ESET, İran ile bağlantılı siber casusluk grubu MuddyWater’ın İsrail ve Mısır’a yönelik saldırılarını tespit etti ve bu kampanyada kullanılan araçların teknik analizlerini kamuoyuyla paylaştı.

İSTANBUL (İGFA) – İran İstihbarat ve Ulusal Güvenlik Bakanlığı ile ilişkili MuddyWater (Mango Sandstorm / TA450), özellikle İsrail’deki kritik sektörlere yönelik saldırılarında yeni bir arka kapı olan MuddyViper ve görünüşte klasik bir oyun olan Fooder gibi gelişmiş araçlar kullanmaya başladı.

ESET araştırmacıları, MuddyWater’ın özellikle İsrail’de teknoloji, mühendislik, imalat, yerel yönetim ve eğitim sektörlerini hedef aldığını ve aynı zamanda Mısır’da da bir saldırı girişiminin tespit edildiğini belirtti.

Grup, bu kampanyada savunma mekanizmalarını aşmak ve kalıcılığı artırmak amacıyla daha önce belgelenmemiş özel araçlara yöneldi. Bu araçlardan biri olan MuddyViper, sistem bilgisi toplama, komut çalıştırma, dosya aktarma ve Windows kimlik bilgilerini sızdırma gibi yeteneklere sahip.

KLASİK SNAKE OYUNUNDAN İLHAM ALAN KÖTÜ AMAÇLI YÜKLEYİCİ: FOODER

ESET’e göre MuddyWater, MuddyViper’ı sisteme bellek içi (reflective loading) olarak yükleyen Fooder adlı yeni bir yükleyici kullanıyor. Görünüşte klasik Snake oyunu gibi çalışan bu yükleyicinin birkaç versiyonu mevcut.

Yükleyicinin dikkat çekici bir özelliği, Snake oyununun temel mantığını taklit eden özel gecikme fonksiyonlarıyla “Sleep” API çağrılarını yoğun şekilde kullanması. Bu sistem, kötü amaçlı davranışların otomatik analiz araçlarından gizlenmesine yardımcı oluyor. Araştırmacılar, MuddyWater’ın Windows’un modern kriptografi mimarisi CNG’yi benimseyerek İran bağlantılı gruplar arasında alışılmadık bir adım attığını da vurguladı.

SPEARPHİSHİNG E-POSTALARIYLA İLK ERİŞİM

Kampanyada ilk erişim, çoğunlukla PDF eki taşıyan spearphishing e-postaları aracılığıyla sağlandı. Bu PDF’lerde, OneHub, Egnyte veya Mega gibi platformlarda barındırılan uzak yönetim yazılımlarının yükleyicilerine bağlantılar yer aldı.

Bu bağlantılar, Atera, Level, PDQ ve SimpleHelp gibi araçların indirilmesine yol açıyor. Ayrıca, grup meşru yazılımları taklit eden VAX One adlı bir arka kapı kullanıyor; bu arka kapı, Veeam, AnyDesk, Xerox ve OneDrive gibi markaların isimlerini taklit ediyor.

KİMLİK BİLGİSİ HIRSIZLARININ SAYISI ARTTI

Saldırı sonrası kullanılan araç setinde, birden fazla kimlik bilgisi hırsızının bulunduğu tespit edildi:

CE-Notes: Chromium tabanlı tarayıcıları hedefliyor.

LP-Notes: Çalınan kimlik bilgilerini doğruluyor ve düzenliyor.

Blub: Chrome, Edge, Firefox ve Opera’dan oturum açma verilerini çalıyor.

MuddyWater’ın taktikleri evriliyor: Daha az gürültü, daha hedefli saldırılar

ESET’in analizlerine göre MuddyWater, geçmişte sıkça yaptığı hatalı komut yazımları ve manuel oturumlar gibi “gürültülü” davranışlardan kaçınarak daha dikkatli bir saldırı yaklaşımı benimsedi. Bu, grubun teknik olarak evrim geçirdiğini ve daha stratejik hedefleme yaptığını gösteriyor.