Las autoridades estadounidenses han identificado explícitamente, por primera vez, al prolífico grupo de hackers MuddyWater como una entidad patrocinada por el Estado iraní, revelando varias herramientas de código abierto utilizadas por el grupo para atacar a sus víctimas.
La Fuerza de Misión Cibernética Nacional del Mando de EE.UU. dijo en un post, que los actores asociados a MuddyWater son «un elemento subordinado dentro del Ministerio de Inteligencia y Seguridad iraní (MOIS)».
Según el Servicio de Investigación del Congreso (CRS), el MOIS «lleva a cabo la vigilancia interna para identificar a los opositores al régimen». También «vigila a los activistas contrarios al régimen en el extranjero a través de su red de agentes situados en las embajadas de Irán», dijo el CRS.
Entre las herramientas atribuidas al grupo iraní de APT había variantes del cargador lateral PowGoop DLL. Estos se utilizan «para engañar a los programas legítimos para que ejecuten malware y ofuscar los scripts de PowerShell para ocultar las funciones de comando y control», señaló el puesto.
El Comando Cibernético de EE.UU. también señaló varias muestras de JavaScript utilizadas para establecer conexiones con la infraestructura maliciosa y una puerta trasera Mori utilizada para el túnel DNS para comunicarse con los servidores de comando y control.
MuddyWater es más conocido por sus ataques a objetivos en Oriente Medio, incluidos los sectores de las telecomunicaciones, el gobierno y el petróleo. Sin embargo, anteriormente ha detectado ataques a víctimas en Europa y Norteamérica.