Мъгливи води: как хакерите от MuddyWater атакуваха турски производител на военна електроника

Иранските про-държавни хакери имат сериозни проблеми. През цялата пролет неизвестни лица публикуваха в Telegram "секретни изтечения" — информация за свързани с правителството на Иран APT-групи — OilRig и MuddyWater — техните инструменти, жертви, връзки. Но не за всички. През април специалисти от Group-IB откриха изтичане на имейл адреси на турската корпорация ASELSAN A.Ş, която се занимава с производството на тактически военни радиостанции и електронни системи за отбрана за въоръжените сили на Турция. Анастасия Тихонова, ръководител на екипа за изследване на сложни заплахи в Group-IB, и Никита Ростовцев, младши аналитик в Group-IB, описаха хода на атаката срещу ASELSAN A.Ş и намериха възможен участник. MuddyWater.

Изтичане чрез Telegram

"Изтичането" на иранските APT-групи започна с това, че някой Lab Dookhtegan разкри изходните кодове на шест инструмента APT34 (също известни като OilRig и HelixKitten), разкри IP адреси и домейни, участващи в операциите, както и данни за 66 жертви на хакерите, сред които бяха компании Etihad Airways и Emirates National Oil. Също така Lab Dookhtegan изля цялата информация за предишни операции на групата и информация за служители на Министерството на информацията и националната сигурност на Иран, които предполагаемо са свързани с операциите на групировката. OilRig е APT-група, свързана с Иран, която съществува от около 2014 г. и е нацелена на правителствени, финансови и военни организации, както и на енергийни и телекомуникационни компании в Близкия Изток и Китай.

След разкритията за OilRig "изтичанията" продължиха — в даркнета и в Telegram се появи информация за дейността на друга про-държавна група от Иран — MuddyWater. Въпреки това, за разлика от първото изтичане, този път не бяха публикувани изходни кодове, а дъмпове, включващи скрийншотове на изходните кодове на управляващите сървъри, както и IP адреси на предишни жертви на хакерите. Този път отговорност за изтичането на информация относно MuddyWater поеха хакерите Green Leakers. Те притежават няколко Telegram канала и сайта в даркнета, където рекламират и продават данни, свързани с операциите на MuddyWater.

Кибершпиони от Близкия изток

MuddyWater — това е група, която действа от 2017 г. в страните от Близкия изток. Например, както отбелязват специалистите на Group-IB, в периода от февруари до април 2019 г. хакерите извършиха серия от фишинг разпространения, насочени към правителствени, образователни организации, финансови, телекомуникационни и отбранителни компании в Турция, Иран, Afghanistan, Ирак и Азербайджан.

Членовете на групата използват бэкдор, разработен на базата на PowerShell, който носи името POWERSTATS. Той може да:

• събира данни за локални и домейни на акаунти, налични файлови сървъри, вътрешен и външен IP адрес, име и архитектура на ОС;
• извършва дистанционно изпълнение на код;
• извършва качване и изтегляне на файлове през C&C;
• определя наличието на отладъчни програми, използвани при анализа на зловредни файлове;
• изключва системата, ако бъдат намерени програми за анализ на зловредни файлове;
• изтрива файлове от локални дискове;
• прави текущи снимки на екрана;
• изключва защитни мерки на продукти на Microsoft Office.

В един момент злонамеренците направиха грешка и доследователите от компанията ReaQta успяха да получат крайния IP адрес, който беше в Техеран. Относно целите, атакувани от групата, както и задачите й, свързани с кибершпионажа, специалистите предположиха, че групата представлява интересите на правителството на Иран.

Индикатори на атакиC&C:

• gladiyator[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

Файлове:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

Турция под прицел

На 10 април 2019 г. специалистите на Group-IB откриха изтичане на имейл адреси на турската компания ASELSAN A.Ş — най-голямата компания в сферата на военната електроника в Турция. Сред продуктите й —雷адарии и радиоелектронни средства, электрооптика, авионика, безпилотни системи, наземни, военно-морски и оръжейни системи, а също и системи за противовъздушна отбрана.

Изучавайки един от новите примери на зловреден софтуер POWERSTATS, експертите на Group-IB установиха, че групата нападатели MuddyWater е използвала лицензно споразумение между Koç Savunma, производител на решения в сферата на информационните и отбранителните технологии, и изследователския център по киберсигурност и напреднали технологии Tubitak Bilgem като примамка. За контактно лице от Koç Savunma е посочен Tahir Taner Tımış, който е заемал длъжността Мениджър на програми в Koç Bilgi ve Savunma Teknolojileri A.Ş. от септември 2013 до декември 2018 година. По-късно той започва работа в ASELSAN A.Ş.

Пример за примамка
След като потребителят активира зловредните макроси, на компютъра на жертвата се инсталира бекдорът POWERSTATS.

Благодарение на метаданните на този документ-примамка (MD5: 0638adf8fb4095d60fbef190a759aa9e) изследователите успяха да открият три допълнителни примера, съдържащи идентични стойности, сред които дата и час на създаване, име на потребителя и списък с включените макроси:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

Скриншот на идентични метаданни на различни документи-примамки

Един от откритите документи с име ListOfHackedEmails.doc съдържа списък от 34 имейл адреса, принадлежащи на домейна @aselsan.com.tr.

Специалисти от Group-IB провериха имейл адресите в публично достъпни изтичания и установиха, че 28 от тях са компрометирани в предишни известни изтичания. Проверка на смес от налични изтичания показа около 400 уникални логина, свързани с този домейн, и паролите им. Вероятно нападателите са използвали тези данни от открит достъп, за да атакуват компанията ASELSAN A.Ş.

Скриншот на документа ListOfHackedEmails.doc

Скриншот на списък с над 450 открити комбинации от логин и парола в публични изтичания
Сред откритите примери също беше документ с името F35-Specifications.doc, свързан с изтребителя F-35. Документ-примамка представлява спецификация на многофункционални изтребители-бомбардировачи F-35 с характеристиките на самолетите и цената им. Тази тема на документа-примамка е пряко свързана с отказа на САЩ да доставят F-35 след покупката на комплекси С-400 от Турция и заплахата за предаване на информация за F-35 Lightning II на Русия.

Всички получени данни показваха, че основната цел на кибератаките MuddyWater са организациите, разположени в Турция.

Кои са Gladiyator_CRK и Nima Nikjoo?

По-рано, през март 2019 г., бяха открити злонамерени документи, създадени от един потребител на Windows с никнейм Gladiyator_CRK. Тези документи също разпространяваха бекдор POWERSTATS и се свързваха с C&C сървър с подобно име gladiyator[.]tk.

Вероятно това е било направено след като на 14 март 2019 г. потребителят Nima Nikjoo публикува в Twitter запис, в който той се опитва да декодира обфускиран код, свързан с MuddyWater. В коментарите под този туит изследователят каза, че не може да сподели индикаторите за компрометиране на тази злонамерена програма, тъй като тази информация е конфиденциална. За съжаление, записа вече е изтрит, но остават следи от него в мрежата:

Nima Nikjoo е собственик на профила Gladiyator_CRK на иранските видеохостинги dideo.ir и videoi.ir. На този сайт той демонстрира PoC експлойти за деактивиране на антивирусни софтуерни решения от различни вендори и за заобикаляне на пясъчниците. За себе си Nima Nikjoo пише, че е специалист в областта на мрежовата сигурност, както и реверс-инженер и анализатор на злонамерени програми, който работи в MTN Irancell — иранска телекомуникационна компания.

Скриншот на запазени видеа в търсенето на Google:

По-късно, на 19 март 2019 г., потребителят Nima Nikjoo в социалната мрежа Twitter промени своя никнейм на Malware Fighter и също така изтри свързаните постове и коментари. Профилът Gladiyator_CRK на видеохостинга dideo.ir също беше изтрит, както и на YouTube, а самият профил беше преименуван на N Tabrizi. Но почти един месец по-късно (16 април 2019 г.) акаунтът в Twitter отново започна да използва името Nima Nikjoo.

В хода на изследването специалистите от Group-IB откриха, че Nima Nikjoo вече е бил споменаван във връзка с киберпрестъпна дейност. През август 2014 г. в блога Iran Khabarestan беше публикувана информация за лица, свързани с киберпрестъпната група Iranian Nasr Institute. В едно от изследванията на FireEye се споменава, че Nasr Institute е бил подизпълнител на APT33 и е участвал в DDoS атаки срещу американски банки в периода от 2011 до 2013 г. в рамките на кампания, наречена Operation Ababil.

В този блог споменава Nima Nikju-Nikjoo, който е работил по разработването на зловреден софтуер, за да шпионира иранците, и неговият имейл адрес: gladiyator_cracker@yahoo[.]com.

Скрийншот на данните, свързани с киберпрестъпниците от Iranian Nasr Institute:

Преводът, изведен на руски: Нима Никио — Разработчик на шпионски програми — Имейл адрес:.

Както се вижда от тази информация, електронният адрес има връзка с адреса, използван при атаките, и потребителите Gladiyator_CRK и Nima Nikjoo.

Освен това, в статия от 15 юни 2017 г. се споменава, че Nikjoo е бил малко небрежен, като е публикувал линкове към компанията Kavosh Security Center в резюмето си. Има мнение, че организацията Kavosh Security Center се поддържа от иранската държава за финансиране на про-правителствени хакери.

Информация за компанията, в която е работил Nima Nikjoo:

В профила на потребителя в Twitter, Nima Nikjoo посочва, че първото му работно място е било в Kavosh Security Center, където е работил от 2006 до 2014 г. През този период той е изследвал различни зловредни софтуери и е работил с реверс инженеринг и обфускация.

Информация за компанията, в която е работил Nima Nikjoo, на LinkedIn:

MuddyWater и преувеличената самооценка

Любопитно е, че групата MuddyWater внимателно следи всички публикувани отчети и съобщения на специалисти по информационна сигурност, а дори и преднамерено оставя фалшиви следи, за да заблуди изследователите. Например, техните първи атаки заблудиха експертите, тъй като беше открито използване на DNS Messenger, което обикновено е свързвано с групата FIN7. В други атаки те вмъкваха китайски редове в кода.

Освен това, групата обича да оставя послания на изследователите. Например, те не бяха доволни, че «Лаборатория Касперски» е поставила MuddyWater на трето място в рейтинга си на заплахи за годината. В същия момент, вероятно групата MuddyWater, качи в YouTube PoC експлойт, който деактивира антивируса „ЛК“. Те оставиха и коментар под статията.

Скриншотове на видеото за деактивиране на антивируса „Лаборатория Касперски“ и коментара под него:

Все още е трудно да се направи окончателно заключение относно участието на «Nima Nikjoo». Експертите от Group-IB разглеждат две версии. Nima Nikjoo наистина може да е хакер от групата MuddyWater, който е бил разобличен поради своята небрежност и повишена активност в мрежата. Втората версия е, че други членове на групата умишлено са го «разоблекли», за да отвлекат подозрението от себе си. Във всеки случай Group-IB продължава своето разследване и ще съобщи за резултатите си.

Що се отнася до иранските APT, след серия от изтичания и разкрития, вероятно ги очаква сериозен «разбор на полетите» — хакерите ще бъдат принудени значително да променят своя арсенал, да изчистят следите си и да намерят възможни «шпиони» сред себе си. Експертите не изключваха, че дори могат да вземат кратка пауза, но след малък период на отпуск, атаките на иранските APT отново продължиха.

Източник: habr.com