ESET : Le Groupe Iranien MuddyWater Intensifie ses Attaques – Israël et Égypte Ciblé par une Nouvelle Backdoor Inédite

Une nouvelle opération de cyberespionnage ciblant Israël et l’Égypte

Les chercheurs d’ESET ont détecté une campagne inédite menée par MuddyWater, groupe de cyberespionnage aligné sur les intérêts de l’Iran. Les attaques visent principalement des infrastructures critiques et des organisations israéliennes, tandis qu’une victime a également été confirmée en Égypte. En Israël, les secteurs touchés comprennent la technologie, l’ingénierie, l’industrie/manufacture, les administrations locales et l’éducation.

MuddyWater, également connu sous les noms Mango Sandstorm ou TA450, reste l’un des groupes les plus actifs au Moyen-Orient. Historiquement lié au ministère iranien du Renseignement et de la Sécurité nationale, il mène régulièrement des opérations persistantes contre des gouvernements et des infrastructures stratégiques.

MuddyViper : une backdoor avancée pour renforcer furtivité et persistance

Cette nouvelle campagne se distingue par l’introduction d’un arsenal inédit, conçu pour améliorer la furtivité et la persistance. Au cœur de ces outils, MuddyViper, une backdoor capable de :

• Collecter des informations système
• Exécuter des commandes distantes
• Transférer des fichiers
• Exfiltrer les identifiants Windows et les données des navigateurs

La présence de voleurs d’identifiants supplémentaires et du chargeur évolué Fooder, déguisé en jeu Snake, renforce l’accès initial et la capacité d’exfiltration.

Spearphishing et utilisation de plateformes légitimes

L’accès initial repose sur des campagnes de spearphishing intégrant des PDF piégés. Ces documents redirigent vers des installateurs RMM (Remote Monitoring & Management) hébergés sur des services légitimes tels que :

• OneHub
• Egnyte
• Mega

Les liens permettent de télécharger des outils authentiques comme Atera, Level, PDQ ou SimpleHelp, facilitant l’implantation furtive. L’opération intègre également la backdoor VAX One, se faisant passer pour des logiciels connus tels que Veeam, AnyDesk, Xerox ou OneDrive Update.

Fooder : un chargeur furtif inspiré du jeu Snake

MuddyWater introduit une évolution majeure de ses techniques : Fooder, un chargeur sophistiqué injectant MuddyViper directement en mémoire via un chargement réfléchissant, évitant toute écriture sur le disque.

Plusieurs variantes de Fooder se déguisent en jeu Snake, ce qui a inspiré le nom MuddyViper. Le chargeur intègre des mécanismes visant à contourner l’analyse automatisée :

• Fonction de délai inspirée de la logique du jeu Snake
• Appels API espacés pour ralentir l’exécution
• Utilisation de CNG, l’API cryptographique Windows de nouvelle génération
• Réduction des sessions interactives pour minimiser les traces

Cette sophistication marque une nette montée en capacité opérationnelle du groupe.

Un arsenal étendu de voleurs d’identifiants

Après compromission, plusieurs infostealers dédiés sont déployés, dont :

• CE-Notes : ciblant les navigateurs basés sur Chromium
• LP-Notes : préparation et validation des identifiants volés
• Blub : extraction des données d’authentification depuis Chrome, Edge, Firefox et Opera

Cet ensemble renforce la capacité de MuddyWater à mener un cyberespionnage approfondi et durable.

Historique et évolution des opérations de MuddyWater

Attribué publiquement pour la première fois en 2017 par Unit 42, MuddyWater s’est spécialisé dans les documents piégés et l’ingénierie sociale. Ses opérations marquantes incluent :

• Campagne Quicksand (2020) : espionnage contre des entités gouvernementales israéliennes et des télécoms
• Attaques contre des organisations politiques en Turquie
• Campagne mars–avril 2023 : victime non identifiée en Arabie Saoudite
• Campagne janvier–février 2025 : chevauchement avec Lyceum, un sous-groupe d’OilRig

Ce dernier point suggère que MuddyWater pourrait jouer ponctuellement le rôle de fournisseur d’accès initial pour d’autres groupes alignés sur l’Iran.

Pour aller plus loin

L’analyse technique complète est disponible dans l’article ESET Research “MuddyWater : Serpents sur la rive de la rivière” sur WeLiveSecurity.com.