Cibercriminosos iranianos distribuem ferramenta de acesso remoto MSP através de contas de email

O grupo de hackers MuddyWater lançou uma nova campanha de forma a comprometer a segurança de várias contas ao distribuir a ferramenta de acesso remoto MSP.

De acordo com o site Malwarebytes, o grupo é suspeito de ter ligações ao ministério da Inteligência e da Segurança iraniano. Entre os alvos encontram-se organizações governamentais e privadas dos mais diversos setores, entre eles telecomunicações, defesa e gás natural. Os países mais afetados por esta campanha são a Arménia, o Azerbaijão, o Egito, o Iraque, a Jordânia, Omã, Catar, Tajiquistão e Emirados Árabes Unidos.

Um dos ataques mais comuns do grupo passa pelo envio de emails phishing com links para o malware em serviços como a Dropbox e a Onehub. Estes emails são enviados a partir de contas fidedignas que representam uma confiança camuflada, uma vez que as vítimas acabam por conhecer a empresa ou até mesmo a alegada pessoa que enviou o email. Quando descarregados, os anexos contêm um instalador de uma ferramenta de acesso remoto que permitem o controlo do computador à distância e através de outra máquina.

Desta forma, são instalados frequentemente provedores de serviços gerenciados (MSP’s) para controlar remotamente os sistemas dos clientes. Na atual campanha, a MuddyWater usou o Syncro, uma plataforma de negócios integrada para MSP’s onde, através da versão teste, o que o agente malicioso distribui contém todas as funcionalidades para obter o controlo de um computador onde está o Syncro instalado, inclui acesso completo ao sistema de ficheiros, acesso remoto ao desktop e serviços de gestão.