Die iranischen pro-regierungs Hacker haben große Probleme. Den ganzen Frühling über veröffentlichten Unbekannte in Telegram "geheime Leaks" - Informationen über mit der iranischen Regierung verbundene APT-Gruppen - OilRig und MuddyWater - deren Werkzeuge, Opfer und Verbindungen. Aber nicht über alle. Im April entdeckten Spezialisten von Group-IB eine Leckage von E-Mail-Adressen der türkischen Corporation ASELSAN A.Ş, die sich mit der Herstellung taktischer Militärfunkgeräte und elektronischer Verteidigungssysteme für die türkischen Streitkräfte beschäftigt. Anastasia Tikhonova, Leiterin der Forschungsgruppe für komplexe Bedrohungen bei Group-IB, und Nikita Rostovtsev, Junior Analyst bei Group-IB, beschrieben den Verlauf des Angriffs auf ASELSAN A.Ş und fanden einen möglichen Beteiligten MuddyWater.
Leckage über Telegram
Der "Leak" iranischer APT-Gruppen begann damit, dass jemand namens Lab Dookhtegan die Quellcodes von sechs Tools von APT34 (auch bekannt als OilRig und HelixKitten), enthüllte IP-Adressen und Domains, die an den Operationen beteiligt waren, sowie Daten von 66 Opfern der Hacker, darunter Unternehmen wie Etihad Airways und Emirates National Oil. Außerdem "leakte" Lab Dookhtegan auch Daten über vergangene Operationen der Gruppe und Informationen über Mitarbeiter des iranischen Ministeriums für Information und nationale Sicherheit, die angeblich mit den Operationen der Gruppierung verbunden sind. OilRig ist eine mit dem Iran verbundene APT-Gruppe, die seit etwa 2014 existiert und auf Regierungs-, Finanz- und Militärorganisationen sowie auf Energie- und Telekommunikationsunternehmen im Nahen Osten und in China abzielt.
Nach der Leckage von OilRig gingen die "Leaks" weiter - im Darknet und in Telegram erschien Informationen über die Aktivitäten einer anderen pro-regierungs Gruppe aus dem Iran - MuddyWater. Allerdings wurden im Gegensatz zum ersten Leak diesmal keine Quellcodes veröffentlicht, sondern Dumps, die Screenshots von Quellcodes, die betreffenden Server sowie IP-Adressen früherer Opfer der Hacker beinhalteten. Diesmal übernahmen die Hacker von Green Leakers die Verantwortung für die Leckage über MuddyWater. Ihnen gehören mehrere Telegram-Kanäle und Websites im Darknet, auf denen sie Daten bewerben und verkaufen, die mit den Operationen von MuddyWater in Verbindung stehen.
Cyber-Spione aus dem Nahen Osten
MuddyWater — dies ist eine Gruppe, die seit 2017 in den Ländern des Nahen Ostens tätig ist. Wie die Experten von Group-IB anmerken, führten Hacker zwischen Februar und April 2019 eine Reihe von Phishing-Aktionen durch, die sich gegen Regierungs- und Bildungseinrichtungen sowie gegen Finanz-, Telekommunikations- und Verteidigungsunternehmen in der Türkei, dem Iran, Afghanistan, dem Irak und Aserbaidschan richteten.
Die Mitglieder der Gruppe verwenden einen eigens entwickelten Backdoor auf Basis von PowerShell, der den Namen POWERSTATStrug. Er kann:
- Daten über lokale und domänenspezifische Konten, verfügbare Dateiserver, interne und externe IP-Adressen sowie den Namen und die Architektur des Betriebssystems sammeln;
- Entfernte Codeausführung durchführen;
- Dateien über C&C hoch- und herunterladen;
- Die Anwesenheit von Debugging-Programmen erkennen, die zur Analyse von Schadsoftware verwendet werden;
- Das System deaktivieren, wenn Analyseprogramme für Schadsoftware gefunden werden;
- Dateien von lokalen Festplatten löschen;
- Screenshots erstellen;
- Schutzmaßnahmen von Microsoft Office-Produkten deaktivieren.
An einem bestimmten Punkt machten die Angreifer einen Fehler und es gelang den Forschern von ReaQta, die finale IP-Adresse zu erfassen, die sich in Teheran befand. Angesichts der Ziele, die die Gruppe angreift, sowie ihrer Aufgaben im Zusammenhang mit Cyber-Spionage, vermuteten die Experten, dass die Gruppe die Interessen der iranischen Regierung vertritt.
AngriffsindikatorenC&C:
- gladiyator[.]tk
- 94.23.148[.]194
- 192.95.21[.]28
- 46.105.84[.]146
- 185.162.235[.]182
Dateien:
- 09aabd2613d339d90ddbd4b7c09195a9
- cfa845995b851aacdf40b8e6a5b87ba7
- a61b268e9bc9b7e6c9125cdbfb1c422a
- f12bab5541a7d8ef4bbca81f6fc835a3
- a066f5b93f4ac85e9adfe5ff3b10bc28
- 8a004e93d7ee3b26d94156768bc0839d
- 0638adf8fb4095d60fbef190a759aa9e
- eed599981c097944fa143e7d7f7e17b1
- 21aebece73549b3c4355a6060df410e9
- 5c6148619abb10bb3789dcfb32f759a6
Die Türkei im Visier
Am 10. April 2019 entdeckten die Experten von Group-IB einen Leak von E-Mail-Adressen des türkischen Unternehmens ASELSAN A.Ş — dem größten Unternehmen im Bereich der militärischen Elektronik in der Türkei. Zu ihren Produkten gehören Radare, funk-elektronische Mittel, Elektrooptik, Avionik, unbemannte Systeme sowie terrestrische, marine und waffenbasierte Systeme sowie Systeme zur Luftverteidigung.
Bei der Untersuchung eines der neuen Beispiele der Malware POWERSTATS stellten die Experten von Group-IB fest, dass die Gruppe von Angreifern MuddyWater ein Lizenzabkommen zwischen Koç Savunma, einem Anbieter von Informations- und Verteidigungstechnologielösungen, und dem Tubitak Bilgem Forschungszentrum für Informationssicherheit und fortschrittliche Technologien als Köderdokument verwendet hat. Als Ansprechpartner von Koç Savunma wurde Tahir Taner Tımış genannt, der von September 2013 bis Dezember 2018 die Position des Program Managers bei Koç Bilgi ve Savunma Teknolojileri A.Ş. innehatte. Später begann er, bei ASELSAN A.Ş. zu arbeiten.
Beispiel für ein Köderdokument
Nachdem der Benutzer die schädlichen Makros aktiviert hat, wird ein POWERSTATS Backdoor auf den Computer des Opfers heruntergeladen.
Dank der Metadaten dieses Köderdokuments (MD5: 0638adf8fb4095d60fbef190a759aa9e) konnten die Forscher drei zusätzliche Beispiele finden, die identische Werte enthielten, darunter Erstellungsdatum und -uhrzeit, Benutzername und Liste der enthaltenen Makros:
- ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
- asd.doc (21aebece73549b3c4355a6060df410e9)
- F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)
Screenshot identischer Metadaten verschiedener Köderdokumente 
Eines der gefundenen Dokumente mit dem Namen ListOfHackedEmails.doc enthält eine Liste von 34 E-Mail-Adressen, die zur Domain @aselsan.com.tr.
Die Experten von Group-IB haben die E-Mail-Adressen in öffentlich zugänglichen Leaks überprüft und festgestellt, dass 28 von ihnen in zuvor entdeckten Leaks kompromittiert waren. Die Überprüfung einer Mischung aus verfügbaren Leaks ergab etwa 400 einzigartige Logins, die mit dieser Domain verbunden sind, sowie deren Passwörter. Möglicherweise haben die Angreifer diese Daten aus öffentlichen Quellen für einen Angriff auf das Unternehmen ASELSAN A.Ş. genutzt.
Screenshot des Dokuments ListOfHackedEmails.doc 
Screenshot der Liste von mehr als 450 gefundenen Login-Passwort-Paaren in öffentlichen Leaks 
Unter den gefundenen Beispielen befand sich auch ein Dokument mit dem Titel F35-Specifications.doc, das sich auf das Kampfflugzeug F-35 bezieht. Das Köderdokument stellt eine Spezifikation für multirole Kampfbomber F-35 dar und gibt die Merkmale der Flugzeuge sowie deren Preis an. Das Thema dieses Köderdokuments steht in direktem Zusammenhang mit der Weigerung der USA, F-35 nach dem Kauf von S-400-Komplexen durch die Türkei zu liefern, sowie mit der Drohung, Russland Informationen über die F-35 Lightning II zu übermitteln.
Alle gesammelten Daten zeigten, dass das Hauptziel der Cyberangriffe von MuddyWater Organisationen in der Türkei waren.
Wer sind Gladiyator_CRK und Nima Nikjoo?
Bereits im März 2019 wurden schadhafte Dokumente entdeckt, die von einem Windows-Nutzer unter dem Pseudonym Gladiyator_CRK erstellt wurden. Diese Dokumente verbreiteten auch den Backdoor POWERSTATS und verbanden sich mit einem C&C-Server mit ähnlichem Namen. gladiyator[.]tk.
Möglicherweise geschah dies, nachdem am 14. März 2019 der Benutzer Nima Nikjoo auf Twitter einen Beitrag veröffentlichte, in dem er versuchte, den obfuskierten Code im Zusammenhang mit MuddyWater zu dekodieren. In den Kommentaren zu diesem Tweet sagte der Forscher, dass er keine Indikatoren für eine Kompromittierung dieser Malware teilen könne, da diese Informationen vertraulich sind. Leider wurde der Beitrag bereits gelöscht, aber es gibt noch Spuren davon im Netz:
Nima Nikjoo ist der Inhaber des Profils Gladiyator_CRK auf den iranischen Video-Hosting-Seiten dideo.ir und videoi.ir. Auf dieser Seite zeigt er PoC-Exploits zum Deaktivieren von Antivirensoftware verschiedener Anbieter und zum Umgehen von Sandboxes. Über sich selbst schreibt Nima Nikjoo, dass er ein Spezialist für Netzwerksicherheit ist sowie Reverse Engineer und Malware-Analyst, der bei MTN Irancell — einem iranischen Telekommunikationsunternehmen — arbeitet.
Screenshot der gespeicherten Videos in den Google-Suchergebnissen:
Später, am 19. März 2019, änderte der Benutzer Nima Nikjoo seinen Benutzernamen auf Twitter in Malware Fighter und löschte auch die dazugehörigen Beiträge und Kommentare. Das Profil Gladiyator_CRK auf der Video-Hosting-Seite dideo.ir wurde ebenfalls gelöscht, ebenso auf YouTube, und das Profil wurde in N Tabrizi umbenannt. Doch fast einen Monat später (am 16. April 2019) wurde der Twitter-Account wieder auf den Namen Nima Nikjoo zurückgesetzt.
Im Rahmen der Untersuchung entdeckten die Spezialisten von Group-IB, dass Nima Nikjoo bereits in Verbindung mit cyberkriminellen Aktivitäten erwähnt wurde. Im August 2014 wurde auf dem Blog Iran Khabarestan Informationen über Personen veröffentlicht, die mit der cyberkriminellen Gruppe Iranian Nasr Institute in Verbindung standen. In einer Studie von FireEye wurde erwähnt, dass das Nasr Institute ein Auftragnehmer von APT33 war und auch an DDoS-Angriffen auf amerikanische Banken zwischen 2011 und 2013 im Rahmen der Kampagne Operation Ababil beteiligt war.
In diesem Blog wurde Nima Nikju-Nikjoo erwähnt, der an der Entwicklung von Malware gearbeitet hat, um Iraner auszuspionieren, und seine E-Mail-Adresse: gladiyator_cracker@yahoo[.]com.
Screenshot der Daten, die mit Cyberkriminellen vom Iranian Nasr Institute in Verbindung gebracht werden:
Übersetzung des Hervorgehobenen ins Deutsche: Nima Nikjoo — Entwickler von Spionagesoftware — E-Mail-Adresse:.
Wie aus diesen Informationen hervorgeht, hat die E-Mail-Adresse eine Verbindung zu der Adresse, die in den Angriffen verwendet wurde, sowie zu den Nutzern Gladiyator_CRK und Nima Nikjoo.
Darüber hinaus wurde in einem Artikel vom 15. Juni 2017 erwähnt, dass Nikjoo etwas nachlässig war, indem er Links zum Kavosh Security Center in seinem Lebenslauf veröffentlichte. Es gibt , dass die Organisation Kavosh Security Center vom iranischen Staat unterstützt wird, um pro-Regierungs-Hacker zu finanzieren.
Informationen über das Unternehmen, in dem Nima Nikjoo gearbeitet hat:
Im LinkedIn-Profil des Twitter-Nutzers Nima Nikjoo wird als erster Arbeitsplatz das Kavosh Security Center angegeben, wo er von 2006 bis 2014 tätig war. Während seiner Arbeit sammelte er Erfahrung mit verschiedenen Arten von Malware und beschäftigte sich mit Reverse Engineering und obfuscation-related Arbeiten.
Informationen über das Unternehmen, in dem Nima Nikjoo gearbeitet hat, auf LinkedIn:
MuddyWater und überhöhte Selbstwahrnehmung
Es ist bemerkenswert, dass die Gruppe MuddyWater alle Berichte und Meldungen von Cybersicherheitsexperten, die über sie veröffentlicht werden, genau verfolgt und sogar absichtlich falsche Fährten legt, um Forscher von der Spur abzubringen. Beispielsweise führten ihre ersten Angriffe Experten in die Irre, da das DNS Messenger verwendet wurde, das typischerweise mit der Gruppe FIN7 in Verbindung gebracht wurde. In anderen Angriffen fügten sie chinesische Code-Zeilen ein.
Darüber hinaus hinterlässt die Gruppe oft Nachrichten für Forscher. Beispielsweise gefiel es ihnen nicht, dass das "Kaspersky Lab" in seinem Bedrohungsranking MuddyWater auf den 3. Platz setzte. In der gleichen Zeit hat jemand — vermutlich die Gruppe MuddyWater — ein PoC-Exploits auf YouTube hochgeladen, das das Antivirenprogramm "LK" deaktiviert. Sie hinterließen auch einen Kommentar unter dem Artikel.
Screenshots des Videos zur Deaktivierung des Antivirenprogramms "Kaspersky Lab" und des Kommentars darunter:
Es ist derzeit schwierig, eine eindeutige Schlussfolgerung über die Beteiligung von „Nima Nikjoo“ zu ziehen. Experten von Group-IB untersuchen zwei Hypothesen. Nima Nikjoo könnte in der Tat ein Hacker aus der Gruppe MuddyWater sein, der aufgrund seiner Nachlässigkeit und erhöhten Aktivität im Netz aufgeflogen ist. Die zweite Möglichkeit ist, dass andere Mitglieder der Gruppe ihn absichtlich „entlarvt“ haben, um von sich selbst abzulenken. In jedem Fall setzt Group-IB ihre Untersuchungen fort und wird über die Ergebnisse berichten.
Was die iranischen APT betrifft, so steht ihnen nach einer Reihe von Leaks und Enthüllungen wahrscheinlich ein ernsthaftes „Debriefing“ bevor – die Hacker werden gezwungen sein, ihre Werkzeuge erheblich zu ändern, Spuren zu verwischen und mögliche „Maulwürfe“ in ihren Reihen zu finden. Die Experten schlossen nicht aus, dass sie sogar eine Auszeit nehmen, aber nach einer kurzen Pause wurden die Angriffe der iranischen APT erneut fortgesetzt.
Quelle: habr.com
