Мътни води: как хакери от MuddyWater атакуваха турски производител на военна електроника

Иранските проправителствени хакери са в голяма беда. През пролетта неизвестни хора публикуваха „тайни течове“ в Telegram - информация за APT групи, свързани с иранското правителство - Нефтена платформа и Мътна вода — техните инструменти, жертви, връзки. Но не за всички. През април специалистите на Group-IB откриха изтичане на пощенски адреси на турската корпорация ASELSAN A.Ş, която произвежда тактически военни радиостанции и системи за електронна защита за турските въоръжени сили. Анастасия Тихонова, Ръководител на екипа за напреднали изследвания на заплахите на Group-IB и Никита Ростовцев, младши анализатор в Group-IB, описа хода на атаката срещу ASELSAN A.Ş и намери възможен участник Мътна вода.

Осветление чрез Telegram

Изтичането на ирански APT групи започна с факта, че определен Lab Doukhtegan стана публично достояние изходните кодове на шест инструмента APT34 (известни още като OilRig и HelixKitten), разкриват IP адресите и домейните, участващи в операциите, както и данни за 66 жертви на хакери, включително Etihad Airways и Emirates National Oil. Lab Doookhtegan също изтече данни за минали операции на групата и информация за служители на иранското министерство на информацията и националната сигурност, за които се твърди, че са свързани с операциите на групата. OilRig е свързана с Иран APT група, която съществува от около 2014 г. и е насочена срещу правителствени, финансови и военни организации, както и енергийни и телекомуникационни компании в Близкия изток и Китай.

След като OilRig беше разкрит, течовете продължиха - информация за дейността на друга продържавна група от Иран, MuddyWater, се появи в даркнет и Telegram. Въпреки това, за разлика от първото изтичане, този път не бяха публикувани изходните кодове, а изхвърляния, включително екранни снимки на изходните кодове, контролни сървъри, както и IP адресите на минали жертви на хакери. Този път хакерите на Green Leakers поеха отговорност за изтичането на информация за MuddyWater. Те притежават няколко канала в Telegram и даркнет сайтове, където рекламират и продават данни, свързани с операциите на MuddyWater.

Кибер шпиони от Близкия изток

Мътна вода е група, която е активна от 2017 г. в Близкия изток. Например, както отбелязват експертите на Group-IB, от февруари до април 2019 г. хакери извършиха серия от фишинг съобщения, насочени към правителството, образователни организации, финансови, телекомуникационни и отбранителни компании в Турция, Иран, Афганистан, Ирак и Азербайджан.

Членовете на групата използват задна врата на собствена разработка, базирана на PowerShell, която се нарича POWERSTATS. Той може:

• събира данни за локални и домейн акаунти, налични файлови сървъри, вътрешни и външни IP адреси, име и OS архитектура;
• извършване на дистанционно изпълнение на код;
• качване и изтегляне на файлове чрез C&C;
• откриват наличието на програми за отстраняване на грешки, използвани при анализа на злонамерени файлове;
• изключете системата, ако бъдат открити програми за анализ на злонамерени файлове;
• изтриване на файлове от локални дискове;
• правете екранни снимки;
• деактивирайте мерките за сигурност в продуктите на Microsoft Office.

В един момент нападателите направиха грешка и изследователите от ReaQta успяха да получат крайния IP адрес, който се намираше в Техеран. Предвид целите, атакувани от групата, както и нейните цели, свързани с кибершпионаж, експерти предполагат, че групата представлява интересите на иранското правителство.

Индикатори за атакаC&C:

• гладиатор[.]т.к
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

файлове:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

Турция под атака

На 10 април 2019 г. специалистите на Group-IB откриха изтичане на пощенски адреси на турската компания ASELSAN A.Ş, най-голямата компания в областта на военната електроника в Турция. Неговите продукти включват радар и електроника, електрооптика, авионика, безпилотни системи, сухопътни, военноморски, оръжия и системи за противовъздушна отбрана.

Проучвайки една от новите проби на зловреден софтуер POWERSTATS, експертите на Group-IB установиха, че групата нападатели MuddyWater е използвала като документ за примамка лицензионно споразумение между Koç Savunma, компания, произвеждаща решения в областта на информационните и отбранителните технологии, и Tubitak Bilgem , изследователски център за информационна сигурност и съвременни технологии. Лицето за контакт с Koç Savunma беше Tahir Taner Tımış, който заемаше позицията програмен мениджър в Koç Bilgi ve Savunma Teknolojileri A.Ş. от септември 2013 г. до декември 2018 г. По-късно започва работа в ASELSAN A.Ş.

Примерен документ за примамка
След като потребителят активира злонамерени макроси, бекдорът POWERSTATS се изтегля на компютъра на жертвата.

Благодарение на метаданните на този документ за примамка (MD5: 0638adf8fb4095d60fbef190a759aa9e) изследователите успяха да намерят три допълнителни проби, съдържащи идентични стойности, включително дата и час на създаване, потребителско име и списък от съдържащи се макроси:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Спецификации.doc (5c6148619abb10bb3789dcfb32f759a6)

Екранна снимка на идентични метаданни на различни документи-примамки

Един от откритите документи с името ListOfHackedEmails.doc съдържа списък от 34 имейл адреса, принадлежащи към домейна @aselsan.com.tr.

Специалистите на Group-IB провериха имейл адреси в публично достъпни течове и откриха, че 28 от тях са били компрометирани в открити по-рано течове. Проверката на микса от налични течове показа около 400 уникални влизания, свързани с този домейн и пароли за тях. Възможно е нападателите да са използвали тези публично достъпни данни, за да атакуват ASELSAN A.Ş.

Екранна снимка на документа ListOfHackedEmails.doc

Екранна снимка на списък с повече от 450 открити двойки вход-парола в публични изтичания
Сред откритите образци имаше и документ със заглавие F35-Спецификации.doc, имайки предвид изтребителя F-35. Документът за примамка е спецификация на многоцелевия изтребител-бомбардировач F-35, в която са посочени характеристиките и цената на самолета. Темата на този документ-примамка е пряко свързана с отказа на САЩ да доставят F-35 след закупуването на системите S-400 от Турция и заплахата от предаване на информация за F-35 Lightning II на Русия.

Всички получени данни показват, че основните цели на кибератаките на MuddyWater са организации, разположени в Турция.

Кои са Gladiyator_CRK и Nima Nikjoo?

По-рано, през март 2019 г., бяха открити злонамерени документи, създадени от един потребител на Windows под псевдонима Gladiyator_CRK. Тези документи също разпространяват задната вратичка POWERSTATS и се свързват с C&C сървър с подобно име гладиатор[.]т.к.

Това може да е направено, след като потребителят Nima Nikjoo публикува в Twitter на 14 март 2019 г., опитвайки се да декодира обфусциран код, свързан с MuddyWater. В коментарите към този туит изследователят каза, че не може да сподели индикатори за компрометиране за този зловреден софтуер, тъй като тази информация е поверителна. За съжаление публикацията вече е изтрита, но следите от нея остават онлайн:

Nima Nikjoo е собственик на профила Gladiyator_CRK в иранските видео хостинг сайтове dideo.ir и videoi.ir. На този сайт той демонстрира PoC експлойти за деактивиране на антивирусни инструменти от различни доставчици и заобикаляне на пясъчници. Nima Nikjoo пише за себе си, че е специалист по мрежова сигурност, както и обратен инженеринг и анализатор на зловреден софтуер, който работи за MTN Irancell, иранска телекомуникационна компания.

Екранна снимка на запазени видеоклипове в резултатите от търсенето с Google:

По-късно, на 19 март 2019 г., потребителят Nima Nikjoo в социалната мрежа Twitter промени псевдонима си на Malware Fighter, а също така изтри свързани публикации и коментари. Профилът на Gladiyator_CRK във видео хостинг dideo.ir също беше изтрит, както и в YouTube, а самият профил беше преименуван на N Tabrizi. Но почти месец по-късно (16 април 2019 г.) акаунтът в Twitter отново започна да използва името Nima Nikjoo.

По време на проучването специалистите на Group-IB откриха, че Нима Никджу вече е била споменавана във връзка с киберпрестъпни дейности. През август 2014 г. блогът Iran Khabarestan публикува информация за лица, свързани с киберпрестъпната група Iranian Nasr Institute. Едно разследване на FireEye заяви, че Nasr Institute е бил изпълнител на APT33 и също така е участвал в DDoS атаки срещу американски банки между 2011 и 2013 г. като част от кампания, наречена Operation Ababil.

И така, в същия блог беше споменат Нима Никджу-Никджу, който разработваше злонамерен софтуер за шпиониране на иранци, и неговият имейл адрес: gladiyator_cracker@yahoo[.]com.

Екранна снимка на данни, приписвани на киберпрестъпници от иранския институт Nasr:

Превод на маркирания текст на руски: Нима Никио - Разработчик на шпионски софтуер - Имейл:.

Както се вижда от тази информация, имейл адресът е свързан с адреса, използван при атаките и потребителите Gladiyator_CRK и Nima Nikjoo.

Освен това в статията от 15 юни 2017 г. се посочва, че Nikjoo е бил малко небрежен при публикуването на препратки към Kavosh Security Center в автобиографията си. Яжте изгледче центърът за сигурност Kavosh се подкрепя от иранската държава за финансиране на проправителствени хакери.

Информация за компанията, в която е работил Нима Никджу:

Профилът на LinkedIn на потребителя на Twitter Nima Nikjoo посочва първото му място на работа като център за сигурност Kavosh, където той работи от 2006 до 2014 г. По време на работата си той изучава различни зловреден софтуер, а също така се занимава с обратна работа и работа, свързана с обфускация.

Информация за компанията, за която е работил Nima Nikjoo, в LinkedIn:

MuddyWater и високо самочувствие

Любопитно е, че групата MuddyWater внимателно следи всички доклади и съобщения от експерти по информационна сигурност, публикувани за тях, и дори умишлено остави фалшиви знамена в началото, за да отблъсне изследователите от миризмата. Например първите им атаки подведоха експертите, като откриха използването на DNS Messenger, който обикновено се свързваше с групата FIN7. При други атаки те вмъкват китайски низове в кода.

Освен това групата обича да оставя съобщения за изследователите. Например, не им хареса, че Kaspersky Lab постави MuddyWater на 3-то място в класацията си за заплаха за годината. В същия момент някой - вероятно групата MuddyWater - качи PoC на експлойт в YouTube, който деактивира антивирусната програма LK. Те оставиха и коментар под статията.

Екранни снимки на видеоклипа за деактивиране на антивирусната програма Kaspersky Lab и коментара по-долу:

Все още е трудно да се направи еднозначно заключение за участието на „Nima Nikjoo“. Експертите на Group-IB разглеждат две версии. Nima Nikjoo наистина може да е хакер от групата MuddyWater, който излезе наяве поради своята небрежност и повишена активност в мрежата. Вторият вариант е, че е бил умишлено „разобличен” от други членове на групата, за да отклонят подозрението от себе си. Във всеки случай Group-IB продължава своите проучвания и определено ще докладва резултатите.

Що се отнася до иранските APT, след поредица от изтичания и течове, те вероятно ще бъдат изправени пред сериозен „разбор“ - хакерите ще бъдат принудени сериозно да променят инструментите си, да изчистят следите си и да намерят възможни „къртици“ в техните редици. Експертите не изключиха дори да си вземат таймаут, но след кратка пауза атаките на иранските APT отново продължиха.

Източник: www.habr.com