Iranska statligt stödda hackare har stora problem. Under hela vĂ„ren publicerade okĂ€nda personer «hemliga lĂ€ckor» pĂ„ Telegram â information om Iran-relaterade APT-grupper â OilRig och MuddyWater â deras verktyg, offer och kontakter. Men inte alla. I april upptĂ€ckte experter frĂ„n Group-IB en lĂ€cka med e-postadresser frĂ„n det turkiska företaget ASELSAN A.Ć, som tillverkar taktiska militĂ€rradioapparater och elektroniska försvarssystem för Turkiets vĂ€pnade styrkor. Anastasia Tikhonova, chef för forskningsgruppen för komplexa hot pĂ„ Group-IB, och Nikita Rostovtsev, junioranalytiker pĂ„ Group-IB, beskrev hur attacken mot ASELSAN A.Ć genomfördes och hittade en möjlig deltagare. MuddyWater.
Upplysning via Telegram
LÀckan av iranska APT-grupper började med att nÄgon Lab Dookhtegan kÀllkoder till sex verktyg frÄn APT34 (Àven kÀnd som OilRig och HelixKitten), avslöjade IP-adresser och domÀner som deltagit i operationerna samt information om 66 offren för hackarna, dÀribland företagen Etihad Airways och Emirates National Oil. Dessutom «lÀckte» Lab Dookhtegan information om tidigare operationer och uppgifter om anstÀllda vid Irans informations- och sÀkerhetsministerium, som pÄstÄs vara kopplade till gruppens operationer. OilRig Àr en Iran-relaterad APT-grupp som funnits sedan omkring 2014 och riktar sig mot statliga, finansiella och militÀra organisationer samt energiföretag och telekommunikationsföretag i Mellanöstern och Kina.
Efter avslöjandet av OilRig fortsatte lĂ€ckorna â information om en annan statligt stödd grupp frĂ„n Iran â MuddyWater, dök upp pĂ„ darknet och Telegram. Men till skillnad frĂ„n den första lĂ€ckan publicerades denna gĂ„ng inte kĂ€llkoder utan dumpningar som inkluderade skĂ€rmdumpar av kĂ€llkoder, kontrollservrar samt IP-adresser frĂ„n tidigare hackarens offer. Denna gĂ„ng tog hackarna Green Leakers pĂ„ sig ansvaret för lĂ€ckan om MuddyWater. De har flera Telegram-kanaler och webbplatser pĂ„ darknet dĂ€r de annonserar och sĂ€ljer data relaterade till MuddyWaters operationer.
Cyberspioner frÄn Mellanöstern
MuddyWater â Ă€r en grupp som har verkat sedan 2017 i lĂ€nderna i Mellanöstern. Till exempel, som specialister frĂ„n Group-IB rapporterade, genomförde hackare under perioden februari till april 2019 en serie phishingutskick, riktade mot statliga och utbildningsorganisationer, finans-, telekommunikations- och försvarsföretag i Turkiet, Iran, Afghanistan, Irak och Azerbajdzjan.
Gruppens medlemmar anvÀnder en backdoor av egen utveckling baserat pÄ PowerShell som kallas POWERSTATS. Den kan:
- samla in data om lokala och domÀnanvÀndarkonton, tillgÀngliga filservrar, interna och externa IP-adresser, namn och arkitektur för operativsystemet;
- utföra fjÀrrkörning av kod;
- ladda upp och ladda ner filer via C&C;
- identifiera nÀrvaron av debugger-program som anvÀnds vid analys av skadliga filer;
- stÀnga av systemet om program för analys av skadliga filer hittas;
- ta bort filer frÄn lokala diskar;
- ta skÀrmdumpar;
- stÀnga av skyddsÄtgÀrder i Microsoft Office-produkter.
Vid nÄgot tillfÀlle gjorde angriparna ett misstag och forskare frÄn företaget ReaQta lyckades fÄ tag pÄ den slutliga IP-adressen som lÄg i Teheran. Med tanke pÄ mÄlen som gruppen attackerade, samt deras uppgifter kopplade till cyberspionage, spekulerade specialister i att gruppen representerar intressen frÄn Irans regering.
AttackindikatorerC&C:
- gladiyator[.]tk
- 94.23.148[.]194
- 192.95.21[.]28
- 46.105.84[.]146
- 185.162.235[.]182
Filer:
- 09aabd2613d339d90ddbd4b7c09195a9
- cfa845995b851aacdf40b8e6a5b87ba7
- a61b268e9bc9b7e6c9125cdbfb1c422a
- f12bab5541a7d8ef4bbca81f6fc835a3
- a066f5b93f4ac85e9adfe5ff3b10bc28
- 8a004e93d7ee3b26d94156768bc0839d
- 0638adf8fb4095d60fbef190a759aa9e
- eed599981c097944fa143e7d7f7e17b1
- 21aebece73549b3c4355a6060df410e9
- 5c6148619abb10bb3789dcfb32f759a6
Turkiet i sikte
Den 10 april 2019 upptĂ€ckte specialister frĂ„n Group-IB lĂ€ckan av e-postadresser frĂ„n det turkiska företaget ASELSAN A.Ć â det största företaget inom militĂ€r elektronik i Turkiet. Bland dess produkter finns radarer och elektroniska medel, elektrooptik, avionik, obemannade system, mark-, marin- och vapensystem samt luftförsvarssystem.
Genom att studera ett av de nya exemplaren av skadlig programvara POWERSTATS, har experter frĂ„n Group-IB faststĂ€llt att gruppen av illvilliga aktörer MuddyWater anvĂ€nde ett licensavtal mellan Koç Savunma, ett företag som tillverkar lösningar inom informations- och försvarsteknik, och Tubitak Bilgem, ett forskningscentrum för informationssĂ€kerhet och avancerad teknik, som lockdokument. Som kontaktperson för Koç Savunma angavs Tahir Taner TımıĆ, som var Program Manager i Koç Bilgi ve Savunma Teknolojileri A.Ć. frĂ„n september 2013 till december 2018. Senare började han arbeta pĂ„ ASELSAN A.Ć.
Exempel pÄ lockdokument
Efter att anvÀndaren aktiverat de skadliga makrona, laddas bakdörren POWERSTATS ner till offrens dator.
Tack vare metadata frÄn detta lockdokument (MD5: 0638adf8fb4095d60fbef190a759aa9e) kunde forskarna hitta tre ytterligare exempel som innehöll identiska vÀrden, inklusive skapelsedatum och tid, anvÀndarnamn och en lista över makron som ingick:
- ListOfHackedEmails.doc (eed599981c097944fa143e7d7f7e17b1)
- asd.doc (21aebece73549b3c4355a6060df410e9)
- F35-Specifications.doc (5c6148619abb10bb3789dcfb32f759a6)
SkÀrmdump av identiska metadata frÄn olika lockdokument 
Ett av de upptÀckta dokumenten med namnet ListOfHackedEmails.doc innehÄller en lista med 34 e-postadresser som tillhör domÀnen @aselsan.com.tr.
Experter frĂ„n Group-IB har kontrollerat e-postadresserna mot offentligt tillgĂ€ngliga lĂ€ckor och upptĂ€ckte att 28 av dem hade komprometterats i tidigare identiteter. Granskning av en blandning av tillgĂ€ngliga lĂ€ckor visade pĂ„ omkring 400 unika anvĂ€ndarnamn kopplade till denna domĂ€n och deras lösenord. Det Ă€r möjligt att angriparna anvĂ€nde dessa data frĂ„n offentligheten för att attackera företaget ASELSAN A.Ć.
SkÀrmdump av dokumentet ListOfHackedEmails.doc 
SkÀrmdump av en lista med mer Àn 450 upptÀckta anvÀndarnamn-lösenordpar i offentliga lÀckor 
Bland de upptÀckta exemplen fanns ocksÄ ett dokument med namnet F35-Specifications.doc, som refererar till stridsflygplanet F-35. Lockdokumentet utgör en specifikation för multifunktions stridsflygplan med information om flygplanets egenskaper och priser. Temat för detta lockdokument relaterar direkt till USA:s vÀgran att leverera F-35 efter att Turkiet har köpt S-400-systemen och hotet om att överlÀmna information om F-35 Lightning II till Ryssland.
Alla insamlade data indikerade att det primÀra mÄlet för MuddyWater-cyberattackerna var organisationer belÀgna i Turkiet.
Vem Àr Gladiyator_CRK och Nima Nikjoo?
Tidigare, i mars 2019, upptÀcktes skadliga dokument skapade av en Windows-anvÀndare under namnet Gladiyator_CRK. Dessa dokument spred ocksÄ baksidan POWERSTATS och anslöts till en C&C-server med ett liknande namn. gladiyator[.]tk.
Det kan ha gjorts efter att Nima Nikjoo den 14 mars 2019 publicerade ett inlÀgg pÄ Twitter dÀr han försökte avkoda en obfuskad kod kopplad till MuddyWater. I kommentarerna till detta tweet sade forskaren att han inte kan dela med sig av indikatorer pÄ kompromiss för denna skadliga programvara, eftersom informationen Àr konfidentiell. TyvÀrr har inlÀgget tagits bort, men det finns spÄr av det kvar pÄ nÀtet:
Nima Nikjoo Ă€r Ă€garen av profilen Gladiyator_CRK pĂ„ iranska videoplattformar dideo.ir och videoi.ir. PĂ„ denna webbplats visar han PoC-exploateringar för att stĂ€nga av antivirusprogram frĂ„n olika leverantörer och kringgĂ„ sandbox-miljöer. Om sig sjĂ€lv skriver Nima Nikjoo att han Ă€r specialist inom nĂ€tverkssĂ€kerhet, samt reverse engineer och analys av skadlig programvara, som arbetar pĂ„ MTN Irancell â ett iranskt telekommunikationsföretag.
SkÀrmdump av sparade videor i Googles sökresultat:
Senare, den 19 mars 2019, Àndrade Nima Nikjoo sitt anvÀndarnamn pÄ Twitter till Malware Fighter och tog ocksÄ bort relaterade inlÀgg och kommentarer. Profilen Gladiyator_CRK pÄ videoplattformen dideo.ir togs ocksÄ bort, liksom pÄ YouTube, och profilen döptes om till N Tabrizi. Men nÀstan en mÄnad senare (16 april 2019) började Twitter-kontot Äterigen anvÀnda namnet Nima Nikjoo.
Under sin forskning upptÀckte specialister frÄn Group-IB att Nima Nikjoo redan hade omnÀmnts i samband med cyberbrottslighet. I augusti 2014 publicerades information i bloggen Iran Khabarestan om personer kopplade till den cyberkriminella gruppen Iranian Nasr Institute. I en av FireEyes studier nÀmndes det att Nasr Institute var kontraktör till APT33 och deltog ocksÄ i DDoS-attacker mot amerikanska banker mellan 2011 och 2013 som en del av en kampanj kallad Operation Ababil.
I den hÀr bloggen nÀmndes Nima Nikju-Nikjoo, som utvecklade skadlig programvara för att spionera pÄ iranier, och hans e-postadress: gladiyator_cracker@yahoo[.]com.
SkÀrmdump pÄ data kopplad till cyberbrottslingar frÄn Iranian Nasr Institute:
ĂversĂ€ttning av det markerade till svenska: Nima Nikjoo â Utvecklare av spionprogram â E-postadress:.
Som framgÄr av denna information har e-postadressen kopplingar till den adress som anvÀndes i attackerna, samt anvÀndarna Gladiyator_CRK och Nima Nikjoo.
Dessutom nÀmndes i en artikel den 15 juni 2017 att Nikjoo hade varit nÄgot slarvig och publicerat lÀnkar till Kavosh Security Center i sitt CV. Det finns , att Kavosh Security Center stöds av den iranska staten för att finansiera pro-regeringshackare.
Information om företaget dÀr Nima Nikjoo arbetade:
I Nima Nikjoos LinkedIn-profil anges Kavosh Security Center som hans första arbetsplats, dÀr han arbetade frÄn 2006 till 2014. Under sin tid dÀr studerade han olika skadliga program och arbetade med omvÀnd engineering och relaterade uppgifter med obfuskering.
Information om företaget dÀr Nima Nikjoo arbetade pÄ LinkedIn:
MuddyWater och överdriven sjÀlvkÀnsla
Intressant nog övervakar MuddyWater-gruppen noga alla rapporter och meddelanden frÄn cybersÀkerhetsexperter, och de lÀmnade specifikt först falska flaggor för att vilseleda forskare. Till exempel ledde deras tidiga attacker experter pÄ villovÀgar, eftersom anvÀndningen av DNS Messenger upptÀcktes, vilket vanligtvis kopplades till gruppen FIN7. I andra attacker infogade de kinesiska strÀngar i koden.
Dessutom Àlskar gruppen att lÀmna meddelanden till forskarna. Till exempel gillade de inte att "Kaspersky Lab" placerade MuddyWater pÄ tredje plats i sin hotranking för Äret. Samtidigt laddade nÄgon, troligtvis MuddyWater-gruppen, upp ett PoC-exploatör pÄ YouTube som stÀngde av Kasperskys antivirus. De lÀmnade Àven en kommentar under artikeln.
SkÀrmdumpar frÄn videon om att stÀnga av "Kaspersky Labs" antivirus och kommentaren under den:
Det Àr fortfarande svÄrt att dra en entydig slutsats om involveringen av «Nima Nikjoo». Experter frÄn Group-IB övervÀger tvÄ teorier. Nima Nikjoo kan faktiskt vara hackern frÄn gruppen MuddyWater, som har avslöjats pÄ grund av sin brist pÄ försiktighet och ökade aktivitet pÄ nÀtet. Det andra alternativet Àr att han medvetet har blivit "exponerad" av andra medlemmar i gruppen för att avleda misstankar frÄn sig sjÀlva. Oavsett vilket fortsÀtter Group-IB sin undersökning och kommer att rapportera om dess resultat.
NĂ€r det gĂ€ller de iranska APT:erna, efter en serie lĂ€ckor och exponeringar, kommer de sannolikt att stĂ„ inför en allvarlig "genomgĂ„ng" â hackarna kommer att tvingas göra betydande Ă€ndringar i sina verktyg, rensa sina spĂ„r och hitta eventuella "rĂ„ttor" i sina led. Experter har inte uteslutit att de till och med kan ta en paus, men efter en kort period avbröts den iranska APT:s attacker igen.
KĂ€lla: habr.com
