Iranische APT-Gruppe MuddyWater dringt in US-Netzwerke ein

Zusammenfassung

Die iranische APT-Gruppe MuddyWater hat sich nach Angaben des Symantec- und Carbon-Black-Teams von Broadcom in die Netzwerke mehrerer US-Organisationen eingenistet. Betroffen sind den Sicherheitsforschern zufolge ein Flughafen, eine Bank, eine in den USA und Kanada tätige Nichtregierungsorganisation sowie ein Softwareunternehmen mit Präsenz in Israel. Bei einem der Ziele handelt es sich um einen Zulieferer aus der Luft- und Raumfahrt- sowie Rüstungsbranche. Die Angriffe werden seit Februar beobachtet und zeigen laut den Experten, dass die iranischen Angreifer bereits vor Beginn der jüngsten Auseinandersetzungen in den Netzwerken US-amerikanischer Einrichtungen präsent waren. Nach Darstellung von Broadcom setzte sich die Aktivität der Gruppe "in den vergangenen Tagen nach US-amerikanischen und israelischen Militärschlägen gegen den Iran, die einen Konflikt in der Region ausgelöst haben", fort. Die israelische Präsenz des kompromittierten Softwareunternehmens macht dieses für MuddyWater zu einem Ziel von besonderem Interesse. Die beobachteten Aktivitäten wurden inzwischen unterbrochen, doch weitere Organisationen könnten weiterhin gefährdet sein, warnt das Team von Symantec und Carbon Black.

Im Rahmen der Kampagne brachte MuddyWater nach Angaben der Broadcom-Sicherheitsforscher eine neue Backdoor mit dem Namen Dindoor in die Netzwerke der israelischen Niederlassung des Softwarezulieferers, der US-Bank und der kanadischen NGO ein. Die Schadsoftware ist mit einem Zertifikat signiert, das auf den Namen “Amy Cherne” ausgestellt wurde. Aus der israelischen Niederlassung des Softwareunternehmens versuchte die Gruppe zudem, Daten abzuziehen.

Darüber hinaus entdeckte das Cybersicherheitsteam von Broadcom eine in Python geschriebene Backdoor namens Fakeset in den Netzwerken eines US-Flughafens und einer gemeinnützigen Organisation. Auch sie war mit einem “Amy Cherne”-Zertifikat sowie mit einem auf “Donald Gay” ausgestellten Zertifikat signiert, das bereits bei früheren MuddyWater-Angriffen zum Einsatz kam.

Die beobachtete Aktivität sei gestört worden, andere Organisationen könnten jedoch weiterhin kompromittiert werden, so das Symantec- und Carbon-Black-Team. “Auch wenn nicht bekannt ist, ob die Operationen von Seedworm durch den aktuellen Konflikt beeinträchtigt werden, bedeutet die bereits vor Beginn der derzeitigen Feindseligkeiten bestehende Präsenz in US-amerikanischen und israelischen Netzwerken, dass sich die Gruppe in einer potenziell gefährlichen Position für die Durchführung von Angriffen befindet”, merken die Experten an.

MuddyWater ist mindestens seit 2017 aktiv und wird auch unter den Bezeichnungen Mango Sandstorm, Mercury, Seedworm und Static Kitten geführt. Die USA haben die Gruppe offiziell mit dem iranischen Ministerium für Geheimdienst und Sicherheit (MOIS) in Verbindung gebracht.

Die Gruppe ist dafür bekannt, im Rahmen von Spionageoperationen Ziele im Nahen Osten anzugreifen. Im vergangenen Jahr setzte sie während des Konflikts zwischen Israel und Iran aktualisierte Android-Spyware ein. Ebenfalls im vergangenen Jahr beschrieb Amazon die Beteiligung der APT an cybergestützter kinetischer Zielerfassung: Dabei drang die Gruppe in Live-CCTV-Streams aus Jerusalem ein, um einen Raketenangriff zu unterstützen.

Iranische APT-Gruppe MuddyWater dringt in US-Netzwerke ein

Ähnliche Artikel

Neueste Artikel