Gli hacker pro-governativi iraniani hanno grandi problemi. Per tutta la primavera, sconosciuti hanno pubblicato su Telegram "fughe segrete" — informazioni sui gruppi APT legati al governo iraniano — OilRig e MuddyWater — i loro strumenti, vittime, legami. Ma non su tutti. Ad aprile, esperti di Group-IB hanno scoperto una fuga di indirizzi email della corporation turca ASELSAN A.Ş, che produce stazioni radio militari tattiche e sistemi elettronici di difesa per le forze armate turche. Anastasia Tikhonova, responsabile del gruppo di ricerca su minacce avanzate di Group-IB, e Nikita Rostovtsev, analista junior di Group-IB, hanno descritto il decorso dell'attacco a ASELSAN A.Ş e hanno trovato un possibile partecipante MuddyWater.
Rivelazione tramite Telegram
"La fuga" dei gruppi APT iraniani è iniziata quando un certo Lab Dookhtegan i codici sorgente di sei strumenti APT34 (noto anche come OilRig e HelixKitten), rivelando indirizzi IP e domini coinvolti nelle operazioni, così come i dati su 66 vittime degli hacker, tra cui le compagnie Etihad Airways ed Emirates National Oil. Lab Dookhtegan ha anche "fugato" dati su operazioni passate del gruppo e informazioni sui dipendenti del Ministero dell'informazione e della sicurezza nazionale dell'Iran, presumibilmente collegati alle operazioni del gruppo. OilRig è un gruppo APT legato all'Iran, attivo da circa 2014, mirato a organizzazioni governative, finanziarie e militari, nonché a aziende energetiche e di telecomunicazione in Medio Oriente e in Cina.
Dopo la rivelazione di OilRig, le "fughe" sono continuate: nel dark web e su Telegram è emersa informazione sulle attività di un altro gruppo pro-governativo iraniano: MuddyWater. Tuttavia, a differenza del primo leak, questa volta non sono stati pubblicati codici sorgente, ma dump che includono screenshot dei sorgenti, dei server di comando, e indirizzi IP delle vittime passate degli hacker. Questa volta, la responsabilità per la fuga riguardante MuddyWater è stata assunta dagli hacker Green Leakers. Gestiscono diversi canali Telegram e siti nel dark web, dove promuovono e vendono dati relativi alle operazioni di MuddyWater.
Cyber spie del Medio Oriente
MuddyWater — è un gruppo attivo dal 2017 nei paesi del Medio Oriente. Ad esempio, come segnalano gli esperti di Group-IB, tra febbraio e aprile 2019, i pirati informatici hanno condotto una serie di campagne di phishing mirate a organizzazioni governative, educative, aziendali, delle telecomunicazioni e della difesa in Turchia, Iran, Afghanistan, Iraq e Azerbaigian.
I membri del gruppo utilizzano un backdoor sviluppato internamente basato su PowerShell, che è stato chiamato POWERSTATS. Può:
- raccogliere dati su account locali e di dominio, server di file disponibili, indirizzi IP interni ed esterni, nome e architettura del sistema operativo;
- eseguire codice da remoto;
- caricare e scaricare file tramite C&C;
- determinare la presenza di strumenti di debug utilizzati nell'analisi di file malevoli;
- disattivare il sistema se vengono trovati programmi di analisi dei file malevoli;
- eliminare file dai dischi locali;
- scattare screenshot;
- disabilitare le misure di protezione dei prodotti Microsoft Office.
In un certo momento, i malintenzionati hanno commesso un errore e i ricercatori dell'azienda ReaQta sono riusciti a ottenere l'indirizzo IP finale, che si trovava a Teheran. Considerando gli obiettivi attaccati dal gruppo, così come le sue attività legate alla cyberspionaggio, gli esperti hanno ipotizzato che il gruppo rappresenti gli interessi del governo iraniano.
Indicatori di attaccoC&C:
- gladiyator[.]tk
- 94.23.148[.]194
- 192.95.21[.]28
- 46.105.84[.]146
- 185.162.235[.]182
File:
- 09aabd2613d339d90ddbd4b7c09195a9
- cfa845995b851aacdf40b8e6a5b87ba7
- a61b268e9bc9b7e6c9125cdbfb1c422a
- f12bab5541a7d8ef4bbca81f6fc835a3
- a066f5b93f4ac85e9adfe5ff3b10bc28
- 8a004e93d7ee3b26d94156768bc0839d
- 0638adf8fb4095d60fbef190a759aa9e
- eed599981c097944fa143e7d7f7e17b1
- 21aebece73549b3c4355a6060df410e9
- 5c6148619abb10bb3789dcfb32f759a6
La Turchia nel mirino
Il 10 aprile 2019, gli esperti di Group-IB hanno scoperto una fuga di indirizzi email della società turca ASELSAN A.Ş — il più grande produttore di elettronica militare in Turchia. Tra i suoi prodotti ci sono radar e strumenti elettronici, elettronica, avionic, sistemi senza pilota, terrestri, navali e sistemi d'arma, nonché sistemi di difesa aerea.
Esaminando uno dei nuovi campioni di malware POWERSTATS, gli esperti di Group-IB hanno stabilito che il gruppo di criminali informatici MuddyWater ha utilizzato come documento di attiramento un accordo di licenza tra Koç Savunma, azienda produttrice di soluzioni nel campo delle tecnologie dell'informazione e della difesa, e il centro di ricerca sulla sicurezza informatica e le tecnologie avanzate Tubitak Bilgem. Come contatto facente riferimento a Koç Savunma è stato indicato Tahir Taner Tımış, che ha ricoperto il ruolo di Program Manager in Koç Bilgi ve Savunma Teknolojileri A.Ş. da settembre 2013 a dicembre 2018. In seguito ha iniziato a lavorare in ASELSAN A.Ş.
Esempio di documento di attiramento
Dopo che l'utente attiva le macro dannose, viene caricato sul computer della vittima un backdoor POWERSTATS.
Grazie ai metadati di questo documento di attiramento (MD5: 0638adf8fb4095d60fbef190a759aa9e) i ricercatori sono stati in grado di trovare tre ulteriori campioni contenenti valori identici, tra cui la data e l'ora di creazione, il nome utente e l'elenco delle macro contenute:
- ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
- asd.doc (21aebece73549b3c4355a6060df410e9)
- F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)
Screenshot dei metadati identici di vari documenti di attiramento 
Uno dei documenti trovati con il nome ListOfHackedEmails.doc contiene un elenco di 34 indirizzi email appartenenti al dominio @aselsan.com.tr.
Gli esperti di Group-IB hanno controllato gli indirizzi email nelle violazioni disponibili pubblicamente, scoprendo che 28 di essi erano stati compromessi in violazioni precedentemente rilevate. La verifica di un mix delle violazioni disponibili ha mostrato circa 400 login unici correlati a questo dominio e le relative password. È possibile che i criminali informatici abbiano utilizzato questi dati di accesso pubblico per attaccare la società ASELSAN A.Ş.
Screenshot del documento ListOfHackedEmails.doc 
Screenshot dell'elenco di oltre 450 coppie di login e password trovate nelle violazioni pubbliche 
Tra i campioni trovati c'era anche un documento intitolato F35-Specifications.doc, che si riferisce al caccia F-35. Il documento di attiramento è una specifica dei cacciabombardieri multifunzionali F-35, con indicazione delle caratteristiche degli aerei e del prezzo. L'argomento di questo documento di attiramento è direttamente collegato al rifiuto degli Stati Uniti di fornire gli F-35 dopo l'acquisto da parte della Turchia dei sistemi S-400 e alla minaccia di trasferire alla Russia informazioni sugli F-35 Lightning II.
Tutti i dati ottenuti indicavano che l'obiettivo principale degli attacchi informatici MuddyWater erano le organizzazioni situate in Turchia.
Chi sono Gladiyator_CRK e Nima Nikjoo?
In precedenza, a marzo 2019, sono stati scoperti documenti dannosi creati da un utente Windows con il nickname Gladiyator_CRK. Questi documenti distribuivano anche il backdoor POWERSTATS e si collegavano a un server C&C con un nome simile. gladiyator[.]tk.
Potrebbe essere stato fatto dopo che, il 14 marzo 2019, l'utente Nima Nikjoo ha pubblicato su Twitter un messaggio in cui cercava di decodificare un codice offuscato relativo a MuddyWater. Nei commenti a questo tweet, il ricercatore ha affermato di non poter condividere indicatori di compromissione di questo malware, poiché tali informazioni sono riservate. Sfortunatamente, il messaggio è stato già rimosso, ma sono rimaste tracce online:
Nima Nikjoo è il proprietario del profilo Gladiyator_CRK su video hosting iraniani dideo.ir e videoi.ir. Su questo sito, mostra PoC di exploit per disabilitare i software antivirus di vari fornitori e aggirare le sandbox. Di sé stesso, Nima Nikjoo scrive di essere uno specialista in sicurezza di rete, oltre a un ingegnere del reverse e analista di malware, che lavora per MTN Irancell, un'azienda di telecomunicazioni iraniana.
Screenshot dei video salvati nei risultati della ricerca di Google:
Successivamente, il 19 marzo 2019, l'utente Nima Nikjoo sui social media Twitter ha cambiato il suo nickname in Malware Fighter, e ha anche cancellato i post e i commenti correlati. Il profilo Gladiyator_CRK sulla piattaforma di video dideo.ir è stato anche rimosso, così come su YouTube, ed il profilo è stato rinominato in N Tabrizi. Tuttavia, quasi un mese dopo (il 16 aprile 2019), l'account su Twitter ha ripreso a utilizzare il nome Nima Nikjoo.
Nel corso della ricerca, i professionisti di Group-IB hanno scoperto che Nima Nikjoo era già stato menzionato in relazione ad attività criminali informatiche. Nell'agosto 2014, nel blog Iran Khabarestan è stata pubblicata informazione su persone collegate al gruppo criminale informatico Iranian Nasr Institute. In uno studio di FireEye si affermava che il Nasr Institute era un appaltatore di APT33 e partecipava ad attacchi DDoS contro banche americane dal 2011 al 2013 nel contesto di una campagna chiamata Operation Ababil.
In questo stesso blog si menzionava Nima Nikju-Nikjoo, che si è occupato dello sviluppo di malware per spiare gli iraniani, e il suo indirizzo email: gladiyator_cracker@yahoo[.]com.
Screenshot dei dati relativi ai criminali informatici dell'Iranian Nasr Institute:
Traduzione evidenziata in russo: Nima Nikjoo — Sviluppatore di spyware — Indirizzo email:.
Come si può vedere da queste informazioni, l'indirizzo email ha una connessione con l'indirizzo utilizzato negli attacchi, e dagli utenti Gladiyator_CRK e Nima Nikjoo.
Inoltre, in un articolo del 15 giugno 2017 si affermava che Nikjoo era stato piuttosto negligente nel pubblicare link alla compagnia Kavosh Security Center nel suo curriculum. Ci sono , secondo cui l'organizzazione Kavosh Security Center è sostenuta dallo stato iraniano per finanziare hacker pro-governativi.
Informazioni sulla compagnia in cui lavorava Nima Nikjoo:
Nel profilo LinkedIn dell'utente Twitter Nima Nikjoo, il primo posto di lavoro indicato è Kavosh Security Center, dove ha lavorato dal 2006 al 2014. Durante il suo impiego, ha studiato vari malware ed ha anche lavorato su reverse engineering e obfuscation.
Informazioni sulla compagnia in cui lavorava Nima Nikjoo su LinkedIn:
MuddyWater e alta autostima
È curioso notare che il gruppo MuddyWater monitora attentamente tutti i rapporti e i messaggi pubblicati su di loro da esperti di sicurezza informatica, e addirittura inizialmente lasciava false bandiere per depistare i ricercatori. Ad esempio, i loro primi attacchi hanno ingannato gli esperti, poiché è stato rilevato l'uso di DNS Messenger, generalmente associato al gruppo FIN7. In altri attacchi, inserivano nelle righe di codice stringhe in cinese.
Inoltre, il gruppo ama molto lasciare messaggi ai ricercatori. Ad esempio, non gli è piaciuto che "Kaspersky Lab" li abbia posizionati al 3° posto nel proprio elenco delle minacce annuali. Nello stesso momento, qualcuno — presumibilmente il gruppo MuddyWater — ha caricato su YouTube un PoC di un exploit che disattiva l'antivirus "LK". Hanno anche lasciato un commento sotto l'articolo.
Screenshot del video che disattiva l'antivirus "Kaspersky Lab" e il commento sotto di esso:
È ancora difficile trarre una conclusione certa sul coinvolgimento di "Nima Nikjoo". Gli esperti di Group-IB stanno considerando due versioni. Nima Nikjoo potrebbe realmente essere un hacker del gruppo MuddyWater, il cui nome è emerso a causa della sua negligenza e della sua attiva presenza online. L'altra possibilità è che sia stato “messo in luce” da altri membri del gruppo per distogliere l'attenzione da sé. In ogni caso, Group-IB continua la sua ricerca e fornirà sicuramente aggiornamenti sui risultati.
Per quanto riguarda le APT iraniane, dopo una serie di fughe di notizie e leak, è probabile che si aspettino un serio "ripulire i conti" — gli hacker saranno costretti a modificare seriamente il loro arsenale, a ripulire le tracce e a trovare nella loro cerchia potenziali "talpe". Gli esperti non escludono che possano anche prendersi una pausa, ma dopo un breve intervallo gli attacchi delle APT iraniane sono ripresi nuovamente.
Fonte: habr.com
