Investigadores de Rapid7 detectaron que el grupo iraní MuddyWater simuló ser la banda de ransomware Chaos para encubrir una operación de ciberespionaje. Los atacantes utilizaron phishing y manipulación social para robar credenciales y extraer datos sensibles sin cifrar archivos ni pedir rescate. Esta táctica de bandera falsa busca desviar la atención de los defensores y dificultar la atribución del ataque al estado iraní.

Investigadores de Rapid7 afirman haber detectado lo que creen que es una unidad de ciberinteligencia iraní haciéndose pasar por la banda de ransomware Chaos para ocultar una operación de espionaje patrocinada por el estado.

La intrusión fue detectada a principios de este año, y los investigadores señalan que las pistas dejadas les otorgan una "confianza media" al afirmar que se trató del trabajo de MuddyWater, que ha sido vinculado con intrusiones que afectan a redes gubernamentales y bancarias occidentales en los últimos meses.

Los atacantes comenzaron con una campaña de phishing de Microsoft Teams, lo cual no es inusual. También animaron a los objetivos a compartir sus pantallas. De nuevo, no hubo nada fuera de lo común.

Sin embargo, lo que debió requerir un trabajo de persuasión experto fue que convencieron a estas personas a introducir sus credenciales en archivos de texto locales, e incluso a modificar la configuración de MFA para permitir que dispositivos controlados por el atacante completaran la autenticación.

Los investigadores de Rapid7, Alexandra Blia e Ivan Feigl, escribieron aquí: "Mientras estaban conectados, el [actor de la amenaza (TA)] ejecutó comandos básicos de descubrimiento, accedió a archivos relacionados con la configuración de la VPN de la víctima e instruyó a los usuarios a introducir sus credenciales en archivos de texto creados localmente.

"En al menos un caso, el TA también desplegó una herramienta de gestión remota (AnyDesk) para facilitar aún más el acceso".

A partir de ahí, los artefactos del navegador sugirieron que los atacantes sustrajeron credenciales a través de páginas de phishing. Al menos una imitaba una página de Microsoft Quick Assist.

Armados con credenciales válidas, los atacantes ejecutaron diversos comandos a través de RDP, que descargaron cargas útiles mediante curl. Estas cargas incluían un malware de puerta trasera denominado Darkcomp, un cargador malicioso de Microsoft WebView2 para disfrazar el tráfico y un archivo de configuración cifrado que enviaba instrucciones a Darkcomp.

Luego fue cuestión de realizar un movimiento lateral utilizando cuentas comprometidas adicionales y recolectando datos sensibles en el camino.

Los atacantes utilizaron las mismas cuentas para enviar correos electrónicos internos notificando a los líderes de la organización sobre la intrusión y el robo de datos, e incluyeron un enlace onion que dirigía al sitio de filtración de datos (DLS) del ransomware Chaos, donde apareció una entrada correspondiente con todos los datos redactados y ocultos tras un temporizador de cuenta regresiva.

Los correos electrónicos de seguimiento pretendían crear la ilusión de un ataque de ransomware genuino, aunque la ilusión duró poco.

Los atacantes instruyeron a los destinatarios a buscar un archivo que contenía "credenciales de acceso" que podrían utilizar para iniciar las negociaciones del rescate. A diferencia de los archivos de credenciales en texto plano que los atacantes habían logrado que los objetivos originales crearan mediante ingeniería social, este archivo en realidad no existía. No había forma de contactar con los atacantes, mientras que en un escenario típico los intrusos buscarían un pago.

Tampoco hubo cifrado de archivos, lo cual es inconsistente con la forma habitual de trabajar de los afiliados de Chaos.

"A pesar de estas inconsistencias en la prueba inicial de compromiso, el TA publicó posteriormente los datos robados en su DLS siguiendo las tácticas de extorsión modernas", escribieron Blia y Feigl. "Se evaluó que los datos filtrados eran legítimos".

Si no es por beneficio financiero, ¿entonces qué?

MuddyWater – si es que efectivamente es el grupo detrás de esto – no extorsionó a las organizaciones en cuestión, ni desplegó una carga de ransomware, pero sí se hizo pasar por un grupo de ransomware establecido.

Rapid7 cree que el grupo hizo esto como una extensión de sus operaciones de falsa bandera para proporcionar un frente plausible para la actividad de ciberespionaje, o un trabajo de posicionamiento para sustentar potenciales ciberataques destructivos.

No sería la primera vez que se descubre a MuddyWater o a la inteligencia iraní (MOIS) actuando como una banda de ransomware. Ambos han sido vinculados anteriormente a un ataque contra un hospital israelí.

"Tras la posterior atribución pública de ese incidente al MOIS, es plausible que el grupo adoptara una marca de ransomware alternativa, en este caso Chaos, en un esfuerzo por reducir el riesgo de atribución y mantener un grado de denegación plausible", dijeron los investigadores.

Los beneficios únicos de hacerse pasar por criminales de ransomware incluyen enturbiar la atribución de los ataques al dejar pistas de ransomware, así como redirigir los esfuerzos defensivos hacia la localización de signos de despliegue de ransomware en lugar de las puertas traseras que sustentan la actividad de espionaje.

Fuente:
THN