'MuddyWater' APT
'MuddyWater' APT là một nhóm tội phạm dường như có trụ sở tại Iran. APT là viết tắt của cụm từ “Mối đe dọa liên tục nâng cao”, một thuật ngữ được các nhà nghiên cứu bảo mật PC sử dụng để chỉ những loại nhóm tội phạm này. Ảnh chụp màn hình từ phần mềm độc hại được liên kết với APT 'MuddyWater' chỉ ra vị trí của họ đặt tại Iran và có thể được chính phủ của họ tài trợ. Các hoạt động chính của 'MuddyWater' APT dường như hướng tới các quốc gia khác ở Trung Đông. Các cuộc tấn công APT của 'MuddyWater' đã nhắm mục tiêu vào các đại sứ quán, nhà ngoại giao và quan chức chính phủ và có thể tập trung vào việc cung cấp cho họ một lợi thế chính trị xã hội. Các cuộc tấn công APT 'MuddyWater' trong quá khứ cũng đã nhắm vào các công ty viễn thông. APT 'MuddyWater' cũng có liên quan đến các cuộc tấn công cờ giả. Đây là những cuộc tấn công được thiết kế để trông như thể một tác nhân khác đã thực hiện chúng. Các cuộc tấn công cờ giả APT 'MuddyWater' trong quá khứ đã mạo danh Israel, Trung Quốc, Nga và các quốc gia khác, thường nhằm gây ra tình trạng bất ổn hoặc xung đột giữa nạn nhân và bên bị mạo danh.
Chiến thuật tấn công liên kết với Nhóm APT 'MuddyWater'
Các cuộc tấn công liên quan đến 'MuddyWater' APT bao gồm các email lừa đảo trực tuyến và khai thác các lỗ hổng zero day để xâm phạm nạn nhân của chúng. APT 'MuddyWater' được liên kết với ít nhất 30 địa chỉ IP riêng biệt. Họ cũng sẽ định tuyến dữ liệu của họ qua hơn bốn nghìn máy chủ bị xâm nhập, nơi các plugin bị hỏng cho WordPress đã cho phép họ cài đặt proxy. Cho đến nay, ít nhất 50 tổ chức và hơn 1600 cá nhân đã là nạn nhân của các cuộc tấn công liên quan đến 'MuddyWater' APT. Các cuộc tấn công APT 'MuddyWater' nhiều nhất đang nhắm mục tiêu vào người dùng thiết bị Android, cung cấp phần mềm độc hại cho nạn nhân trong nỗ lực xâm nhập vào thiết bị di động của họ. Do đặc điểm nổi bật của các mục tiêu của nhóm được nhà nước tài trợ này, nên hầu hết người dùng máy tính cá nhân sẽ không thấy mình bị xâm phạm bởi một cuộc tấn công APT 'MuddyWater'. Tuy nhiên, các biện pháp có thể giúp giữ an toàn cho người dùng máy tính trước các cuộc tấn công như 'MuddyWater' APT đều áp dụng chung cho hầu hết các nhóm tội phạm và phần mềm độc hại, bao gồm việc sử dụng phần mềm bảo mật mạnh, cài đặt các bản vá bảo mật mới nhất và tránh nội dung trực tuyến có vấn đề và tệp đính kèm email.
Các cuộc tấn công Android được liên kết với APT 'MuddyWater'
Một trong những công cụ tấn công mới nhất được sử dụng bởi 'MuddyWater' APT là một mối đe dọa phần mềm độc hại Android. Các nhà nghiên cứu bảo mật PC đã báo cáo ba mẫu phần mềm độc hại Android này, hai trong số đó dường như là phiên bản chưa hoàn thiện được tạo vào tháng 12 năm 2017. Cuộc tấn công gần đây nhất liên quan đến 'MuddyWater' APT đã bị loại bỏ bằng cách sử dụng một trang web bị xâm nhập ở Thổ Nhĩ Kỳ. Các nạn nhân của cuộc tấn công APT 'MuddyWater' này nằm ở Afghanistan. Giống như hầu hết các cuộc tấn công gián điệp 'MuddyWater' APT, mục đích của sự lây nhiễm này là để truy cập vào danh bạ, lịch sử cuộc gọi và tin nhắn văn bản của nạn nhân, cũng như truy cập thông tin GPS trên thiết bị bị nhiễm. Thông tin này sau đó có thể được sử dụng để gây hại cho nạn nhân hoặc trục lợi theo nhiều cách khác nhau. Các công cụ khác liên quan đến các cuộc tấn công APT 'MuddyWater' bao gồm Trojan cửa hậu tùy chỉnh. Ba backdoor tùy chỉnh riêng biệt đã được liên kết với APT 'MuddyWater':
1. Trojan cửa hậu tùy chỉnh đầu tiên sử dụng dịch vụ đám mây để lưu trữ tất cả dữ liệu liên quan đến cuộc tấn công APT 'MuddyWater'.
2. Trojan backdoor tùy chỉnh thứ hai dựa trên .NET và chạy PowerShell như một phần của chiến dịch của nó.
3. Cửa hậu tùy chỉnh thứ ba liên quan đến cuộc tấn công APT 'MuddyWater' dựa trên Delphi và được thiết kế để thu thập thông tin hệ thống của nạn nhân.
Sau khi thiết bị của nạn nhân bị xâm phạm, 'MuddyWater' APT sẽ sử dụng phần mềm độc hại và công cụ đã biết để tiếp quản máy tính bị nhiễm và thu thập dữ liệu họ cần. Những tên tội phạm là một phần của các cuộc tấn công APT 'MuddyWater' không phải là sai lầm. Có những trường hợp mã cẩu thả và dữ liệu bị rò rỉ đã cho phép họ xác định thêm về danh tính của những kẻ tấn công APT 'MuddyWater'.
