Negli ultimi mesi, il gruppo di hacker noto come MuddyWater, legato all'Iran, ha intensificato le sue azioni di cyber spionaggio contro diversi settori israeliani, tra cui università, enti pubblici, aziende tecnologiche, trasporti e utilities. L'elemento centrale di questa nuova ondata di attacchi è l'uso di MuddyViper, un backdoor mai documentato prima, in grado di fornire agli aggressori un accesso persistente, furtivo e completo ai sistemi compromessi. Il gruppo, attivo dal 2017, è affiliato al Ministero dell’Intelligence iraniano e conosciuto per campagne distruttive contro infrastrutture critiche nella regione mediorientale.

Le tecniche di attacco e i nuovi strumenti malevoli

Le tecniche di attacco privilegiate da MuddyWater comprendono spear-phishing e sfruttamento di vulnerabilità note su VPN, permettendo così di distribuire strumenti di amministrazione remota apparentemente legittimi. Dal 2024, le campagne di phishing hanno diffuso anche il backdoor BugSleep, mentre MuddyViper rappresenta l’ultima evoluzione del loro arsenale malevolo, distribuito tramite un loader denominato Fooder. Quest’ultimo è progettato per decriptare ed eseguire MuddyViper, ma può anche installare proxy di tunneling e strumenti open source per il furto di dati dai browser, ad eccezione di Safari su macOS.

Funzionalità di MuddyViper e altri tool impiegati

MuddyViper consente agli hacker di raccogliere informazioni di sistema, eseguire file e comandi, trasferire file e sottrarre credenziali di accesso e dati dai browser. Supporta ben 20 comandi diversi, offrendo agli attaccanti un controllo avanzato e invisibile sui computer infetti. Le varianti di Fooder spesso si mascherano da classico gioco Snake e utilizzano esecuzione ritardata per eludere i controlli di sicurezza. Oltre a MuddyViper, MuddyWater utilizza altri tool come VAXOne, backdoor che impersona servizi noti, e vari stealer come CE-Notes, Blub e LP-Notes, tutti focalizzati sul furto di dati sensibili e credenziali.

Scenario globale e minaccia iraniana

Questa campagna riflette un salto di maturità operativa dell’intero gruppo, che ora punta a una maggiore furtività, persistenza e raccolta di dati d’accesso. Sullo sfondo di questi attacchi si colloca anche la recente fuga di informazioni su Charming Kitten, altro gruppo iraniano, che ha rivelato dettagli su infrastrutture e metodologie di cyber-intelligence di Teheran. I leak mostrano una struttura gerarchica burocratizzata, con procedure di monitoraggio delle performance e sviluppo costante di nuove armi digitali, a conferma di quanto la minaccia cyber iraniana sia oggi uno degli elementi più dinamici e pericolosi nello scenario globale.