ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники

Π£ иранских прогосударствСнных Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠ² β€” большиС ΠΏΡ€ΠΎΠ±Π»Π΅ΠΌΡ‹. Π’ΡΡŽ вСсну нСизвСстныС ΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π»ΠΈ Π² Telegram «сСкрСтныС сливы» β€” ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡŽ ΠΎ связанных с ΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²ΠΎΠΌ Π˜Ρ€Π°Π½Π° APT-Π³Ρ€ΡƒΠΏΠΏΠ°Ρ… β€” OilRig ΠΈ MuddyWater β€” ΠΈΡ… инструмСнтах, ΠΆΠ΅Ρ€Ρ‚Π²Π°Ρ…, связях. Но Π½Π΅ ΠΎ всСх. Π’ Π°ΠΏΡ€Π΅Π»Π΅ спСциалисты Group-IB ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠΈΠ»ΠΈ ΡƒΡ‚Π΅Ρ‡ΠΊΡƒ ΠΏΠΎΡ‡Ρ‚ΠΎΠ²Ρ‹Ρ… адрСсов Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠΉ ΠΊΠΎΡ€ΠΏΠΎΡ€Π°Ρ†ΠΈΠΈ ASELSAN A.Ş, Π·Π°Π½ΠΈΠΌΠ°ΡŽΡ‰ΡƒΡŽΡΡ производством тактичСских Π²ΠΎΠ΅Π½Π½Ρ‹Ρ… радиостанций ΠΈ элСктронных систСм ΠΎΠ±ΠΎΡ€ΠΎΠ½Ρ‹ для Π²ΠΎΠΎΡ€ΡƒΠΆΠ΅Π½Π½Ρ‹Ρ… сил Π’ΡƒΡ€Ρ†ΠΈΠΈ. Анастасия Π’ΠΈΡ…ΠΎΠ½ΠΎΠ²Π°, Ρ€ΡƒΠΊΠΎΠ²ΠΎΠ΄ΠΈΡ‚Π΅Π»ΡŒ Π³Ρ€ΡƒΠΏΠΏΡ‹ исслСдования слоТных ΡƒΠ³Ρ€ΠΎΠ· Group-IB, ΠΈ Никита РостовцСв, младший Π°Π½Π°Π»ΠΈΡ‚ΠΈΠΊ Group-IB, описали Ρ…ΠΎΠ΄ Π°Ρ‚Π°ΠΊΠΈ Π½Π° ASELSAN A.Ş ΠΈ нашли Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΠ³ΠΎ участника MuddyWater.

ЗасвСтка Ρ‡Π΅Ρ€Π΅Π· Telegram

Β«Π‘Π»ΠΈΠ²Β» иранских APT-Π³Ρ€ΡƒΠΏΠΏ начался с Ρ‚ΠΎΠ³ΠΎ, Ρ‡Ρ‚ΠΎ Π½Π΅ΠΊΡ‚ΠΎ Lab Dookhtegan ΠΎΠ±Π½Π°Ρ€ΠΎΠ΄ΠΎΠ²Π°Π» исходныС ΠΊΠΎΠ΄Ρ‹ ΡˆΠ΅ΡΡ‚ΠΈ инструмСнтов APT34 (ΠΎΠ½Π° ΠΆΠ΅ OilRig ΠΈ HelixKitten), раскрыл IP-адрСса ΠΈ Π΄ΠΎΠΌΠ΅Π½Ρ‹, ΡƒΡ‡Π°ΡΡ‚Π²ΡƒΡŽΡ‰ΠΈΠ΅ Π² опСрациях, Π° Ρ‚Π°ΠΊΠΆΠ΅ Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ 66 ΠΆΠ΅Ρ€Ρ‚Π²Π°Ρ… Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠ², срСди ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Ρ… оказались ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Etihad Airways ΠΈ Emirates National Oil. Π’Π°ΠΊΠΆΠ΅ Lab Dookhtegan «слил» ΠΈ Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ ΠΏΡ€ΠΎΡˆΠ»Ρ‹Ρ… опСрациях Π³Ρ€ΡƒΠΏΠΏΡ‹ ΠΈ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡŽ ΠΎ сотрудниках ΠœΠΈΠ½ΠΈΡΡ‚Π΅Ρ€ΡΡ‚Π²Π° ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ ΠΈ Π½Π°Ρ†ΠΈΠΎΠ½Π°Π»ΡŒΠ½ΠΎΠΈΜ† бСзопасности Π˜Ρ€Π°Π½Π°, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Π΅ якобы связаны с опСрациями Π³Ρ€ΡƒΠΏΠΏΠΈΡ€ΠΎΠ²ΠΊΠΈ. OilRig β€” это связанная с Π˜Ρ€Π°Π½ΠΎΠΌ APT-Π³Ρ€ΡƒΠΏΠΏΠ°, которая сущСствуСт ΠΏΡ€ΠΈΠΌΠ΅Ρ€Π½ΠΎ с 2014 Π³ΠΎΠ΄Π° ΠΈ Π½Π°Ρ†Π΅Π»Π΅Π½Π° Π½Π° ΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²Π΅Π½Π½Ρ‹Π΅, финансовыС ΠΈ Π²ΠΎΠ΅Π½Π½Ρ‹Π΅ ΠΎΡ€Π³Π°Π½ΠΈΠ·Π°Ρ†ΠΈΠΈ, Π° Ρ‚Π°ΠΊΠΆΠ΅ энСргСтичСскиС ΠΈ Ρ‚Π΅Π»Π΅ΠΊΠΎΠΌΠΌΡƒΠ½ΠΈΠΊΠ°Ρ†ΠΈΠΎΠ½Π½Ρ‹Π΅ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Π½Π° Π‘Π»ΠΈΠΆΠ½Π΅ΠΌ ВостокС ΠΈ Π² ΠšΠΈΡ‚Π°Π΅.

ПослС засвСтки OilRig «сливы» ΠΏΡ€ΠΎΠ΄ΠΎΠ»ΠΆΠΈΠ»ΠΈΡΡŒ β€” Π² Π΄Π°Ρ€ΠΊΠ½Π΅Ρ‚Π΅ ΠΈ Π² Telegram появилась информация ΠΎ Π΄Π΅ΡΡ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΠΈ Π΄Ρ€ΡƒΠ³ΠΎΠΉ прогосударствСнной Π³Ρ€ΡƒΠΏΠΏΡ‹ ΠΈΠ· Π˜Ρ€Π°Π½Π° β€” MuddyWater. Однако, Π² ΠΎΡ‚Π»ΠΈΡ‡ΠΈΠ΅ ΠΎΡ‚ ΠΏΠ΅Ρ€Π²ΠΎΠΈΜ† ΡƒΡ‚Π΅Ρ‡ΠΊΠΈ, Π½Π° этот Ρ€Π°Π· Π±Ρ‹Π»ΠΈ ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π½Ρ‹ Π½Π΅ исходныС ΠΊΠΎΠ΄Ρ‹, Π° Π΄Π°ΠΌΠΏΡ‹, Π²ΠΊΠ»ΡŽΡ‡Π°ΡŽΡ‰ΠΈΠ΅ ΡΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚Ρ‹ исходников, ΡƒΠΏΡ€Π°Π²Π»ΡΡŽΡ‰ΠΈΡ… сСрвСров, Π° Ρ‚Π°ΠΊΠΆΠ΅ IP-адрСса ΠΏΡ€ΠΎΡˆΠ»Ρ‹Ρ… ΠΆΠ΅Ρ€Ρ‚Π² Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠ². Π’ этот Ρ€Π°Π· ΠΎΡ‚Π²Π΅Ρ‚ΡΡ‚Π²Π΅Π½Π½ΠΎΡΡ‚ΡŒ Π·Π° ΡƒΡ‚Π΅Ρ‡ΠΊΡƒ ΠΏΡ€ΠΎ MuddyWater взяли Π½Π° сСбя Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ Green Leakers. Им ΠΏΡ€ΠΈΠ½Π°Π΄Π»Π΅ΠΆΠ°Ρ‚ нСсколько Telegram-ΠΊΠ°Π½Π°Π»ΠΎΠ² ΠΈ сайтов Π² Π΄Π°Ρ€ΠΊΠ½Π΅Ρ‚Π΅, Π³Π΄Π΅ ΠΎΠ½ΠΈ Ρ€Π΅ΠΊΠ»Π°ΠΌΠΈΡ€ΡƒΡŽΡ‚ ΠΈ ΠΏΡ€ΠΎΠ΄Π°ΡŽΡ‚ Π΄Π°Π½Π½Ρ‹Π΅, связанныС с опСрациями MuddyWater.

ΠšΠΈΠ±Π΅Ρ€ΡˆΠΏΠΈΠΎΠ½Ρ‹ с Middle East

MuddyWater β€” это Π³Ρ€ΡƒΠΏΠΏΠ°, которая дСйствуСт с 2017 Π³ΠΎΠ΄Π° Π² странах Middle East. НапримСр, ΠΊΠ°ΠΊ ΠΎΡ‚ΠΌΠ΅Ρ‡Π°ΡŽΡ‚ спСциалисты Group-IB, Π² ΠΏΠ΅Ρ€ΠΈΠΎΠ΄ с фСвраля ΠΏΠΎ Π°ΠΏΡ€Π΅Π»ΡŒ 2019 Π³ΠΎΠ΄Π° Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΏΡ€ΠΎΠ²Π΅Π»ΠΈ ΡΠ΅Ρ€ΠΈΡŽ Ρ„ΠΈΡˆΠΈΠ½Π³ΠΎΠ²Ρ‹Ρ… рассылок, Π½Π°Ρ†Π΅Π»Π΅Π½Π½Ρ‹Ρ… Π½Π° ΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²Π΅Π½Π½Ρ‹Π΅, ΠΎΠ±Ρ€Π°Π·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒΠ½Ρ‹Π΅ ΠΎΡ€Π³Π°Π½ΠΈΠ·Π°Ρ†ΠΈΠΈ, финансовыС, Ρ‚Π΅Π»Π΅ΠΊΠΎΠΌΠΌΡƒΠ½ΠΈΠΊΠ°Ρ†ΠΈΠΎΠ½Π½Ρ‹Π΅ ΠΈ ΠΎΠ±ΠΎΡ€ΠΎΠ½Π½Ρ‹Π΅ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Π’ΡƒΡ€Ρ†ΠΈΠΈ, Π˜Ρ€Π°Π½Π°, Афганистана, Π˜Ρ€Π°ΠΊΠ° ΠΈ АзСрбайдТана.

Участники Π³Ρ€ΡƒΠΏΠΏΡ‹ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡŽΡ‚ бэкдор собствСнной Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚ΠΊΠΈ Π½Π° основС PowerShell, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ ΠΏΠΎΠ»ΡƒΡ‡ΠΈΠ» Π½Π°Π·Π²Π°Π½ΠΈΠ΅ POWERSTATS. Он ΠΌΠΎΠΆΠ΅Ρ‚:

  • ΡΠΎΠ±ΠΈΡ€Π°Ρ‚ΡŒ Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ Π»ΠΎΠΊΠ°Π»ΡŒΠ½Ρ‹Ρ… ΠΈ Π΄ΠΎΠΌΠ΅Π½Π½Ρ‹Ρ… ΡƒΡ‡Ρ‘Ρ‚Π½Ρ‹Ρ… записях, доступных Ρ„Π°ΠΉΠ»ΠΎΠ²Ρ‹Ρ… сСрвСрах, Π²Π½ΡƒΡ‚Ρ€Π΅Π½Π½Π΅ΠΌ ΠΈ внСшнСм IP-адрСсС, Π½Π°Π·Π²Π°Π½ΠΈΠΈ ΠΈ Π°Ρ€Ρ…ΠΈΡ‚Π΅ΠΊΡ‚ΡƒΡ€Π΅ ОБ;
  • ΠΎΡΡƒΡ‰Π΅ΡΡ‚Π²Π»ΡΡ‚ΡŒ ΡƒΠ΄Π°Π»Π΅Π½Π½ΠΎΠ΅ Π²Ρ‹ΠΏΠΎΠ»Π½Π΅Π½ΠΈΠ΅ ΠΊΠΎΠ΄Π°;
  • ΠΎΡΡƒΡ‰Π΅ΡΡ‚Π²Π»ΡΡ‚ΡŒ Π·Π°Π³Ρ€ΡƒΠ·ΠΊΡƒ ΠΈ Π²Ρ‹Π³Ρ€ΡƒΠ·ΠΊΡƒ Ρ„Π°ΠΉΠ»ΠΎΠ² Ρ‡Π΅Ρ€Π΅Π· C&C;
  • ΠΎΠΏΡ€Π΅Π΄Π΅Π»ΡΡ‚ΡŒ Π½Π°Π»ΠΈΡ‡ΠΈΠ΅ ΠΎΡ‚Π»Π°Π΄ΠΎΡ‡Π½Ρ‹Ρ… ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΡ‹Ρ… ΠΏΡ€ΠΈ Π°Π½Π°Π»ΠΈΠ·Π΅ врСдоносных Ρ„Π°ΠΉΠ»ΠΎΠ²;
  • ΠΎΡ‚ΠΊΠ»ΡŽΡ‡Π°Ρ‚ΡŒ систСму, Ссли Π±ΡƒΠ΄ΡƒΡ‚ Π½Π°ΠΉΠ΄Π΅Π½Ρ‹ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ для Π°Π½Π°Π»ΠΈΠ·Π° врСдоносных Ρ„Π°ΠΉΠ»ΠΎΠ²;
  • ΡƒΠ΄Π°Π»ΡΡ‚ΡŒ Ρ„Π°ΠΉΠ»Ρ‹ с Π»ΠΎΠΊΠ°Π»ΡŒΠ½Ρ‹Ρ… дисков;
  • Π΄Π΅Π»Π°Ρ‚ΡŒ ΡΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚Ρ‹;
  • ΠΎΡ‚ΠΊΠ»ΡŽΡ‡Π°Ρ‚ΡŒ Π·Π°Ρ‰ΠΈΡ‚Π½Ρ‹Π΅ ΠΌΠ΅Ρ€Ρ‹ ΠΏΡ€ΠΎΠ΄ΡƒΠΊΡ‚ΠΎΠ² Microsoft Office.

Π’ ΠΊΠ°ΠΊΠΎΠΉ-Ρ‚ΠΎ ΠΌΠΎΠΌΠ΅Π½Ρ‚ Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΈ допустили ΠΎΡˆΠΈΠ±ΠΊΡƒ ΠΈ исслСдоватСлям ΠΈΠ· ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ ReaQta ΡƒΠ΄Π°Π»ΠΎΡΡŒ ΠΏΠΎΠ»ΡƒΡ‡ΠΈΡ‚ΡŒ ΠΊΠΎΠ½Π΅Ρ‡Π½Ρ‹ΠΉ IP-адрСс, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ находился Π² Π’Π΅Π³Π΅Ρ€Π°Π½Π΅. Учитывая Ρ†Π΅Π»ΠΈ, Π°Ρ‚Π°ΠΊΡƒΠ΅ΠΌΡ‹Π΅ Π³Ρ€ΡƒΠΏΠΏΠΎΠΉ, Π° Ρ‚Π°ΠΊΠΆΠ΅ Π΅Π΅ Π·Π°Π΄Π°Ρ‡ΠΈ, связанныС с ΠΊΠΈΠ±Π΅Ρ€ΡˆΠΏΠΈΠΎΠ½Π°ΠΆΠ΅ΠΌ, спСциалисты ΠΏΡ€Π΅Π΄ΠΏΠΎΠ»ΠΎΠΆΠΈΠ»ΠΈ, Ρ‡Ρ‚ΠΎ Π³Ρ€ΡƒΠΏΠΏΠ° прСдставляСт интСрСсы ΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²Π° Π˜Ρ€Π°Π½Π°.

Π˜Π½Π΄ΠΈΠΊΠ°Ρ‚ΠΎΡ€Ρ‹ Π°Ρ‚Π°ΠΊC&C:

  • gladiyator[.]tk
  • 94.23.148[.]194
  • 192.95.21[.]28
  • 46.105.84[.]146
  • 185.162.235[.]182

Π€Π°ΠΉΠ»Ρ‹:

  • 09aabd2613d339d90ddbd4b7c09195a9
  • cfa845995b851aacdf40b8e6a5b87ba7
  • a61b268e9bc9b7e6c9125cdbfb1c422a
  • f12bab5541a7d8ef4bbca81f6fc835a3
  • a066f5b93f4ac85e9adfe5ff3b10bc28
  • 8a004e93d7ee3b26d94156768bc0839d
  • 0638adf8fb4095d60fbef190a759aa9e
  • eed599981c097944fa143e7d7f7e17b1
  • 21aebece73549b3c4355a6060df410e9
  • 5c6148619abb10bb3789dcfb32f759a6

Вурция ΠΏΠΎΠ΄ ΠΏΡ€ΠΈΡ†Π΅Π»ΠΎΠΌ

10 апрСля 2019 Π³ΠΎΠ΄Π° спСциалисты Group-IB ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠΈΠ»ΠΈ ΡƒΡ‚Π΅Ρ‡ΠΊΡƒ ΠΏΠΎΡ‡Ρ‚ΠΎΠ²Ρ‹Ρ… адрСсов Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠΉ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ ASELSAN A.Ş β€” ΠΊΡ€ΡƒΠΏΠ½Π΅ΠΉΡˆΠ΅ΠΉ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Π² сфСрС Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники Π² Π’ΡƒΡ€Ρ†ΠΈΠΈ. Π‘Ρ€Π΅Π΄ΠΈ Π΅Π΅ ΠΏΡ€ΠΎΠ΄ΡƒΠΊΡ‚ΠΎΠ² β€” Ρ€Π°Π΄Π°Ρ€Ρ‹ ΠΈ радиоэлСктронныС срСдства, элСктрооптика, Π°Π²ΠΈΠΎΠ½ΠΈΠΊΠ°, бСспилотныС систСмы, Π½Π°Π·Π΅ΠΌΠ½Ρ‹Π΅, Π²ΠΎΠ΅Π½Π½ΠΎ-морскиС ΠΈ ΠΎΡ€ΡƒΠΆΠ΅ΠΉΠ½Ρ‹Π΅ систСмы, Π° Ρ‚Π°ΠΊΠΆΠ΅ систСмы ΠΏΡ€ΠΎΡ‚ΠΈΠ²ΠΎΠ²ΠΎΠ·Π΄ΡƒΡˆΠ½ΠΎΠΉ ΠΎΠ±ΠΎΡ€ΠΎΠ½Ρ‹.

Π˜Π·ΡƒΡ‡Π°Ρ ΠΎΠ΄ΠΈΠ½ ΠΈΠ· Π½ΠΎΠ²Ρ‹Ρ… ΠΎΠ±Ρ€Π°Π·Ρ†ΠΎΠ² врСдоносной ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹ POWERSTATS, экспСрты Group-IB установили, Ρ‡Ρ‚ΠΎ Π³Ρ€ΡƒΠΏΠΏΠ° Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΎΠ² MuddyWater использовала Π² качСствС Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Π°-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΊΠΈ Π»ΠΈΡ†Π΅Π½Π·ΠΈΠΎΠ½Π½ΠΎΠ΅ соглашСниС ΠΌΠ΅ΠΆΠ΄Ρƒ KoΓ§ Savunma, ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠ΅ΠΉ-ΠΏΡ€ΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡ‚Π΅Π»Π΅ΠΌ Ρ€Π΅ΡˆΠ΅Π½ΠΈΠΉ Π² области ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΎΠ½Π½Ρ‹Ρ… ΠΈ ΠΎΠ±ΠΎΡ€ΠΎΠ½Π½Ρ‹Ρ… Ρ‚Π΅Ρ…Π½ΠΎΠ»ΠΎΠ³ΠΈΠΉ, ΠΈ Tubitak Bilgem ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒΡΠΊΠΈΠΌ Ρ†Π΅Π½Ρ‚Ρ€ΠΎΠΌ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΎΠ½Π½ΠΎΠΉ бСзопасности ΠΈ ΠΏΠ΅Ρ€Π΅Π΄ΠΎΠ²Ρ‹Ρ… Ρ‚Π΅Ρ…Π½ΠΎΠ»ΠΎΠ³ΠΈΠΉ. Π’ качСствС ΠΊΠΎΠ½Ρ‚Π°ΠΊΡ‚Π½ΠΎΠ³ΠΎ Π»ΠΈΡ†Π°, Π²Ρ‹ΡΡ‚ΡƒΠΏΠ°ΡŽΡ‰Π΅Π³ΠΎ ΠΎΡ‚ KoΓ§ Savunma, Π±Ρ‹Π» ΡƒΠΊΠ°Π·Π°Π½ Tahir Taner TΔ±mış, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ Π·Π°Π½ΠΈΠΌΠ°Π» Π΄ΠΎΠ»ΠΆΠ½ΠΎΡΡ‚ΡŒ Programs Manager Π² KoΓ§ Bilgi ve Savunma Teknolojileri A.Ş. с сСнтября 2013 Π΄ΠΎ дСкабря 2018 Π³ΠΎΠ΄Π°. ПозТС ΠΎΠ½ Π½Π°Ρ‡Π°Π» Ρ€Π°Π±ΠΎΡ‚Π°Ρ‚ΡŒ Π² ASELSAN A.Ş.

ΠžΠ±Ρ€Π°Π·Π΅Ρ† Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Π°-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΊΠΈΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ПослС Ρ‚ΠΎΠ³ΠΎ, ΠΊΠ°ΠΊ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒ Π°ΠΊΡ‚ΠΈΠ²ΠΈΡ€ΡƒΠ΅Ρ‚ врСдоносныС макросы, Π½Π° ΠΊΠΎΠΌΠΏΡŒΡŽΡ‚Π΅Ρ€ ΠΆΠ΅Ρ€Ρ‚Π²Ρ‹ загруТаСтся бэкдор POWERSTATS.

Благодаря ΠΌΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹ΠΌ этого Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Π°-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΊΠΈ (MD5: 0638adf8fb4095d60fbef190a759aa9e) исслСдоватСли смогли Π½Π°ΠΉΡ‚ΠΈ Ρ‚Ρ€ΠΈ Π΄ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Ρ… ΠΎΠ±Ρ€Π°Π·Ρ†Π°, содСрТащих ΠΈΠ΄Π΅Π½Ρ‚ΠΈΡ‡Π½Ρ‹Π΅ значСния, срСди ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Ρ… Π΄Π°Ρ‚Π° ΠΈ врСмя создания, имя ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Ρ ΠΈ список содСрТащихся макросов:

  • ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
  • asd.doc (21aebece73549b3c4355a6060df410e9)
  • F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚ ΠΈΠ΄Π΅Π½Ρ‚ΠΈΡ‡Π½Ρ‹Ρ… ΠΌΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹Ρ… Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Ρ… Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚ΠΎΠ²-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΎΠΊ ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники

Один ΠΈΠ· ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½Π½Ρ‹Ρ… Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚ΠΎΠ² с ΠΈΠΌΠ΅Π½Π΅ΠΌ ListOfHackedEmails.doc содСрТит список ΠΈΠ· 34 ΠΏΠΎΡ‡Ρ‚ΠΎΠ²Ρ‹Ρ… адрСсов, ΠΏΡ€ΠΈΠ½Π°Π΄Π»Π΅ΠΆΠ°Ρ‰ΠΈΡ… Π΄ΠΎΠΌΠ΅Π½Ρƒ @aselsan.com.tr.

БпСциалисты Group-IB ΠΏΡ€ΠΎΠ²Π΅Ρ€ΠΈΠ»ΠΈ ΠΏΠΎΡ‡Ρ‚ΠΎΠ²Ρ‹Π΅ адрСса Π² ΡƒΡ‚Π΅Ρ‡ΠΊΠ°Ρ…, находящихся Π² ΠΏΡƒΠ±Π»ΠΈΡ‡Π½ΠΎΠΌ доступС, ΠΈ выявили, Ρ‡Ρ‚ΠΎ 28 ΠΈΠ· Π½ΠΈΡ… Π±Ρ‹Π»ΠΈ скомпромСтированы Π² Ρ€Π°Π½Π΅Π΅ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½Π½Ρ‹Ρ… ΡƒΡ‚Π΅Ρ‡ΠΊΠ°Ρ…. ΠŸΡ€ΠΎΠ²Π΅Ρ€ΠΊΠ° микса ΠΈΠ· доступных ΡƒΡ‚Π΅Ρ‡Π΅ΠΊ ΠΏΠΎΠΊΠ°Π·Π°Π»Π° порядка 400 ΡƒΠ½ΠΈΠΊΠ°Π»ΡŒΠ½Ρ‹Ρ… Π»ΠΎΠ³ΠΈΠ½ΠΎΠ², связанных с этим Π΄ΠΎΠΌΠ΅Π½ΠΎΠΌ, ΠΈ ΠΏΠ°Ρ€ΠΎΠ»Π΅ΠΉ ΠΊ Π½ΠΈΠΌ. Π’ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎ, Π·Π»ΠΎΡƒΠΌΡ‹ΡˆΠ»Π΅Π½Π½ΠΈΠΊΠΈ воспользовались этими Π΄Π°Π½Π½Ρ‹ΠΌΠΈ ΠΈΠ· ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚ΠΎΠ³ΠΎ доступа для Π°Ρ‚Π°ΠΊΠΈ Π½Π° компанию ASELSAN A.Ş.

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚ Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Π° ListOfHackedEmails.doc ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚ списка ΠΈΠ· Π±ΠΎΠ»Π΅Π΅ Ρ‡Π΅ΠΌ 450 ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½Π½Ρ‹Ρ… ΠΏΠ°Ρ€ Π»ΠΎΠ³ΠΈΠ½-ΠΏΠ°Ρ€ΠΎΠ»ΡŒ Π² ΠΏΡƒΠ±Π»ΠΈΡ‡Π½Ρ‹Ρ… ΡƒΡ‚Π΅Ρ‡ΠΊΠ°Ρ… ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
Π‘Ρ€Π΅Π΄ΠΈ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½Π½Ρ‹Ρ… ΠΎΠ±Ρ€Π°Π·Ρ†ΠΎΠ² Ρ‚Π°ΠΊΠΆΠ΅ оказался Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚ с Π½Π°Π·Π²Π°Π½ΠΈΠ΅ΠΌ F35-Specifications.doc, ΠΎΡ‚ΡΡ‹Π»Π°ΡŽΡ‰ΠΈΠΉ ΠΊ ΠΈΡΡ‚Ρ€Π΅Π±ΠΈΡ‚Π΅Π»ΡŽ F-35. Π”ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΊΠ° прСдставляСт ΠΈΠ· сСбя ΡΠΏΠ΅Ρ†ΠΈΡ„ΠΈΠΊΠ°Ρ†ΠΈΡŽ ΠΌΠ½ΠΎΠ³ΠΎΡ„ΡƒΠ½ΠΊΡ†ΠΈΠΎΠ½Π°Π»ΡŒΠ½Ρ‹Ρ… истрСбитСлСй-Π±ΠΎΠΌΠ±Π°Ρ€Π΄ΠΈΡ€ΠΎΠ²Ρ‰ΠΈΠΊΠΎΠ² F-35 с ΡƒΠΊΠ°Π·Π°Π½ΠΈΠ΅ΠΌ характСристик самолСтов ΠΈ Ρ†Π΅Π½ΠΎΠΉ. Π’Π΅ΠΌΠ° Π΄Π°Π½Π½ΠΎΠ³ΠΎ Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Π°-ΠΏΡ€ΠΈΠΌΠ°Π½ΠΊΠΈ Π½Π°ΠΏΡ€ΡΠΌΡƒΡŽ относится ΠΊ ΠΎΡ‚ΠΊΠ°Π·Ρƒ БША ΠΏΠΎΡΡ‚Π°Π²Π»ΡΡ‚ΡŒ F-35 послС ΠΏΠΎΠΊΡƒΠΏΠΊΠΈ Π’ΡƒΡ€Ρ†ΠΈΠ΅ΠΉ комплСксов Π‘-400 ΠΈ ΡƒΠ³Ρ€ΠΎΠ·Ρ‹ ΠΏΠ΅Ρ€Π΅Π΄Π°Ρ‡ΠΈ России свСдСний ΠΎ F-35 Lightning II.

ВсС ΠΏΠΎΠ»ΡƒΡ‡Π΅Π½Π½Ρ‹Π΅ Π΄Π°Π½Π½Ρ‹Π΅ Π³ΠΎΠ²ΠΎΡ€ΠΈΠ»ΠΈ ΠΎ Ρ‚ΠΎΠΌ, Ρ‡Ρ‚ΠΎ Π³Π»Π°Π²Π½ΠΎΠΉ Ρ†Π΅Π»ΡŒΡŽ ΠΊΠΈΠ±Π΅Ρ€Π°Ρ‚Π°ΠΊ MuddyWater стали ΠΎΡ€Π³Π°Π½ΠΈΠ·Π°Ρ†ΠΈΠΈ, располоТСнныС Π² Π’ΡƒΡ€Ρ†ΠΈΠΈ.

ΠšΡ‚ΠΎ Ρ‚Π°ΠΊΠΈΠ΅ Gladiyator_CRK ΠΈ Nima Nikjoo?

Π Π°Π½Π΅Π΅, Π² ΠΌΠ°Ρ€Ρ‚Π΅ 2019 Π³ΠΎΠ΄Π°, Π±Ρ‹Π»ΠΈ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½Ρ‹ врСдоносныС Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Ρ‹, созданныС ΠΎΠ΄Π½ΠΈΠΌ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Π΅ΠΌ Windows ΠΏΠΎΠ΄ Π½ΠΈΠΊΠΎΠΌ Gladiyator_CRK. Π”Π°Π½Π½Ρ‹Π΅ Π΄ΠΎΠΊΡƒΠΌΠ΅Π½Ρ‚Ρ‹ Ρ‚Π°ΠΊΠΆΠ΅ распространяли бэкдор POWERSTATS ΠΈ ΠΏΠΎΠ΄ΠΊΠ»ΡŽΡ‡Π°Π»ΠΈΡΡŒ ΠΊ C&C-сСрвСру со схоТим Π½Π°Π·Π²Π°Π½ΠΈΠ΅ΠΌ gladiyator[.]tk.

Π’ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎ, это Π±Ρ‹Π»ΠΎ сдСлано послС Ρ‚ΠΎΠ³ΠΎ, ΠΊΠ°ΠΊ 14 ΠΌΠ°Ρ€Ρ‚Π° 2019 ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒ Nima Nikjoo ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π» Π² Twitter запись, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ ΠΎΠ½ пытаСтся Π΄Π΅ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ обфусцированный ΠΊΠΎΠ΄, связанный с MuddyWater. Π’ коммСнтариях ΠΊ этому Ρ‚Π²ΠΈΡ‚Ρƒ ΠΈΡΡΠ»Π΅Π΄ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒ сказал, Ρ‡Ρ‚ΠΎ Π½Π΅ ΠΌΠΎΠΆΠ΅Ρ‚ ΠΏΠΎΠ΄Π΅Π»ΠΈΡ‚ΡŒΡΡ ΠΈΠ½Π΄ΠΈΠΊΠ°Ρ‚ΠΎΡ€Π°ΠΌΠΈ ΠΊΠΎΠΌΠΏΡ€ΠΎΠΌΠ΅Ρ‚Π°Ρ†ΠΈΠΈ этой врСдоносной ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹, Ρ‚Π°ΠΊ ΠΊΠ°ΠΊ эта информация являСтся ΠΊΠΎΠ½Ρ„ΠΈΠ΄Π΅Π½Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎΠΉ. К соТалСнию, запись ΡƒΠΆΠ΅ ΡƒΠ΄Π°Π»Π΅Π½Π°, Π½ΠΎ ΠΎΡΡ‚Π°Π»ΠΈΡΡŒ Π΅Π΅ слСды Π² сСти:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
Nima Nikjoo β€” Π²Π»Π°Π΄Π΅Π»Π΅Ρ† профиля Gladiyator_CRK Π½Π° иранских видСохостингах dideo.ir ΠΈ videoi.ir. На этом сайтС ΠΎΠ½ дСмонстрируСт PoC эксплойтов для ΠΎΡ‚ΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡ антивирусных срСдств Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Ρ… Π²Π΅Π½Π΄ΠΎΡ€ΠΎΠ² ΠΈ ΠΎΠ±Ρ…ΠΎΠ΄Π° пСсочниц. ΠŸΡ€ΠΎ сСбя Nima Nikjoo ΠΏΠΈΡˆΠ΅Ρ‚, Ρ‡Ρ‚ΠΎ ΠΎΠ½ являСтся спСциалистом Π² области сСтСвой бСзопасности, Π° Ρ‚Π°ΠΊΠΆΠ΅ рСвСрс-ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ€ΠΎΠΌ ΠΈ Π°Π½Π°Π»ΠΈΡ‚ΠΈΠΊΠΎΠΌ врСдоносных ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ Ρ€Π°Π±ΠΎΡ‚Π°Π΅Ρ‚ Π² MTN Irancell β€” иранская тСлСкоммуникационная компания.

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚ сохранСнных Π²ΠΈΠ΄Π΅ΠΎ Π² поисковой Π²Ρ‹Π΄Π°Ρ‡Π΅ Google:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ПозТС, 19 ΠΌΠ°Ρ€Ρ‚Π° 2019 Π³ΠΎΠ΄Π°, ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡŒ Nima Nikjoo Π² ΡΠΎΡ†ΠΈΠ°Π»ΡŒΠ½ΠΎΠΉ сСти Twitter ΠΈΠ·ΠΌΠ΅Π½ΠΈΠ» свой Π½ΠΈΠΊΠ½Π΅ΠΉΠΌ Π½Π° Malware Fighter, Π° Ρ‚Π°ΠΊΠΆΠ΅ ΡƒΠ΄Π°Π»ΠΈΠ» связанныС посты ΠΈ ΠΊΠΎΠΌΠΌΠ΅Π½Ρ‚Π°Ρ€ΠΈΠΈ. ΠŸΡ€ΠΎΡ„ΠΈΠ»ΡŒ Gladiyator_CRK Π½Π° Π²ΠΈΠ΄Π΅ΠΎ-хостингС dideo.ir Ρ‚Π°ΠΊΠΆΠ΅ Π±Ρ‹Π» ΡƒΠ΄Π°Π»Π΅Π½, ΠΊΠ°ΠΊ ΠΈ Π½Π° YouTube, Π° сам ΠΏΡ€ΠΎΡ„ΠΈΠ»ΡŒ ΠΏΠ΅Ρ€Π΅ΠΈΠΌΠ΅Π½ΠΎΠ²Π°Π½ Π² N Tabrizi. Однако спустя ΠΏΠΎΡ‡Ρ‚ΠΈ мСсяц (16 апрСля 2019 Π³ΠΎΠ΄Π°) Π°ΠΊΠΊΠ°ΡƒΠ½Ρ‚ Π² Twitter снова стал ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒ имя Nima Nikjoo.

Π’ Ρ…ΠΎΠ΄Π΅ исслСдования спСциалисты Group-IB ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠΈΠ»ΠΈ, Ρ‡Ρ‚ΠΎ Nima Nikjoo ΡƒΠΆΠ΅ упоминался Π² связи с кибСрпрСступной Π΄Π΅ΡΡ‚Π΅Π»ΡŒΠ½ΠΎΡΡ‚ΡŒΡŽ. Π’ августС 2014 Π³ΠΎΠ΄Π° Π² Π±Π»ΠΎΠ³Π΅ Iran Khabarestan Π±Ρ‹Π»Π° ΠΎΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π½Π° информация ΠΎ Π»ΠΈΡ†Π°Ρ…, связанных с кибСрпрСступной Π³Ρ€ΡƒΠΏΠΏΠΎΠΉ Iranian Nasr Institute. Π’ ΠΎΠ΄Π½ΠΎΠΌ ΠΈΠ· исслСдований FireEye Π³ΠΎΠ²ΠΎΡ€ΠΈΠ»ΠΎΡΡŒ, Ρ‡Ρ‚ΠΎ Nasr Institute Π±Ρ‹Π» подрядчиком APT33, Π° Ρ‚Π°ΠΊΠΆΠ΅ участвовал Π² DDoS-Π°Ρ‚Π°ΠΊΠ°Ρ… Π½Π° амСриканскиС Π±Π°Π½ΠΊΠΈ Π² ΠΏΠ΅Ρ€ΠΈΠΎΠ΄ с 2011 ΠΏΠΎ 2013 Π³ΠΎΠ΄Ρ‹ Π² Ρ€Π°ΠΌΠΊΠ°Ρ… ΠΊΠ°ΠΌΠΏΠ°Π½ΠΈΠΈ ΠΏΠΎΠ΄ Π½Π°Π·Π²Π°Π½ΠΈΠ΅ΠΌ Operation Ababil.

Π’Π°ΠΊ Π²ΠΎΡ‚ Π² этом ΠΆΠ΅ Π±Π»ΠΎΠ³Π΅ упоминался Nima Nikju-Nikjoo, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ занимался Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚ΠΊΠΎΠΉ врСдоносных ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΡˆΠΏΠΈΠΎΠ½ΠΈΡ‚ΡŒ Π·Π° ΠΈΡ€Π°Π½Ρ†Π°ΠΌΠΈ, ΠΈ Π΅Π³ΠΎ адрСс элСктронной ΠΏΠΎΡ‡Ρ‚Ρ‹: gladiyator_cracker@yahoo[.]com.

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚ Π΄Π°Π½Π½Ρ‹Ρ…, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹Π΅ относят ΠΊ кибСрпрСступникам ΠΈΠ· Iranian Nasr Institute:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ΠŸΠ΅Ρ€Π΅Π²ΠΎΠ΄ Π²Ρ‹Π΄Π΅Π»Π΅Π½Π½ΠΎΠ³ΠΎ Π½Π° русский: Нима Никио β€” Π Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊ ΡˆΠΏΠΈΠΎΠ½ΡΠΊΠΈΡ… ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌ β€” АдрСс элСктронной ΠΏΠΎΡ‡Ρ‚Ρ‹:.

Как Π²ΠΈΠ΄Π½ΠΎ ΠΈΠ· этой ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ, элСктронный адрСс ΠΈΠΌΠ΅Π΅Ρ‚ связь с адрСсом, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΡ‹ΠΌ Π² Π°Ρ‚Π°ΠΊΠ°Ρ…, ΠΈ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»ΡΠΌΠΈ Gladiyator_CRK ΠΈ Nima Nikjoo.

ΠšΡ€ΠΎΠΌΠ΅ Ρ‚ΠΎΠ³ΠΎ, Π² ΡΡ‚Π°Ρ‚ΡŒΠ΅ ΠΎΡ‚ 15 июня 2017 Π³ΠΎΠ΄Π° Π³ΠΎΠ²ΠΎΡ€ΠΈΠ»ΠΎΡΡŒ, Ρ‡Ρ‚ΠΎ Nikjoo оказался нСсколько Π½Π΅Π±Ρ€Π΅ΠΆΠ½Ρ‹ΠΌ, публикуя ссылки Π½Π° компанию Kavosh Security Center Π² своСм Ρ€Π΅Π·ΡŽΠΌΠ΅. Π•ΡΡ‚ΡŒ ΠΌΠ½Π΅Π½ΠΈΠ΅, Ρ‡Ρ‚ΠΎ организация Kavosh Security Center поддСрТиваСтся иранским государством для финансирования ΠΏΡ€ΠΎΠΏΡ€Π°Π²ΠΈΡ‚Π΅Π»ΡŒΡΡ‚Π²Π΅Π½Π½Ρ‹Ρ… Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠ².

Π˜Π½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡ ΠΎ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ Ρ€Π°Π±ΠΎΡ‚Π°Π» Nima Nikjoo:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
Π’ ΠΏΡ€ΠΎΡ„ΠΈΠ»Π΅ Π½Π° LinkedIn Ρƒ ΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚Π΅Π»Ρ ΠΈΠ· Twitter Nima Nikjoo ΠΏΠ΅Ρ€Π²Ρ‹ΠΌ мСстом Ρ€Π°Π±ΠΎΡ‚Ρ‹ ΡƒΠΊΠ°Π·Π°Π½ Kavosh Security Center, Π³Π΄Π΅ ΠΎΠ½ ΠΏΡ€ΠΎΡ€Π°Π±ΠΎΡ‚Π°Π» с 2006 ΠΏΠΎ 2014 Π³ΠΎΠ΄. Π—Π° врСмя Ρ€Π°Π±ΠΎΡ‚Ρ‹ ΠΎΠ½ ΠΈΠ·ΡƒΡ‡ΠΈΠ» Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Π΅ врСдоносныС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΡ‹, Π° Ρ‚Π°ΠΊΠΆΠ΅ ΠΈΠΌΠ΅Π» Π΄Π΅Π»ΠΎ с рСвСрсом ΠΈ Ρ€Π°Π±ΠΎΡ‚Π°ΠΌΠΈ, связанными с обфускациСй.

Π˜Π½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡ ΠΎ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ, Π² ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΉ Ρ€Π°Π±ΠΎΡ‚Π°Π» Nima Nikjoo, Π½Π° LinkedIn:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники

MuddyWater ΠΈ Π·Π°Π²Ρ‹ΡˆΠ΅Π½Π½Π°Ρ самооцСнка

Π›ΡŽΠ±ΠΎΠΏΡ‹Ρ‚Π½ΠΎ, Ρ‡Ρ‚ΠΎ Π³Ρ€ΡƒΠΏΠΏΠ° MuddyWater Π²Π½ΠΈΠΌΠ°Ρ‚Π΅Π»ΡŒΠ½ΠΎ ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΡ‚ всС ΠΏΡƒΠ±Π»ΠΈΠΊΡƒΠ΅ΠΌΡ‹Π΅ ΠΎ Π½ΠΈΡ… ΠΎΡ‚Ρ‡Π΅Ρ‚Ρ‹ ΠΈ сообщСния экспСртов ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΎΠ½Π½ΠΎΠΉ бСзопасности, ΠΈ Π΄Π°ΠΆΠ΅ ΡΠΏΠ΅Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎ сначала оставляла Ρ„Π°Π»ΡŒΡˆΠΈΠ²Ρ‹Π΅ Ρ„Π»Π°Π³ΠΈ, Ρ‡Ρ‚ΠΎΠ±Ρ‹ ΡΠ±ΠΈΡ‚ΡŒ исслСдоватСлСй со слСда. НапримСр, ΠΈΡ… ΠΏΠ΅Ρ€Π²Ρ‹Π΅ Π°Ρ‚Π°ΠΊΠΈ Π²Π²Π΅Π»ΠΈ экспСртов Π² Π·Π°Π±Π»ΡƒΠΆΠ΄Π΅Π½ΠΈΠ΅, ΠΏΠΎΡΠΊΠΎΠ»ΡŒΠΊΡƒ Π±Ρ‹Π»ΠΎ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½ΠΎ использованиС DNS Messenger, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ ΠΎΠ±Ρ‹Ρ‡Π½ΠΎ связывали с Π³Ρ€ΡƒΠΏΠΏΠΎΠΉ FIN7. Π’ Π΄Ρ€ΡƒΠ³ΠΈΡ… Π°Ρ‚Π°ΠΊΠ°Ρ… ΠΎΠ½ΠΈ вставляли Π² ΠΊΠΎΠ΄ строки Π½Π° китайском.

ΠšΡ€ΠΎΠΌΠ΅ Ρ‚ΠΎΠ³ΠΎ, Π³Ρ€ΡƒΠΏΠΏΠ° ΠΎΡ‡Π΅Π½ΡŒ Π»ΡŽΠ±ΠΈΡ‚ ΠΎΡΡ‚Π°Π²Π»ΡΡ‚ΡŒ исслСдоватСлям послания. НапримСр, ΠΈΠΌ Π½Π΅ ΠΏΠΎΠ½Ρ€Π°Π²ΠΈΠ»ΠΎΡΡŒ, Ρ‡Ρ‚ΠΎ «Лаборатория ΠšΠ°ΡΠΏΠ΅Ρ€ΡΠΊΠΎΠ³ΠΎΒ» Π² своСм свой Ρ€Π΅ΠΉΡ‚ΠΈΠ½Π³Π΅ ΡƒΠ³Ρ€ΠΎΠ· Π·Π° Π³ΠΎΠ΄ помСстила MuddyWater Π½Π° 3 мСсто. Π’ Ρ‚ΠΎΡ‚ ΠΆΠ΅ ΠΌΠΎΠΌΠ΅Π½Ρ‚ ΠΊΡ‚ΠΎ-Ρ‚ΠΎ β€” ΠΏΡ€Π΅Π΄ΠΏΠΎΠ»ΠΎΠΆΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎ Π³Ρ€ΡƒΠΏΠΏΠ° MuddyWater β€” Π·Π°Π³Ρ€ΡƒΠ·ΠΈΠ» Π½Π° YouTube PoC эксплойта, ΠΎΡ‚ΠΊΠ»ΡŽΡ‡Π°ΡŽΡ‰Π΅Π³ΠΎ антивирус Β«Π›ΠšΒ». Они ΠΆΠ΅ оставили ΠΊΠΎΠΌΠΌΠ΅Π½Ρ‚Π°Ρ€ΠΈΠΉ ΠΏΠΎΠ΄ ΡΡ‚Π°Ρ‚ΡŒΠ΅ΠΉ.

Π‘ΠΊΡ€ΠΈΠ½ΡˆΠΎΡ‚Ρ‹ Π²ΠΈΠ΄Π΅ΠΎ ΠΏΠΎ ΠΎΡ‚ΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΡŽ антивируса Β«Π›Π°Π±ΠΎΡ€Π°Ρ‚ΠΎΡ€ΠΈΠΈ ΠšΠ°ΡΠΏΠ΅Ρ€ΡΠΊΠΎΠ³ΠΎΒ» ΠΈ коммСнтария ΠΏΠΎΠ΄ Π½ΠΈΠΌ:

ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
ΠœΡƒΡ‚Π½Ρ‹Π΅ Π²ΠΎΠ΄Ρ‹: ΠΊΠ°ΠΊ Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ ΠΈΠ· MuddyWater Π°Ρ‚Π°ΠΊΠΎΠ²Π°Π»ΠΈ Ρ‚ΡƒΡ€Π΅Ρ†ΠΊΠΎΠ³ΠΎ производитСля Π²ΠΎΠ΅Π½Π½ΠΎΠΉ элСктроники
Пока слоТно ΡΠ΄Π΅Π»Π°Ρ‚ΡŒ ΠΎΠ΄Π½ΠΎΠ·Π½Π°Ρ‡Π½Ρ‹ΠΉ Π²Ρ‹Π²ΠΎΠ΄ ΠΎ причастности Β«Nima NikjooΒ». ЭкспСрты Group-IB Ρ€Π°ΡΡΠΌΠ°Ρ‚Ρ€ΠΈΠ²Π°ΡŽΡ‚ Π΄Π²Π΅ вСрсии. Nima Nikjoo, Π΄Π΅ΠΉΡΡ‚Π²ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎ, ΠΌΠΎΠΆΠ΅Ρ‚ являСтся Ρ…Π°ΠΊΠ΅Ρ€ΠΎΠΌ ΠΈΠ· Π³Ρ€ΡƒΠΏΠΏΡ‹ MuddyWater, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ засвСтился ΠΈΠ·-Π·Π° своСй нСбрСТности ΠΈ ΠΏΠΎΠ²Ρ‹ΡˆΠ΅Π½Π½ΠΎΠΉ активности Π² сСти. Π’Ρ‚ΠΎΡ€ΠΎΠΉ Π²Π°Ρ€ΠΈΠ°Π½Ρ‚ – Π΅Π³ΠΎ ΡΠΏΠ΅Ρ†ΠΈΠ°Π»ΡŒΠ½ΠΎ β€œΠ·Π°ΡΠ²Π΅Ρ‚ΠΈΠ»ΠΈβ€ Π΄Ρ€ΡƒΠ³ΠΈΠ΅ участники Π³Ρ€ΡƒΠΏΠΏΡ‹, Ρ‡Ρ‚ΠΎΠ±Ρ‹ отвСсти ΠΎΡ‚ сСбя подозрСния. Π’ любом случаС Group-IB ΠΏΡ€ΠΎΠ΄ΠΎΠ»ΠΆΠ°Π΅Ρ‚ своС исслСдованиС ΠΈ ΠΎΠ±ΡΠ·Π°Ρ‚Π΅Π»ΡŒΠ½ΠΎ сообщит ΠΎ Π΅Π³ΠΎ Ρ€Π΅Π·ΡƒΠ»ΡŒΡ‚Π°Ρ‚Π°Ρ….

Π§Ρ‚ΠΎ касаСтся иранских APT, Ρ‚ΠΎ послС сСрии ΡƒΡ‚Π΅Ρ‡Π΅ΠΊ ΠΈ сливов ΠΈΡ… вСроятно ΠΆΠ΄Π΅Ρ‚ ΡΠ΅Ρ€ΡŒΠ΅Π·Π½Ρ‹ΠΈΜ† Β«Ρ€Π°Π·Π±ΠΎΡ€ ΠΏΠΎΠ»Π΅Ρ‚ΠΎΠ²Β» β€” Ρ…Π°ΠΊΠ΅Ρ€Ρ‹ Π±ΡƒΠ΄ΡƒΡ‚ Π²Ρ‹Π½ΡƒΠΆΠ΄Π΅Π½Ρ‹ ΡΠ΅Ρ€ΡŒΠ΅Π·Π½ΠΎ ΠΈΠ·ΠΌΠ΅Π½ΠΈΡ‚ΡŒ свой инструмСнтарий, ΠΏΠΎΠ΄Ρ‡ΠΈΡΡ‚ΠΈΡ‚ΡŒ слСды ΠΈ Π½Π°ΠΈΜ†Ρ‚ΠΈ Π² своих рядах Π²ΠΎΠ·ΠΌΠΎΠΆΠ½Ρ‹Ρ… Β«ΠΊΡ€ΠΎΡ‚ΠΎΠ²Β». ЭкспСрты Π½Π΅ ΠΈΡΠΊΠ»ΡŽΡ‡Π°Π»ΠΈ, Ρ‡Ρ‚ΠΎ ΠΎΠ½ΠΈ Π΄Π°ΠΆΠ΅ Π²ΠΎΠ·ΡŒΠΌΡƒΡ‚ Ρ‚Π°ΠΉΠΌ-Π°ΡƒΡ‚, Π½ΠΎ послС нСбольшого ΠΏΠ΅Ρ€Π΅Ρ€Ρ‹Π²Π° Π°Ρ‚Π°ΠΊΠΈ иранских APT снова ΠΏΡ€ΠΎΠ΄ΠΎΠ»ΠΆΠΈΠ»ΠΈΡΡŒ.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: habr.com