يؤكد الإخطار الرسمي الشكوك في أن المجموعة مدعومة من الدولة.
قالت القيادة الإلكترونية الأمريكية يوم الأربعاء إن مجموعة القرصنة المعروفة باسم MuddyWater مرتبطة بالمخابرات الإيرانية.
وقالت القيادة الإلكترونية في إشعار : "MuddyWater هي مجموعة تهديد إيرانية ؛ في السابق ، ذكرت الصناعة أن MuddyWater استهدفت بشكل أساسي دول الشرق الأوسط ، واستهدفت أيضًا دولًا أوروبية وأمريكية شمالية" .
"MuddyWater هو عنصر ثانوي داخل وزارة الاستخبارات والأمن الإيرانية (MOIS)."
على تويتر ، قالت Cyber Command إن MuddyWater كانت تستخدم مجموعة من البرامج الضارة للتجسس والنشاط الخبيث ، مع الإسناد الذي قدمته فرقة العمل المشتركة للتحقيقات الإلكترونية التابعة لمكتب التحقيقات الفيدرالي.
وقالت: "تستخدم مجموعة MuddyWater الهاكرز التابعة لوزارة الموازنة والمخابرات (MOIS) شفرة مفتوحة المصدر لبرامج ضارة.
"MuddyWater وغيرها من أجهزة APT الإيرانية التابعة لـ MOIS تستخدم نفق DNS للاتصال بالبنية التحتية C2 الخاصة بها ؛ إذا رأيت هذا على شبكتك ، فابحث عن حركة المرور الصادرة المشبوهة."
إلى جانب الإشعار ، تم تحميل عينات البرامج الضارة MuddyWater إلى VirusTotal ، بما في ذلك PowGoop DDL sideloader و Mori backdoor الذي يستخدم نفق DNS.
"يستخدم Goopdate.dll التحميل الجانبي لـ DLL للتشغيل عند تشغيل ملف GoogleUpdate.exe غير ضار قابل للتنفيذ. سيقوم goopdate.dll بعد ذلك بإلغاء التعتيم عن goopdate.dat ، وهو برنامج نصي من PowerShell يُستخدم لإلغاء التعتيم وتشغيل التهيئة. TXT ، "قالت Cyber Command لأنها مفصلة حالة واحدة لكيفية عمل PowGoop.
"Config.txt هو برنامج نصي من PowerShell ينشئ اتصالاً بالشبكة مع خادم PowGoop C2. ويستخدم آلية تشفير base64 المعدلة لإرسال البيانات من وإلى خادم C2. غالبًا ما يتم ترميز IP الخاص بخادم C2 في config.txt."
في نوفمبر / تشرين الثاني ، عزت السلطات الإلكترونية عبر الولايات المتحدة والمملكة المتحدة وأستراليا الهجمات التي استغلت الثغرات في Fortinet و Exchanges إلى المهاجمين المدعومين من إيران.
"لاحظ مكتب التحقيقات الفيدرالي و CISA أن مجموعة APT التي ترعاها الحكومة الإيرانية تستغل نقاط ضعف Fortinet منذ مارس 2021 على الأقل ، وثغرة أمنية في Microsoft Exchange ProxyShell منذ أكتوبر 2021 على الأقل للوصول إلى الأنظمة قبل عمليات المتابعة ، والتي تشمل النشر رانسومواري ، "ذكر بيان مشترك.
"تدرك ACSC أيضًا أن مجموعة APT هذه قد استخدمت نفس مشكلة عدم حصانة Microsoft Exchange في أستراليا."
بدلاً من ملاحقة قطاع معين من الاقتصاد ، قالت السلطات إن المهاجمين ركزوا ببساطة على استغلال نقاط الضعف حيثما أمكن ، وبعد العملية ، حاولوا بعد ذلك تحويل هذا الوصول الأولي إلى سرقة بيانات أو هجوم فدية أو ابتزاز.
وفي الشهر نفسه ، قالت شركة مايكروسوفت إن هجمات قراصنة إيرانيين ترعاهم الدولة على شركات خدمات تكنولوجيا المعلومات كانت شبه معدومة في عام 2020 ، لكن في عام 2021 تجاوزت 1500 هجوم محتمل .
