admin
Investigadores de la firma de ciberseguridad Rapid7 han advertido de que un grupo de actores de amenazas vinculados al Gobierno iraní ha estado usando el ransomware Chaos como ‘tapadera’ para realizar ataques de ‘falsa bandera’.
Los expertos analizaron un ataque perpetrado a principios de este año, descubriendo que aunque los atacantes exigieron un rescate económico y publicaron supuestos datos robados en la página de filtraciones de la dark web en realidad nunca llegaron a cifrar dichos archivos.
Sin embargo, su modus operandi mostraba más bien un comportamiento más asociado al espionaje, con robo de credenciales, persistencia dentro de la red y recopilación de inteligencia.
Rapid7 ha hallado indicios de que tras la operación se encontraría MuddyWater (también conocido con los alias de Seedworm o Mango Sandstorm), un grupo APT asociado al Ministerio de Inteligencia y Seguridad de Irán (MOIS).
Los ciberdelincuentes comenzaron su ataque sirviéndose de ingeniería social a través de Microsoft Teams. Así, lograron convencer a empleados para compartir pantalla, introducir sus credenciales en archivos de texto e incluso modificar configuraciones de autenticación multifactor (MFA) para conseguir el acceso.
Los investigadores llegaron a detectar varias pistas técnicas que conectaban con el mencionado APT iraní, como ciertos dominios de comando y control previamente usados por el grupo y técnicas ya observadas en operaciones anteriores.
Simplemente, los actores de amenazas usaron la marca Chaos para desviar la atención y tratar de complicar la atribución del ataque, buscando también retasar la detección de sus mecanismos de persistencia implantados en los sistemas.
La unión hace la fuerza
No obstante, desde Rapid7 no descartan que los actores de amenazas vinculados a Teherán también pudieran haber colaborado de alguna manera con operadores de ransomware.
Esto último encajaría perfectamente con los avisos datos previamente por agencias estadounidenses como el FBI, la CISA o el Departamento de Defensa, quienes habían señalado anteriormente que actores iraníes pueden llegar a establecer una entente cordiale con estas bandas mientras desarrollan actividades de espionaje paralelas.
