MuddyWater ataca Israel com malware avançado MuddyViper
O ator de ameaça ligado ao Irã, o MuddyWater, mirou vários setores israelenses com uma nova porta dos fundos chamada MuddyViper em ataques recentes.
Pesquisadores da ESET descobriram uma nova MuddyWater campanha que visava organizações israelenses e um alvo confirmado no Egito. O grupo APT ligado ao Irã MuddyWater (também conhecido comoSeedWorm,TEMP. Zagros, Tempestade de Areia de Manga, TA450eGatinho Estático) implantou ferramentas personalizadas para evitar defesas e manter a persistência. Eles usaram um carregador Fooder, disfarçado de jogo Snake, para rodar a backdoor do MuddyViper que rouba informações do sistema, credenciais, dados do navegador e permite execução e exfiltração de arquivos.
Os atacantes também usaram CE-Notes, LP-Notes stealers e túneis reversos go-socks5 nesta campanha. Ao contrário das campanhas anteriores e barulhentas, essa operação permaneceu discreta, evitou sessões interativas e empregou técnicas avançadas, incluindo a API criptográfica CNG do Windows. A ESET fornece análises técnicas detalhadas de todas as ferramentas e métodos utilizados, destacando a abordagem refinada do grupo.
Durante essa campanha, a MuddyWater teve como alvo principal organizações israelenses e uma no Egito entre 30 de setembro de 2024 e 18 de março de 2025, em setores como engenharia, governo local, manufatura, tecnologia, transporte, utilidades e universidades. O grupo também atingiu uma vítima de concessionárias em fevereiro de 2025, revelando sobreposição operacional com OilRigA MuddyWater frequentemente atuava como intermediária de acesso inicial, usando e-mails de spearphishing com links para softwares RMM (Syncro, PDQ) e implantando ferramentas como um loader Mimikatz e o backdoor VAX-One. Os pesquisadores observaram que continuam a depender do PowerShell e do Go backdoors, focando nos setores de telecomunicações, governo e energia. Apesar da colaboração com a Lyceum, o manual previsível baseado em roteiros deles torna a detecção viável.
A ESET identificou sobreposições entre novas ferramentas e o malware MuddyWater anterior. LP-Notes espelha CE-Notes, e um loader Mimikatz compartilha seu design. Novos túneis de reverso go-socks5 aparecem nas campanhas de 2024–2025, às vezes embutidos no carregador Fooder para implantar o MuddyViper.
“Em duas ocasiões, observamos os túneis de ré personalizados go-socks5 embutidos em um novo carregador MuddyWater, internamente chamado Fooder. Em uma dúzia de outros casos, esse loader foi usado para carregar a nova backdoor da MuddyWater, o MuddyViper. Curiosamente, o MuddyViper e as variantes carregadoras CE-Notes/LP-Notes/Mimikatz usam o CNG API para criptografia e descriptografia de dados.” lê o relatório publicado pela ESET. “Até onde sabemos, isso é exclusivo de grupos alinhados ao Irã. Outra característica que essas ferramentas compartilham é que tentam roubar credenciais de usuário abrindo um falso diálogo de Segurança do Windows.”
Tanto o MuddyViper quanto esses loaders usam a API CNG para criptografia e diálogos de segurança falsos do Windows para roubar credenciais, uma técnica única para grupos alinhados ao Irã.
O MuddyWater usou novas ferramentas personalizadas nesta campanha: o carregador Fooder, que se disfarça de Snake para carregar o MuddyViper, uma backdoor em C/C++ para acesso ao sistema e roubo de dados. O conjunto de ferramentas também inclui CE-Notes e Blub (roubadores de dados do navegador), LP-Notes (roubo de credenciais) e múltiplos túneis reversos go-socks5.
“Fooder é um carregador C/C++ de 64 bits projetado para descriptografar e depois carregar reflexivamente a carga embutida, sendo o MuddyViper a carga útil mais frequentemente observada.
Fooder parece ser o nome interno dessa ferramenta, baseado em seus caminhos PDB:
- C:UsuárioswinDesktopFooderDebugLauncher.pdb
- C:UsuáriospcDesktopmainMy_ProjectFooderx64DebugLauncher.pdb
Embora tenhamos capturado apenas uma amostra, acreditamos que o Fooder é executado por um aplicativo lançador simples, escrito em C”, continua o relatório. “Não tem ofuscação de string e registro detalhado no console, e o caminho do PDB permanece intacto:”
Esta campanha mostra a crescente sofisticação da MuddyWater, usando novas ferramentas como Fooder e MuddyViper para melhorar furtividade, persistência e roubo de credenciais. Evasão inspirada no jogo, tunelamento reverso e um conjunto diversificado de ferramentas refletem uma abordagem refinada, tornando as campanhas mais eficazes e difíceis de defender, enquanto a ESET continua monitorando suas atividades.
“A MuddyWater continua demonstrando a capacidade de executar campanhas que abrangem de média para acima da média, ou seja, sendo oportuno, eficaz e cada vez mais difícil de defender.” conclui o relatório. “Embora avaliemos que a MuddyWater continuará sendo um ator líder na atividade do nexo iraniano, prevemos um padrão contínuo de campanhas típicas aprimoradas por TTPs mais avançadas.”
A primeiraMuddyWatercampanha foiObservadono final de 2017, quando o grupo APT mirou entidades no Oriente Médio.
Especialistas batizaram a campanha de ‘MuddyWater’ devido à dificuldade em atribuir uma onda de ataques entre fevereiro e outubro de 2017, que visaram entidades na Arábia Saudita, Iraque, Israel, Emirados Árabes Unidos, Geórgia, Índia, Paquistão, Turquia e Estados Unidos. Ao longo dos anos, o grupo evoluiu ao adicionar novas técnicas de ataque ao seu arsenal e também tem como alvo países europeus e norte-americanos.
As vítimas do grupo estão principalmente nos setores de telecomunicações, governo (serviços de TI) e petróleo.
Em janeiro de 2022, Comando Cibernético dos EUA (USCYBERCOM)Oficialmente vinculadoo grupo APT MuddyWater para o Ministério da Inteligência e Segurança (MOIS) do Irã.
De acordo com o relatório conjunto publicado por agências do Reino Unido e dos EUA, a MuddyWaters está mirando organizações em diversos setores, incluindo telecomunicações, defesa, governo local e petróleo e gás natural na Ásia, África, Europa e América do Norte.
Me siga no Twitter:@securityaffairseFacebookeMastodonte
(SecurityAffairs–hacking, Irã)