Мудди ватерс: како су хакери из МуддиВатер-а напали турског произвођача војне електронике

Ирански провладини хакери су у великој невољи. Током пролећа, непознати људи су објављивали „тајна цурења” на Телеграму – информације о АПТ групама повезаним са иранском владом – Платформа за подморско бушење и МуддиВатер — њихови алати, жртве, везе. Али не о свима. У априлу су стручњаци Групе-ИБ открили цурење поштанских адреса турске корпорације АСЕЛСАН А.С, која производи тактичке војне радио-станице и електронске одбрамбене системе за турске оружане снаге. Анастасија Тихонова, вођа тима за напредно истраживање претњи групе-ИБ и Никита Ростовцев, млађи аналитичар Групе-ИБ, описао је ток напада на АСЕЛСАН А.С и пронашао могућег учесника МуддиВатер.

Осветљење преко Телеграма

Цурење иранских АПТ група је почело са извесним Лаб Доукхтеган објављено у јавности изворни кодови шест АПТ34 алата (ака ОилРиг и ХеликКиттен), открили су ИП адресе и домене укључене у операције, као и податке о 66 жртава хакера, укључујући Етихад Аирваис и Емиратес Натионал Оил. Лаб Дооокхтеган је такође процурио податке о прошлим операцијама групе и информације о запосленима у иранском министарству информација и националне безбедности који су наводно повезани са операцијама групе. ОилРиг је АПТ група повезана са Ираном која постоји отприлике од 2014. године и циља на владине, финансијске и војне организације, као и на енергетске и телекомуникационе компаније на Блиском истоку и у Кини.

Након што је ОилРиг разоткривен, цурење се наставило – информације о активностима друге продржавне групе из Ирана, МуддиВатер, појавиле су се на даркнету и Телеграму. Међутим, за разлику од првог цурења, овога пута нису објављени изворни кодови, већ депоније, укључујући снимке екрана изворних кодова, контролних сервера, као и ИП адресе ранијих жртава хакера. Овог пута, хакери Греен Леакерса преузели су одговорност за цурење информација о МуддиВатер-у. Они поседују неколико Телеграм канала и даркнет сајтова на којима оглашавају и продају податке у вези са операцијама МуддиВатер.

Сајбер шпијуни са Блиског истока

МуддиВатер је група која је активна од 2017. године на Блиском истоку. На пример, како примећују стручњаци Групе-ИБ, од фебруара до априла 2019. хакери су извршили низ пхисхинг порука усмерених на владу, образовне организације, финансијске, телекомуникационе и одбрамбене компаније у Турској, Ирану, Авганистану, Ираку и Азербејџану.

Чланови групе користе бацкдоор сопственог развоја заснованог на ПоверСхелл-у, који се зове ПОВЕРСТАТС. Он може:

• прикупља податке о локалним и доменским налозима, доступним фајл серверима, интерним и екстерним ИП адресама, називу и архитектури ОС;
• извршити даљинско извршавање кода;
• отпремање и преузимање датотека преко Ц&Ц;
• открити присуство програма за отклањање грешака који се користе у анализи злонамерних датотека;
• искључите систем ако се пронађу програми за анализу злонамерних датотека;
• брисање датотека са локалних дискова;
• направите снимке екрана;
• онемогућите мере безбедности у Мицрософт Оффице производима.

У неком тренутку, нападачи су направили грешку и истраживачи из РеаКта су успели да добију коначну ИП адресу, која се налазила у Техерану. С обзиром на мете које је група напала, као и на циљеве везане за сајбер шпијунажу, стручњаци сугеришу да група представља интересе иранске владе.

Индикатори нападаЦ&Ц:

• гладииатор[.]тк
• 94.23.148[.]194
• 192.95.21[.]28
• 46.105.84[.]146
• 185.162.235[.]182

Фајлови:

• 09aabd2613d339d90ddbd4b7c09195a9
• cfa845995b851aacdf40b8e6a5b87ba7
• a61b268e9bc9b7e6c9125cdbfb1c422a
• f12bab5541a7d8ef4bbca81f6fc835a3
• a066f5b93f4ac85e9adfe5ff3b10bc28
• 8a004e93d7ee3b26d94156768bc0839d
• 0638adf8fb4095d60fbef190a759aa9e
• eed599981c097944fa143e7d7f7e17b1
• 21aebece73549b3c4355a6060df410e9
• 5c6148619abb10bb3789dcfb32f759a6

Турска под нападом

10. априла 2019, стручњаци Групе-ИБ открили су цурење поштанских адреса турске компаније АСЕЛСАН А.С, највеће компаније у области војне електронике у Турској. Њени производи укључују радаре и електронику, електрооптику, авионику, беспилотне системе, копнене, поморске, оружане и противваздушне системе.

Проучавајући један од нових узорака ПОВЕРСТАТС малвера, стручњаци Групе-ИБ утврдили су да је група нападача МуддиВатер као мамац користила уговор о лиценци између Коц Савунма, компаније која производи решења у области информационих и одбрамбених технологија, и Тубитака Билгема. , истраживачки центар за безбедност информација и напредне технологије. Контакт особа за Коц Савунма био је Тахир Танер Тıмıс, који је био на позицији менаџера програма у Коц Билги ве Савунма Текнолојилери А.С. од септембра 2013. до децембра 2018. Касније је почео да ради у АСЕЛСАН А.С.

Узорак документа за мамце
Након што корисник активира злонамерне макрое, ПОВЕРСТАТС бацкдоор се преузима на рачунар жртве.

Захваљујући метаподацима овог документа за превару (МД5: 0638adf8fb4095d60fbef190a759aa9e) истраживачи су успели да пронађу три додатна узорка који садрже идентичне вредности, укључујући датум и време креирања, корисничко име и листу макроа који се налазе:

• ЛистОфХацкедЕмаилс.доц (eed599981c097944fa143e7d7f7e17b1)
• асд.доц (21aebece73549b3c4355a6060df410e9)
• Ф35-Спецификације.доц (5c6148619abb10bb3789dcfb32f759a6)

Снимак екрана идентичних метаподатака различитих лажних докумената

Један од откривених докумената са именом ЛистОфХацкедЕмаилс.доц садржи листу од 34 адресе е-поште које припадају домену @аселсан.цом.тр.

Стручњаци Гроуп-ИБ су проверили адресе е-поште у јавно доступним цурењима и открили да је њих 28 компромитовано у раније откривеним цурењима. Провера мешавине доступних цурења показала је око 400 јединствених пријава повезаних са овим доменом и лозинки за њих. Могуће је да су нападачи користили ове јавно доступне податке за напад на АСЕЛСАН А.С.

Снимак екрана документа ЛистОфХацкедЕмаилс.доц

Снимак екрана листе са више од 450 откривених парова логин-лозинке у јавним цурењима
Међу откривеним узорцима налазио се и документ са насловом Ф35-Спецификације.доц, мислећи на борбени авион Ф-35. Документ о мамацу је спецификација за вишенаменски ловац-бомбардер Ф-35, у којој су назначене карактеристике и цена авиона. Тема овог документа за мамце директно се односи на одбијање САД да испоруче Ф-35 након куповине система С-400 од стране Турске и претњу преношења информација о Ф-35 Лигхтнинг ИИ Русији.

Сви добијени подаци указују да су главне мете сајбер напада МуддиВатер биле организације које се налазе у Турској.

Ко су Гладииатор_ЦРК и Нима Никјоо?

Раније, у марту 2019. године, откривени су злонамерни документи које је креирао један Виндовс корисник под надимком Гладииатор_ЦРК. Ови документи такође дистрибуирају ПОВЕРСТАТС бацкдоор и повезују се са Ц&Ц сервером са сличним именом гладииатор[.]тк.

Ово је можда учињено након што је корисник Нима Никјоо објавио на Твитеру 14. марта 2019. године, покушавајући да декодира замућени код повезан са МуддиВатер. У коментарима на овај твит, истраживач је рекао да не може да подели показатеље компромитовања овог малвера, јер су ове информације поверљиве. Нажалост, објава је већ избрисана, али трагови остају на мрежи:

Нима Никјоо је власник профила Гладииатор_ЦРК на иранским сајтовима за видео хостинг дидео.ир и видеои.ир. На овом сајту он демонстрира ПоЦ експлоатације за онемогућавање антивирусног софтвера различитих произвођача и заобилажење сандбокова. Нима Никјоо пише о себи да је специјалиста за мрежну безбедност, као и обрнути инжењеринг и аналитичар малвера који ради за МТН Иранцелл, иранску телекомуникациону компанију.

Снимак екрана сачуваних видео снимака у резултатима Гоогле претраге:

Касније, 19. марта 2019, корисник Нима Никјоо на друштвеној мрежи Твитер променио је свој надимак у Малваре Фигхтер, а такође је обрисао повезане постове и коментаре. Профил Гладииатор_ЦРК на видео хостингу дидео.ир је такође обрисан, као и на Јутјубу, а сам профил је преименован у Н Табризи. Међутим, скоро месец дана касније (16. априла 2019.), Твитер налог је поново почео да користи име Нима Никјоо.

Током студије, стручњаци Гроуп-ИБ открили су да је Нима Никјоо већ помињана у вези са сајбер криминалним активностима. У августу 2014, блог Иран Кхабарестан објавио је информације о појединцима повезаним са сајбер криминалном групом Ираниан Наср Институте. Једна истрага ФиреЕие наводи да је Институт Наср био извођач радова за АПТ33 и да је такође био умешан у ДДоС нападе на америчке банке између 2011. и 2013. у оквиру кампање под називом Операција Абабил.

Тако је у истом блогу поменут Нима Никју-Никјоо, који је развијао малвер да би шпијунирао Иранце, и његова адреса е-поште: гладииатор_црацкер@иахоо[.]цом.

Снимак екрана података који се приписују сајбер криминалцима из иранског Наср института:

Превод истакнутог текста на руски: Нима Никио – Програмер шпијунског софтвера – Е-пошта:.

Као што се може видети из ових информација, адреса е-поште је повезана са адресом коришћеном у нападима и корисницима Гладииатор_ЦРК и Нима Никјоо.

Поред тога, у чланку од 15. јуна 2017. наведено је да је Никџу био помало неопрезан у објављивању референци на Кавош безбедносни центар у својој биографији. Једи мишљењеда Кавош безбедносни центар подржава иранска држава за финансирање провладиних хакера.

Информације о компанији у којој је радио Нима Никјоо:

На ЛинкедИн профилу корисника Твитера Нима Никџо наводи се његово прво место запослења као Кавош безбедносни центар, где је радио од 2006. до 2014. године. Током свог рада проучавао је разне злонамерне програме, а такође се бавио обрнутим радом и замагљивањем.

Информације о компанији за коју је Нима Никјоо радио на ЛинкедИн-у:

Мутна вода и високо самопоштовање

Занимљиво је да група МуддиВатер пажљиво прати све извештаје и поруке стручњака за информациону безбедност објављене о њима, па чак и намерно испрва остављала лажне заставице како би одбацила истраживаче. На пример, њихови први напади довели су у заблуду стручњаке откривањем употребе ДНС Мессенгер-а, који се обично повезивао са ФИН7 групом. У другим нападима, убацили су кинеске низове у код.

Поред тога, група воли да оставља поруке истраживачима. На пример, није им се допало што је Касперски Лаб ставио МуддиВатер на 3. место у својој оцени претње за годину. У истом тренутку, неко - вероватно група МуддиВатер - је поставио ПоЦ експлоатације на ИоуТубе који онемогућава ЛК антивирус. Такође су оставили коментар испод чланка.

Снимци екрана видео снимка о онемогућавању Касперски Лаб антивируса и коментара испод:

Још увек је тешко донети недвосмислен закључак о умешаности „Нима Никџу“. Стручњаци Групе-ИБ разматрају две верзије. Нима Никјоо је, заиста, можда хакер из групе МуддиВатер, који је изашао на видело због свог немара и повећане активности на мрежи. Друга опција је да су га други чланови групе намерно „разоткрили“ како би одвратили сумњу од њих самих. У сваком случају, Гроуп-ИБ наставља своје истраживање и свакако ће извести своје резултате.

Што се тиче иранских АПТ-а, након низа цурења и цурења информација, они ће се вероватно суочити са озбиљним „дебрифингом“ – хакери ће бити приморани да озбиљно промене своје алате, очисте трагове и пронађу могуће „кртице“ у својим редовима. Стручњаци нису искључили да ће чак узети и тајм-аут, али су након кратке паузе поново настављени ирански АПТ напади.

Извор: ввв.хабр.цом