Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Grupa MuddyWater, znana również jako Seedworm lub Static Kitten, została powiązana z kolejną kampanią cyberwywiadowczą wymierzoną w organizacje o wysokiej wartości operacyjnej i strategicznej. Tym razem celem miał być duży producent elektroniki z Korei Południowej, co wpisuje się w szerszy trend działań APT ukierunkowanych na kradzież informacji przemysłowych, danych uwierzytelniających oraz utrzymanie długotrwałego dostępu do środowisk ofiar.
Tego rodzaju operacje nie są nastawione na natychmiastowy efekt destrukcyjny. Ich głównym celem jest ciche pozyskiwanie informacji, rozpoznanie infrastruktury i stworzenie warunków do dalszych działań szpiegowskich lub ataków na powiązane podmioty.
W skrócie
Według ustaleń badaczy atak przypisany MuddyWater objął co najmniej dziewięć organizacji z różnych sektorów i państw. Wśród ofiar znalazły się podmioty rządowe, infrastrukturalne, edukacyjne oraz przemysłowe.
- Atak miał być prowadzony przez około tydzień w lutym 2026 roku.
- W kampanii wykorzystano DLL sideloading, PowerShell oraz komponenty Node.js.
- Zaobserwowano kradzież poświadczeń, rekonesans hostów i domen oraz tunelowanie ruchu.
- Szczególnie istotne było nadużycie legalnych narzędzi i podpisanych binariów, co utrudnia wykrycie incydentu.
Kontekst / historia
MuddyWater od lat pozostaje jedną z najlepiej rozpoznanych grup prowadzących operacje cyberwywiadowcze przypisywane Iranowi. Zespół ten był wielokrotnie opisywany przez instytucje rządowe i firmy bezpieczeństwa jako aktor wykorzystujący zarówno własne narzędzia, jak i publicznie dostępne frameworki oraz techniki typu living off the land.
Historycznie aktywność grupy koncentrowała się głównie na Bliskim Wschodzie, jednak obserwacje z ostatnich kampanii wskazują na rosnącą ekspansję geograficzną i większą dojrzałość operacyjną. Atak na producenta elektroniki z Korei Południowej jest szczególnie istotny, ponieważ sektor ten stanowi atrakcyjny cel z perspektywy kradzieży własności intelektualnej, danych badawczo-rozwojowych oraz informacji o łańcuchu dostaw.
Dostęp do środowiska dużego producenta może dodatkowo otworzyć drogę do kolejnych operacji wymierzonych w partnerów biznesowych, klientów i dostawców. Z punktu widzenia napastnika taki incydent ma więc wartość nie tylko szpiegowską, ale także operacyjną.
Analiza techniczna
Z technicznego punktu widzenia kampania opierała się na zestawie dobrze znanych, lecz nadal bardzo skutecznych technik unikania wykrycia i utrzymania dostępu. Jednym z kluczowych elementów był DLL sideloading, czyli uruchamianie złośliwych bibliotek DLL za pośrednictwem legalnych i podpisanych plików wykonywalnych. Taki mechanizm zwiększa wiarygodność procesu i utrudnia wykrycie przez systemy ochronne.
Załadowane biblioteki miały zawierać narzędzia posteksploatacyjne służące do przejmowania danych zapisanych w przeglądarkach opartych na Chromium. To ważny aspekt operacji, ponieważ dostęp do zapisanych haseł, ciasteczek sesyjnych i innych artefaktów przeglądarkowych może umożliwić przejęcie kont, lateral movement oraz dalszą eskalację dostępu bez konieczności natychmiastowego wdrażania głośnego malware.
PowerShell pozostawał centralnym elementem całego łańcucha działań. Skrypty były używane do prowadzenia rekonesansu hosta i domeny, enumeracji rozwiązań ochronnych z wykorzystaniem WMI, wykonywania zrzutów ekranu, pobierania kolejnych ładunków, kradzieży poświadczeń, ustanawiania trwałości oraz tworzenia tuneli SOCKS5.
Badacze zwrócili uwagę, że sterowanie ładunkami nie odbywało się wyłącznie z poziomu PowerShella. W kampanii wykorzystywano także loadery oparte na Node.js, co wskazuje na modularność infekcji i próbę rozdzielenia logiki sterującej od wykonawczej. Taki model utrudnia analizę behawioralną i korelację zdarzeń.
W przypadku południowokoreańskiego producenta elektroniki działania intruza miały przebiegać od 20 do 27 lutego 2026 roku. W początkowej fazie przeprowadzono rozpoznanie środowiska, po czym wdrożono techniki nastawione na pozyskanie poświadczeń. Wśród zaobserwowanych metod znalazły się fałszywe okna systemowe Windows służące do wyłudzania danych logowania, kradzież gałęzi rejestru SAM, SECURITY i SYSTEM oraz użycie narzędzi związanych z nadużywaniem biletów Kerberos.
Trwałość utrzymywano przez modyfikacje rejestru, natomiast komunikacja beaconingowa miała odbywać się w interwałach około 90 sekund. Reaktywacja komponentów sideloadowanych sugeruje, że operatorzy chcieli utrzymać dostęp nawet w przypadku częściowego zakłócenia działania implantów. Do eksfiltracji danych wykorzystano również publiczną usługę udostępniania plików, co mogło pomóc w ukryciu ruchu jako pozornie legalnej aktywności sieciowej.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takich operacji jest długotrwała i trudna do wykrycia utrata poufności danych. W przypadku producenta elektroniki zagrożenie nie ogranicza się wyłącznie do pojedynczych kont użytkowników czy dokumentów biurowych. Stawką mogą być kluczowe zasoby biznesowe i technologiczne.
- projekty produktów,
- dane badawczo-rozwojowe,
- dokumentacja techniczna,
- informacje o procesach produkcyjnych,
- dane partnerów i kontrahentów,
- poświadczenia umożliwiające dalsze ataki na łańcuch dostaw.
Szczególnie niebezpieczne jest połączenie legalnych narzędzi, podpisanych binariów i powszechnie używanych usług internetowych. Taka aktywność często nie generuje klasycznych wskaźników kompromitacji kojarzonych z głośnym malware, przez co może pozostać niezauważona przez długi czas.
Dodatkowe ryzyko wiąże się z kradzieżą danych z przeglądarek, ponieważ umożliwia ona przejmowanie aktywnych sesji i częściowe omijanie zabezpieczeń opartych na wieloskładnikowym uwierzytelnianiu. Z perspektywy biznesowej incydent tego typu może skutkować stratami finansowymi, utratą przewagi konkurencyjnej, konsekwencjami regulacyjnymi oraz koniecznością odbudowy zaufania w relacjach z partnerami.
Rekomendacje
Organizacje z sektora produkcyjnego, technologicznego i infrastrukturalnego powinny potraktować ten incydent jako wyraźny sygnał do przeglądu swoich zdolności detekcyjnych i reagowania. Priorytetem powinno być wykrywanie działań posteksploatacyjnych prowadzonych przy użyciu legalnych narzędzi administracyjnych.
- Wzmocnić monitoring PowerShell, WMI oraz procesów potomnych uruchamianych przez legalne binaria.
- Wdrożyć reguły detekcji DLL sideloadingu, zwłaszcza dla podpisanych aplikacji uruchamianych z nietypowych katalogów.
- Korelować zdarzenia związane z dostępem do danych przeglądarkowych oraz odczytem gałęzi rejestru SAM, SECURITY i SYSTEM.
- Ograniczyć możliwość uruchamiania nieautoryzowanych skryptów i interpreterów, w tym PowerShella oraz środowisk Node.js tam, gdzie nie są wymagane biznesowo.
- Przeprowadzić audyt mechanizmów trwałości, takich jak wpisy rejestru, autostart, usługi i zadania harmonogramu.
- Analizować ruch wychodzący do publicznych usług udostępniania plików i innych potencjalnych kanałów eksfiltracji.
- Wzmocnić ochronę poświadczeń, segmentację sieci i model najmniejszych uprawnień.
- Ograniczyć przechowywanie haseł i tokenów w przeglądarkach, zwłaszcza na stacjach o podwyższonym poziomie dostępu.
- Po incydencie rotować poświadczenia, unieważniać aktywne sesje i ponownie wystawiać dostęp do systemów krytycznych.
- Prowadzić threat hunting pod kątem beaconingu o stałych interwałach oraz nietypowego uruchamiania podpisanych plików wykonywalnych.
W środowiskach o wysokiej wartości operacyjnej warto dodatkowo rozważyć izolację stacji administracyjnych, wdrożenie EDR lub XDR z rozbudowaną telemetrią procesową oraz detekcję opartą na zachowaniach zamiast wyłącznie na sygnaturach.
Podsumowanie
Kampania przypisywana grupie MuddyWater pokazuje, że współczesne operacje cyberwywiadowcze coraz częściej opierają się na cichych, wieloetapowych działaniach wykorzystujących legalne narzędzia i techniki trudne do odróżnienia od zwykłej aktywności administracyjnej. Atak na dużego producenta elektroniki z Korei Południowej podkreśla znaczenie ochrony własności intelektualnej, monitorowania działań posteksploatacyjnych oraz budowy zdolności do wykrywania nadużyć związanych ze skryptami, przeglądarkami i zaufanymi binariami.
Dla zespołów bezpieczeństwa najważniejsza lekcja jest prosta: brak ransomware lub destrukcyjnego malware nie oznacza niskiego ryzyka. W wielu przypadkach oznacza to po prostu dobrze ukrytą i metodycznie prowadzoną operację szpiegowską.
Źródła
- https://www.bleepingcomputer.com/news/security/iranian-hackers-targeted-major-south-korean-electronics-maker/
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-055a
- https://www.cisa.gov/sites/default/files/publications/AA22-055A_Iranian_Government-Sponsored_Actors_Conduct_Cyber_Operations.pdf