Muddy waters: כיצד האקרים מ-MuddyWater תקפו יצרן טורקי של מוצרי אלקטרוניקה צבאיים

האקרים פרו-ממשלתיים איראנים נמצאים בצרות גדולות. לאורך האביב, אלמונים פרסמו "הדלפות סודיות" בטלגרם - מידע על קבוצות APT הקשורות לממשלת איראן - אסדת נפט и מים בוציים - הכלים, הקורבנות, הקשרים שלהם. אבל לא על כולם. באפריל, מומחי Group-IB גילו דליפה של כתובות דואר של התאגיד הטורקי ASELSAN A.Ş, המייצר מכשירי קשר צבאיים טקטיים ומערכות הגנה אלקטרוניות עבור הכוחות המזוינים הטורקים. אנסטסיה טיכונובה, Group-IB ראש צוות מחקר איומים מתקדם, ו ניקיטה רוסטובצב, אנליסט זוטר ב-Group-IB, תיאר את מהלך המתקפה על ASELSAN A.Ş ומצא משתתף אפשרי מים בוציים.

הארה באמצעות טלגרם

ההדלפה של קבוצות APT איראניות החלה בעובדה שמעבדה מסוימת דוכטגן פורסם ברבים קודי המקור של שישה כלים APT34 (המכונה גם OilRig ו- HelixKitten), חשפו את כתובות ה-IP והדומיינים המעורבים בפעולות, כמו גם נתונים על 66 קורבנות של האקרים, כולל Etihad Airways ו-Emirates National Oil. Lab Doookhtegan גם הדליף נתונים על פעולות העבר של הקבוצה ומידע על עובדי משרד המידע והביטחון הלאומי האיראני שלכאורה קשורים לפעילות הקבוצה. OilRig היא קבוצת APT המקושרת לאיראן, הקיימת מאז 2014 בערך ומכוונת לארגונים ממשלתיים, פיננסיים וצבאיים, וכן לחברות אנרגיה וטלקומוניקציה במזרח התיכון ובסין.

לאחר חשיפת OilRig, ההדלפות נמשכו - מידע על פעילותה של קבוצה פרו-מדינתית אחרת מאיראן, MuddyWater, הופיע ברשת האפלה ובטלגרם. עם זאת, בניגוד להדלפה הראשונה, הפעם לא פורסמו קודי המקור, אלא השלכות, כולל צילומי מסך של קודי המקור, שרתי בקרה, וכן כתובות ה-IP של קורבנות העבר של האקרים. הפעם, האקרים של Green Leakers לקחו אחריות על ההדלפה על MuddyWater. בבעלותם מספר ערוצי טלגרם ואתרי Darknet שבהם הם מפרסמים ומוכרים נתונים הקשורים לפעילות MuddyWater.

מרגלי סייבר מהמזרח התיכון

מים בוציים היא קבוצה שפעילה מאז 2017 במזרח התיכון. לדוגמה, כפי שמציינים מומחי Group-IB, מפברואר עד אפריל 2019, האקרים ביצעו סדרה של דיוור דיוג המיועדים לממשלה, ארגוני חינוך, חברות פיננסיות, תקשורת והגנה בטורקיה, איראן, אפגניסטן, עיראק ואזרבייג'ן.

חברי הקבוצה משתמשים בדלת אחורית של פיתוח משלהם המבוססת על PowerShell, הנקראת POWERSTATS. הוא יכול:

• לאסוף נתונים על חשבונות מקומיים וחשבונות דומיינים, שרתי קבצים זמינים, כתובות IP פנימיות וחיצוניות, שם וארכיטקטורת מערכת ההפעלה;
• לבצע ביצוע קוד מרחוק;
• העלאה והורדה של קבצים באמצעות C&C;
• לזהות נוכחות של תוכניות איתור באגים המשמשות בניתוח קבצים זדוניים;
• כבה את המערכת אם נמצאו תוכניות לניתוח קבצים זדוניים;
• מחיקת קבצים מכוננים מקומיים;
• לצלם צילומי מסך;
• השבת אמצעי אבטחה במוצרי Microsoft Office.

בשלב מסוים התוקפים עשו טעות וחוקרים מ-ReaQta הצליחו להשיג את כתובת ה-IP הסופית, שנמצאה בטהרן. לאור המטרות שהותקפו על ידי הקבוצה, כמו גם מטרותיה הקשורות לריגול סייבר, מומחים הציעו כי הקבוצה מייצגת את האינטרסים של ממשלת איראן.

אינדיקטורים להתקפהC&C:

• gladiyator[.]tk
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

קבצים:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

טורקיה מותקפת

ב-10 באפריל 2019, מומחי Group-IB גילו דליפה של כתובות דואר של החברה הטורקית ASELSAN A.Ş, החברה הגדולה ביותר בתחום האלקטרוניקה הצבאית בטורקיה. מוצריה כוללים מכ"ם ואלקטרוניקה, אלקטרו-אופטיקה, אוויוניקה, מערכות בלתי מאוישות, מערכות יבשה, ימיות, נשק ומערכות הגנה אווירית.

בבחינת אחת הדגימות החדשות של תוכנת הזדונית POWERSTATS, מומחי Group-IB קבעו כי קבוצת התוקפים MuddyWater השתמשה כמסמך פיתיון בהסכם רישיון בין Koç Savunma, חברה המייצרת פתרונות בתחום טכנולוגיות המידע וההגנה, לבין Tubitak Bilgem. , מרכז מחקר אבטחת מידע וטכנולוגיות מתקדמות. איש הקשר של Koç Savunma היה Tahir Taner Tımış, שמילא את תפקיד מנהל התוכניות ב-Koç Bilgi ve Savunma Teknolojileri A.Ş. מספטמבר 2013 עד דצמבר 2018. מאוחר יותר החל לעבוד ב-ASELSAN A.Ş.

מסמך הטעיה לדוגמא
לאחר שהמשתמש מפעיל פקודות מאקרו זדוניות, הדלת האחורית POWERSTATS יורדת למחשב של הקורבן.

הודות למטא נתונים של מסמך הטעיה הזה (MD5: 0638adf8fb4095d60fbef190a759aa9e) החוקרים הצליחו למצוא שלוש דוגמאות נוספות המכילות ערכים זהים, כולל תאריך ושעה יצירה, שם משתמש ורשימת פקודות מאקרו הכלולים:

• ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
• asd.doc (21aebece73549b3c4355a6060df410e9)
• F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)

צילום מסך של מטא נתונים זהים של מסמכי הטעיה שונים

אחד המסמכים שהתגלו עם השם ListOfHackedEmails.doc מכיל רשימה של 34 כתובות דוא"ל השייכות לדומיין @aselsan.com.tr.

מומחי Group-IB בדקו כתובות אימייל בהדלפות זמינות לציבור וגילו ש-28 מהן נפגעו בהדלפות שהתגלו בעבר. בדיקת תמהיל ההדלפות הזמינות הראתה כ-400 כניסות ייחודיות הקשורות לתחום זה וסיסמאות עבורן. ייתכן שתוקפים השתמשו בנתונים הזמינים לציבור כדי לתקוף את ASELSAN A.Ş.

צילום מסך של המסמך ListOfHackedEmails.doc

צילום מסך של רשימה של יותר מ-450 זוגות זוהו של סיסמת כניסה בהדלפות ציבוריות
בין הדוגמאות שהתגלו היה גם מסמך עם הכותרת F35-Specifications.doc, הכוונה למטוס הקרב F-35. מסמך הפיתיון הוא מפרט עבור מפציץ קרב רב-תפקידי F-35, המציין את מאפייני המטוס ומחירו. הנושא של מסמך פתיל זה מתייחס ישירות לסירוב האמריקאי לספק מטוסי F-35 לאחר רכישת מערכות ה-S-400 של טורקיה והאיום בהעברת מידע על ה-F-35 Lightning II לרוסיה.

כל הנתונים שהתקבלו הצביעו על כך שהמטרות העיקריות של מתקפות הסייבר של MuddyWater היו ארגונים הממוקמים בטורקיה.

מי הם Gladiyator_CRK ונימה ניקג'ו?

מוקדם יותר, במרץ 2019, התגלו מסמכים זדוניים שנוצרו על ידי משתמש Windows אחד תחת הכינוי Gladiyator_CRK. מסמכים אלה הפיצו גם את הדלת האחורית של POWERSTATS והתחברו לשרת C&C בשם דומה gladiyator[.]tk.

ייתכן שהדבר נעשה לאחר שהמשתמש Nima Nikjoo פרסם בטוויטר ב-14 במרץ 2019, בניסיון לפענח קוד מעורפל הקשור ל-MuddyWater. בהערות לציוץ הזה, החוקר אמר שהוא לא יכול לשתף אינדיקטורים של פשרה עבור תוכנה זדונית זו, מכיוון שמידע זה חסוי. למרבה הצער, הפוסט כבר נמחק, אך עקבותיו נותרו ברשת:

נימה ניקג'ו היא הבעלים של פרופיל Gladiyator_CRK באתרי אירוח הווידאו האיראניים dideo.ir ו-videoi.ir. באתר זה, הוא מדגים ניצול PoC להשבית כלי אנטי-וירוס של ספקים שונים ולעקוף ארגזי חול. נימה ניקג'ו כותב על עצמו שהוא מומחה לאבטחת רשתות, כמו גם מהנדס לאחור ואנליסט תוכנות זדוניות שעובד עבור MTN Irancell, חברת תקשורת איראנית.

צילום מסך של סרטונים שנשמרו בתוצאות החיפוש של גוגל:

מאוחר יותר, ב-19 במרץ 2019, המשתמש Nima Nikjoo ברשת החברתית Twitter שינה את הכינוי שלו ל-Malware Fighter, וגם מחק פוסטים ותגובות קשורות. גם הפרופיל של Gladiyator_CRK באירוח הווידאו dideo.ir נמחק, כפי שהיה ב-YouTube, והפרופיל עצמו שונה לשם N Tabrizi. עם זאת, כמעט חודש לאחר מכן (16 באפריל 2019), חשבון הטוויטר החל להשתמש שוב בשם Nima Nikjoo.

במהלך המחקר, מומחי Group-IB גילו שנימה ניקג'ו כבר הוזכרה בקשר לפעילות עבריינית ברשת. באוגוסט 2014 פרסם הבלוג Iran Khabarestan מידע על אנשים הקשורים לקבוצת פושעי הסייבר האיראני מכון נאסר. חקירה אחת של FireEye קבעה שמכון Nasr היה קבלן עבור APT33 והיה מעורב גם בהתקפות DDoS על בנקים בארה"ב בין השנים 2011 ל-2013 כחלק מקמפיין שנקרא מבצע Ababil.

אז באותו בלוג הוזכרה נימה ניקג'ו-ניקג'ו, שפיתחה תוכנה זדונית כדי לרגל אחרי איראנים, וכתובת האימייל שלו: gladiyator_cracker@yahoo[.]com.

צילום מסך של נתונים המיוחסים לפושעי סייבר ממכון נאסר האיראני:

תרגום הטקסט המודגש לרוסית: Nima Nikio - מפתח תוכנות ריגול - דוא"ל:.

כפי שניתן לראות ממידע זה, כתובת המייל משויכת לכתובת שבה נעשה שימוש בהתקפות ולמשתמשים Gladiyator_CRK ו-Nima Nikjoo.

בנוסף, המאמר מ-15 ביוני 2017 קבע כי Nikjoo היה קצת רשלני בפרסום הפניות למרכז האבטחה Kavosh בקורות החיים שלו. לאכול לצפותשמרכז הביטחון כבוש נתמך על ידי המדינה האיראנית למימון האקרים פרו-ממשלתיים.

מידע על החברה שבה עבדה נימה ניקג'ו:

פרופיל הלינקדאין של משתמשת הטוויטר נימה ניקג'ו מפרט את מקום העבודה הראשון שלו כמרכז האבטחה Kavosh, שבו עבד בין השנים 2006 ל-2014. במהלך עבודתו הוא חקר תוכנות זדוניות שונות, ועסק גם בעבודות הפוכה וערפול.

מידע על החברה שבה עבדה נימה ניקג'ו בלינקדאין:

MuddyWater ודימוי עצמי גבוה

מעניין שקבוצת MuddyWater עוקבת בקפידה אחר כל הדיווחים וההודעות של מומחי אבטחת מידע המתפרסמים עליהם, ואף השאירה בכוונה דגלים שווא בהתחלה כדי להעיף את החוקרים מהריח. לדוגמה, ההתקפות הראשונות שלהם הוליכו שולל מומחים על ידי זיהוי השימוש ב-DNS Messenger, שהיה משויך בדרך כלל לקבוצת FIN7. בהתקפות אחרות, הם הכניסו מחרוזות סיניות לקוד.

בנוסף, הקבוצה אוהבת להשאיר הודעות לחוקרים. לדוגמה, הם לא אהבו את זה שמעבדת קספרסקי הציבה את MuddyWater במקום השלישי בדירוג האיומים שלה לשנה. באותו רגע, מישהו - כנראה קבוצת MuddyWater - העלה PoC של ניצול ליוטיוב שמנטרל את האנטי וירוס של LK. הם גם השאירו תגובה מתחת לכתבה.

צילומי מסך של הסרטון על השבתת האנטי וירוס של מעבדת קספרסקי והפרשנות למטה:

עדיין קשה להגיע למסקנה חד משמעית לגבי מעורבותה של "נימה ניקג'ו". מומחי Group-IB שוקלים שתי גרסאות. נימה ניקג'ו, אכן, עשוי להיות האקר מקבוצת MuddyWater, שהגיע לאור בשל רשלנותו ופעילותו המוגברת ברשת. האפשרות השנייה היא שהוא "נחשף" בכוונה על ידי חברי הקבוצה האחרים על מנת להסיט את החשד מעצמם. בכל מקרה, Group-IB ממשיכה במחקר שלה ובהחלט תדווח על תוצאותיה.

באשר ל-APTs איראני, לאחר סדרה של הדלפות והדלפות, הם כנראה יעמדו בפני "תחקיר" רציני - האקרים ייאלצו לשנות ברצינות את הכלים שלהם, לנקות את עקבותיהם ולמצוא "שומות" אפשריות בשורותיהם. מומחים לא פסלו שהם אפילו ייקחו פסק זמן, אבל לאחר הפסקה קצרה, התקפות ה-APT האיראניות נמשכו שוב.

מקור: www.habr.com