций, включая кражу данных, обнаружение средств защиты (EDR и антивирусы) и взаимодействие по HTTP(S). Phoenix - это минималистичный бэкдор, который копирует себя в систему, регистрируется на C2 и выполняет команды, такие как запуск интерактивной оболочки или установка персистентности. Fooder выступает в роли загрузчика, использующего side-loading и многопоточность для осложнения анализа.

Группировка также weaponizes открытые проекты на Golang, такие как HackBrowserData для кражи данных браузеров, go-socks5 для проксирования трафика и Yamux для мультиплексирования соединений. Дополнительные инструменты включают CannonRat (RAT), LiteInject (инжектор PE) и UDPGangster (UDP-бэкдор).

Инфраструктура MuddyWater отличается разнообразием: помимо AWS и Cloudflare, группировка использует хостинги M247, OVH, DigitalOcean, а также bulletproof-провайдеров. C2-серверы часто развертываются на Python-технологиях (Werkzeug, Uvicorn), с шифрованием трафика и коротким временем жизни для усложнения обнаружения. Домены регистрируются через Namecheap, а TLS-сертификаты получаются от Let’s Encrypt и Google Trust Services.

Несмотря на попытки замести следы, MuddyWater допускает ошибки в области операционной безопасности (OPSEC), такие как повторное использование доменов, сертификатов и серверов, что позволяет исследователям отслеживать и атрибутировать деятельность. Группа также использует VPN-провайдеров, таких как NordVPN, для обхода геоблокировок и заметания следов.

Целями MuddyWater традиционно являются телекоммуникационные компании, государственные учреждения, энергетический сектор, оборонная промышленность и операторы критически важной инфраструктуры. Их настойчивые кампании подчеркивают их роль в поддержке интересов иранской разведки, при этом сохраняя правдоподобное отрицание государственных киберопераций.

Постоянное совершенствование инструментов, инфраструктуры и тактик наряду с методами counter-attribution указывает на то, что MuddyWater останется устойчивой и адаптивной угрозой, особенно в регионах и секторах, связанных со стратегическими интересами Ирана.