Мъгливи води: как хакерите от MuddyWater атакуваха турския производител на военна електроника

Прогосударственным хакерам из Ирана стало тяжело. В течение всей весны неизвестные публиковали в Telegram "секретные утечки" — информацию о связанных с правительством Ирана APT-группах — OilRig и MuddyWater — их инструментах, жертвах и связях. Но не обо всех. В апреле специалисты Group-IB обнаружили утечку email-адресов турецкой компании ASELSAN A.Ş, специализирующейся на производстве тактических военных радиостанций и электронных систем обороны для вооруженных сил Турции. Анастасия Тихонова, руководитель группы исследования сложных угроз в Group-IB, и Никита Ростовцев, младший аналитик Group-IB, описали ход атаки на ASELSAN A.Ş и выявили возможного участника MuddyWater.

Засветка через Telegram

"Утечка" иранских APT-групп началась с того, что кто-то Lab Dookhtegan обнародовал исходные коды шести инструментов APT34 (также известной как OilRig и HelixKitten), раскрыл IP-адреса и домены, участвующие в операциях, а также данные о 66 жертвах хакеров, среди которых были компании Etihad Airways и Emirates National Oil. Lab Dookhtegan также «слил» данные о предыдущих операциях группы и информацию о сотрудниках Министерства информации и национальной безопасности Ирана, которые якобы связаны с действиями группировки. OilRig — это APT-группа, связанная с Ираном, существующая с 2014 года и нацеленная на правительственные, финансовые и военные организации, а также энергетические и телекоммуникационные компании на Ближнем Востоке и в Китае.

После утечки информации о OilRig «сливы» продолжались — в даркнете и Telegram появилась информация о деятельности другой прогосударственной группы из Ирана — MuddyWater. Однако, в отличие от первой утечки, на этот раз были опубликованы не исходные коды, а дампы, включающие скриншоты исходников, управляющих серверов, а также IP-адреса предыдущих жертв хакеров. В этот раз ответственность за утечку информации о MuddyWater взяли на себя хакеры Green Leakers. Им принадлежат несколько Telegram-каналов и сайтов в даркнете, где они рекламируют и продают данные, связанные с операциями MuddyWater.

Кибершпионы с Ближнего Востока

MuddyWater — това е група, която действа от 2017 година в страните от Близкия Изток. Например, както отбелязват специалистите от Group-IB, в периода от февруари до април 2019 година хакери извършиха серия от фишинг съобщения, насочени към правителствени, образователни организации, финансови, телекомуникационни и отбранителни компании в Турция, Иран, Афганистан, Ирак и Азербайджан.

Членовете на групата използват бекдор, собствена разработка на базата на PowerShell, който е получил името POWERSTATS. Той може да:

• събира данни за локални и домейни акаунти, достъпни файл-сървъри, вътрешен и външен IP адрес, наименование и архитектура на ОС;
• извършва отдалечено изпълнение на код;
• извършва качване и сваляне на файлове чрез C&C;
• определя наличието на отладъчни програми, използвани при анализа на зловредни файлове;
• изключва системата, ако бъдат намерени програми за анализ на зловредни файлове;
• изтрива файлове от локални дискове;
• прави снимки на екрана;
• изключва защитните мерки на продуктите на Microsoft Office.

В определен момент злоумышлениците допуснаха грешка и изследователите от компанията ReaQta успяха да получат крайните IP адреси, които се намираха в Тегеран. Въз основа на целите, атакувани от групата, както и на задачите им, свързани с кибершпионажа, специалистите предположиха, че групата представлява интересите на правителството на Иран.

Индикатори на атакатаC&C:

• gladiyator[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

Файлове:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

Турция под прицел

На 10 април 2019 година специалистите от Group-IB откриха изтичане на имейл адреси на турската компания ASELSAN A.Ş — най-голямата компания в сферата на военната електроника в Турция. Сред нейните продукти са радарите и радиоелектронните средства, електрооптика, авионика, безпилотни системи, наземни, военно-морски и оръжейни системи, както и системи за противовъздушна отбрана.

Изучавайки един от новите образци на зловреден софтуер POWERSTATS, експертите на Group-IB установиха, че групата киберпрестъпници MuddyWater е използвала като примамка лицензионно споразумение между Koç Savunma, производител на решения в областта на информационните и отбранителните технологии, и Tubitak Bilgem, изследователския център за информационна сигурност и напреднали технологии. Контактното лице от Koç Savunma е било Tahir Taner Tımış, който е заемал длъжността Programs Manager в Koç Bilgi ve Savunma Teknolojileri A.Ş. от септември 2013 до декември 2018 година. По-късно е започнал работа в ASELSAN A.Ş.

Пример за документ-примамка
След активирането на зловредните макроси, на компютъра на жертвата се инсталира бэкдор POWERSTATS.

Благодарение на метаданните на този документ-примамка (MD5: 0638adf8fb4095d60fbef190a759aa9e) изследователите успяха да намерят три допълнителни образци, съдържащи идентични стойности, сред които дата и час на създаване, име на потребител и списък на съдържащите се макроси:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

Скриншот на идентичните метаданни на различни документи-примамки

Един от откритите документи с името ListOfHackedEmails.doc съдържа списък от 34 имейл адреса, принадлежащи на домейна @aselsan.com.tr.

Специалистите на Group-IB провериха имейл адресите в публично достъпните изтичания и установиха, че 28 от тях са компрометирани в предишно открити изтичания. Проверка на микса от налични изтичания показа около 400 уникални потребителски имена, свързани с този домейн, и пароли за тях. Вероятно киберпрестъпниците са използвали тези данни от открит достъп, за да атакуват компанията ASELSAN A.Ş.

Скриншот на документа ListOfHackedEmails.doc

Скриншот на списъка с повече от 450 открити парове име-парола в публични изтичания
Сред откритите образци също имаше документ с названието F35-Specifications.doc, относно изтребителя F-35. Документ-примамката представлява спецификация на многофункционалните изтребители-бомбардировачи F-35, посочваща характеристиките на самолетите и цената. Темата на този документ-примамка пряко се отнася до отказа на САЩ да доставят F-35 след покупката на комплексите С-400 от Турция и заплахата от предаване на Русия информация за F-35 Lightning II.

Всичките получени данни показват, че основната цел на кибератаките MuddyWater са организации, разположени в Турция.

Кои са Gladiyator_CRK и Nima Nikjoo?

По-рано, през март 2019 година, бяха открити злонамерени документи, създадени от потребител на Windows с никнейм Gladiyator_CRK. Тези документи също разпространяваха бекдор POWERSTATS и се свързваха с C&C сървър с подобно наименование. gladiyator[.]tk.

Възможно е това да е станало след като на 14 март 2019 потребителят Nima Nikjoo публикува в Twitter запис, в който се опитва да декодира обфускиран код, свързан с MuddyWater. В коментарите под този туит изследователят каза, че не може да сподели индикатори за компрометиране на тази злонамерена програма, тъй като информацията е конфиденциална. За съжаление, записът вече е изтрит, но остават негови следи в мрежата:

Nima Nikjoo е собственик на профила Gladiyator_CRK в иранските видеохостинг платформи dideo.ir и videoi.ir. На този сайт той демонстрира PoC експлойти за деактивиране на антивирусни инструменти на различни производители и за заобикаляне на пясъчниците. За себе си Nima Nikjoo пише, че е специалист в областта на мрежовата сигурност, а също и реверс-инженер и анализатор на злонамерен софтуер, който работи в MTN Irancell — иранска телекомуникационна компания.

Скриншот на запазените видеа в търсене в Google:

По-късно, на 19 март 2019 година, потребителят Nima Nikjoo в социалната мрежа Twitter промени своя никнейм на Malware Fighter, а също така изтри свързаните постове и коментари. Профилът Gladiyator_CRK на видеохостинга dideo.ir също беше изтрит, както и на YouTube, а самият профил променен на N Tabrizi. Въпреки това, почти месец по-късно (на 16 април 2019 година) акаунтът в Twitter отново започна да използва името Nima Nikjoo.

В хода на изследването специалистите на Group-IB установиха, че Nima Nikjoo вече е бил споменаван във връзка с киберпрестъпна дейност. През август 2014 година в блога Iran Khabarestan беше публикувана информация за лица, свързани с киберпрестъпната група Iranian Nasr Institute. В едно от проучванията на FireEye се споменава, че Nasr Institute е бил подизпълнител на APT33 и е участвал в DDoS атаки срещу американски банки в периода от 2011 до 2013 година в рамките на кампания под наименование Operation Ababil.

В този блог беше споменат Нима Никиу-Никиджу, който е разработвал злонамерен софтуер, за да шпионира иранци, а неговият имейл адрес е: gladiyator_cracker@yahoo[.]com.

Скрининг на данни, свързани с киберпрестъпниците от Иранския институт Nasr:

Превод на изречението на руски: Нима Никио — Разработчик на шпионски софтуер — Имейл адрес:.

Както личи от информацията, имейл адресът е свързан с адреса, използван в атаките, и потребителите Gladiyator_CRK и Нима Никио.

Освен това, в статия от 15 юни 2017 г. се споменава, че Никио е бил малко небрежен, публикувайки линкове към компанията Kavosh Security Center в своето резюме. Има мнение, че организацията Kavosh Security Center е подкрепяна от иранската държава за финансиране на прокомунистически хакери.

Информация за компанията, в която е работил Нима Никио:

В профила на LinkedIn на потребителя от Twitter Нима Никио първото място на работа е посочено като Kavosh Security Center, където е работил от 2006 до 2014 г. По време на своята работа той е изучавал различни злонамерени програми, както и е занимавал с реверс и свързана с обфускация работа.

Информация за компанията, в която е работил Нима Никио, в LinkedIn:

MuddyWater и завишеното самочувствие

Любопитно е, че групата MuddyWater внимателно следи всички публикувани отчети и съобщения за тях от експерти по сигурността, и дори специално оставя фалшиви следи, за да заблуди изследователите. Например, техните първи атаки объркаха експертите, тъй като беше открито използването на DNS Messenger, което обикновено се свързва с групата FIN7. В други атаки те вкарваха китайски стрингове в кода.

Освен това, групата обичаше да оставя послания за изследователите. Например, не им хареса, че „Лаборатория Касперски“ постави MuddyWater на 3-то място в своя годишен рейтинг на заплахите. В същия момент някой — вероятно групата MuddyWater — качи на YouTube PoC експлойт, който деактивира антивируса „ЛК“. Те оставиха и коментар под статията.

Екранни снимки на видеото за деактивиране на антивируса на „Лаборатория Касперски“ и коментара под него:

Все още е трудно да се направи категоричен извод за включването на "Nima Nikjoo". Експертите от Group-IB разглеждат две версии. Nima Nikjoo може наистина да бъде хакер от групата MuddyWater, който е изпаднал в очите на обществото заради небрежността си и повишената си активност в мрежата. Втората версия е, че именно други членове на групата умишлено са го „изложили“, за да отклонят подозренията от себе си. Във всеки случай Group-IB продължава своето разследване и несъмнено ще съобщи за резултатите от него.

Що се отнася до иранските APT, след серия от изтичания и разкрития вероятно ги очаква сериозен "разбор на полетите" — хакерите ще бъдат принудени да променят радикално инструментите си, да изчистят следите и да намерят възможни "шпионски" елементи сред тях. Експертите не изключиха, че дори могат да вземат пауза, но след кратка почивка атаките на иранските APT отново започнаха.

Източник: habr.com