L’iranien MuddyWater se fait passer pour Snake et vise des infrastructures en Israël et en Égypte - ESET Research

 

●      ESET Research a identifié de nouvelles activités de MuddyWater (groupe de cyberespionnage lié à l'Iran) ciblant des organisations d'infrastructures critiques en Israël et une cible confirmée en Égypte

●      Le groupe a utilisé des techniques plus avancées pour déployer MuddyViper, une nouvelle porte dérobée, grâce à un chargeur (Fooder) qui la charge en mémoire et l'exécute.

●      ESET fournit des analyses techniques des outils utilisés dans cette campagne.

     MONTREAL, BRATISLAVA, le 2 décembre 2025 — ESET Research a identifié une nouvelle activité de MuddyWater ciblant principalement des organisations en Israël, avec une cible confirmée en Égypte. En Israel, les victimes appartiennent aux secteurs de la technologie, de l'ingénierie, de la production, des collectivités locales et de l'éducation. MuddyWater, aussi appelé Mango Sandstorm ou TA450, est un groupe de cyberespionnage lié à l'Iran, connu pour ses attaques répétées contre les secteurs gouvernementaux et les infrastructures critiques. Il utilise souvent des maliciels personnalisés et des outils publics, et a des liens avec le ministère iranien du Renseignement et la Sécurité nationale. Dans cette campagne, les attaquants ont déployé un série d'outils personnalisés, encore non documentés, pour mieux contourner les défenses. La nouvelle porte dérobée MuddyViper leur permet de collecter des informations système, d'exécuter des fichiers et des commandes shell, de transférer des fichiers et d'exfiltrer les identifiants de connexion Windows ainsi que les données de navigation. La campagne utilise aussi d'autres voleurs d'identifiants, dont Fooder, un chargeur personnalisé qui se fait passer pour le jeu Snake.

      Dans cette campagne, l'accès initial s’obtient par le biais de mails d'hameçonnage ciblés, contenant souvent des pièces jointes PDF renvoyant vers des programmes d'installation de logiciels de surveillance et de gestion à distance (RMM) hébergés sur des plateformes de partage de fichiers gratuites telles que OneHub, Egnyte ou Mega. Ces liens permettent de télécharger des outils comme Atera, Level, PDQ et SimpleHelp. Parmi les outils utilisés par les opérateurs de MuddyWater il y a la porte dérobée VAX One, qui fait référence aux logiciels légitimes qu'elle imite : Veeam, AnyDesk, Xerox et le service de mise à jour OneDrive.

    L’utilisation de ce mode opératoire rend l’activité du groupe assez facile à détecter et à bloquer. Mais, dans le cas présent, le groupe a utilisé des techniques plus avancées pour déployer MuddyViper, une nouvelle porte dérobée, grâce à un chargeur (Fooder) qui charge MuddyViper en mémoire et l'exécute. Plusieurs versions de Fooder se font passer pour le jeu Snake, d'où le nom MuddyViper. Une autre caractéristique de Fooder est l’utilisation fréquente d'une fonction de délai personnalisée qui implémente la logique de base du jeu Snake, combinée à des appels à l'API « Sleep ». Ces fonctions retardent l'exécution pour dissimuler les comportements malveillants aux systèmes d'analyse automatisés. De plus, les développeurs de MuddyWater ont adopté CNG, l'API cryptographique Windows de nouvelle génération, chose unique pour des groupes liés à l'Iran et assez atypique dans le paysage actuel des menaces. Durant cette campagne, les opérateurs ont délibérément évité les sessions interactives directes au clavier. Même si certains éléments restent bruyants et facilement détectables, souvent le cas pour MuddyWater, cette campagne illustre une évolution technique : une précision accrue, un ciblage stratégique et une série d'outils plus avancée.

     L'ensemble d'outils post-compromission comprend plusieurs voleurs d'identifiants : CE-Notes, qui cible les navigateurs basés Chromium ; LP-Notes, qui prépare et vérifie les identifiants volés ; Blub, qui vole les données de connexion des navigateurs Chrome, Edge, Firefox et Opera.

    En 2017, MuddyWater a été présenté au public par Unit 42, dont la description de l'activité du groupe concorde avec le profilage d'ESET : centrage sur le cyberespionnage, utilisation de documents malveillants comme pièces jointes conçues pour inciter les utilisateurs à activer les macros et à contourner les contrôles de sécurité, et ciblant principalement des entités situées au Moyen-Orient.

    Parmi les activités passées importantes, il y a l’Opération Quicksand (2020), une campagne de cyberespionnage visant des entités gouvernementales israéliennes et des organisations de télécommunications, illustrant l’évolution des tactiques de phishing de base vers des opérations plus avancées et à plusieurs étapes ; une campagne visant des groupes et organisations politiques en Turquie. Ceci démontre l’orientation géopolitique du groupe, sa capacité à adapter les tactiques d’ingénierie sociale aux contextes locaux et sa dépendance aux maliciels modulaires ainsi qu’à une infrastructure C&C flexible.

      ESET a documenté plusieurs campagnes attribuées à MuddyWater, soulignant l'évolution des outils et des priorités opérationnelles du groupe. En mars et avril 2023, MuddyWater a ciblé une victime non identifiée en Arabie saoudite. Le groupe a mené une campagne en janvier et février 2025 caractérisée par une grande similitude opérationnelle avec Lyceum (un sous-groupe d'OilRig). Cela fait penser que MuddyWater pourrait être un intermédiaire pour d'autres groupes liés à l'Iran.

      Pour une analyse plus détaillée de la récente campagne MuddysWater, lisez le nouveau blog d’ESET Research “MuddyWater: Snakes by the riverbank” sur www.welivesecuyruty.com/  Suivez aussi  ESET Rerserach sur Twitter (today known as X), BlueSky et Mastodon pour les toutes dernières infos.

Iraanse MuddyWater, vermomd als Snake-spel, richt zich op kritieke infrastructuur in Israël en Egypte – ESET Research

·       ESET Research ontdekte nieuwe activiteiten van MuddyWater (aan Iran gelinkte cyberspionagegroep) die zich richten op kritieke overheidsinfrastructuren in Israël, met een bevestigd doelwit in Egypte.

·       De groep gebruikte geavanceerdere technieken om MuddyViper, een nieuwe backdoor, te implementeren door een loader (Fooder ) te gebruiken die de backdoor in het geheugen laadt en uitvoert.

·       ESET biedt technische analyses van de tools die in deze campagne gebruikt worden.

MONTREAL, BRATISLAVA, 2 december 2025 — ESET Research heeft nieuwe MuddyWater-activiteiten geïdentificeerd die zich vooral richten op organisaties in Israël, met een bevestigd doelwit in Egypte. In Israël waren de doelwitten sectoren als technologie, engineering, productie, lokale overheid en onderwijs. MuddyWater, ook wel Mango Sandstorm of TA450 genoemd, is een aan Iran gelinkte cyberspionagegroep bekend om zijn aanhoudende aanvallen op de overheid en kritieke infrastructuur. Hierbij worden aangepaste malware en publieke tools gebruikt. De groep is gelinkt aan het Iraanse Ministerie van Inlichtingen en Nationale Veiligheid. In deze campagne werden een reeks nog niet gedocumenteerde, aangepaste tools ingezet om de verdediging te ontwijken en de persistentie te verbeteren. MuddyViper, de nieuwe backdoor, laat de aanvallers toe om systeeminformatie te verzamelen, bestanden en shell-opdrachten uit te voeren, bestanden over te dragen en Windows-inlog-gegevens en browsergegevens te exfiltreren. De campagne gebruikt extra inlog-gegevensstealers. Een ervan is Fooder, een aangepaste loader die zich als het klassieke Snake-spel voordoet.

Hier wordt de eerste toegang meestal verkregen via spearphishing-e-mails, vaak met pdf-bijlagen gelinkt aan installatieprogramma's voor software voor remote monitoring en beheer (RMM) die gehost worden op gratis platformen voor bestandsdeling zoals OneHub, Egnyte of Mega. De links leiden naar het downloaden van tools zoals Atera, Level, PDQ en SimpleHelp. Tot de tools die ingezet worden door MuddyWater-operatoren behoort ook de VAX One-backdoor, genoemd naar de legitieme software die het nabootst: Veeam, AnyDesk, Xerox en de OneDrive-updateservice.

Het voortdurende gebruik van de groep van dit bekende script maakt zijn activiteiten nogal eenvoudig te detecteren en te blokkeren. De groep gebruikte hier ook geavanceerdere technieken om MuddyViper, een nieuwe backdoor, te implementeren. Deze techniek werd uitgevoerd met een loader (Fooder) die MuddyViper reflectief in het geheugen laadt en uitvoert. Meerdere versies van Fooder vermommen zich als de klassieke Snake-game, vandaar de naam MuddyViper. Een ander kenmerk van Fooder is het frequente gebruik van een aangepaste vertragingsfunctie die de basislogica van de Snake-game implementeert, gecombineerd met "Sleep" API-oproepen. Deze functies zijn bedoeld om de uitvoering te vertragen in een poging het kwaadaardige gedrag te verbergen voor geautomatiseerde analyse-systemen. Daarnaast gebruiken de ontwikkelaars van MuddyWater CNG, de volgende generatie cryptografische APIs voor Windows. Dit is nogal uniek voor groepen gelinkt aan Iran en atypisch in het ruimere dreigingslandschap. Tijdens deze campagne vermeden de operatoren opzettelijk interactieve sessies met het toetsenbord, een techniek die nogal omslachtig is. Hoewel sommige componenten nog steeds veel ruis produceren en gemakkelijk te detecteren zijn, wat typisch is voor MuddyWater, vertoont deze campagne tekens van technische evolutie: verhoogde precisie, strategische targeting en een geavanceerdere toolset.

Na een hack bevat de toolset ook meerdere stealers van inloggegevens: CE-Notes, dat zich richt op Chromium-gebaseerde browsers; LP-Notes, dat gestolen inloggegevens scant en verifieert; en Blub, dat inloggegevens steelt van de browsers Chrome, Edge, Firefox en Opera.

In 2017 werd MuddyWater voor het eerst door Unit 42 aan het publiek voorgesteld. De beschrijving van de activiteiten komt overeen met de profilering gemaakt door ESET : een focus op cyberspionage, het gebruik van schadelijke documenten als bijlagen om gebruikers aan te zetten macro's in te schakelen en beveiligingscontroles te omzeilen, en primair gericht op entiteiten in het Midden-Oosten.

Belangrijke activiteiten waren o.a. Operaton Quicksand (2020), een cyberspionage-campagne gericht op Israëlische overheidsinstanties en telecommunicatie-organisaties, die de evolutie van de groep van eenvoudige phishing tactieken naar geavanceerdere, meerfase-operaties laat zien; een campagne gericht op politieke groepen en organisaties in Turkije, die de geopolitieke focus van de groep aantoont, het vermogen om social engineering-tactieken aan lokale contexten aan te passen en het vertrouwen in modulaire malware en flexibele Command & Control-infrastructuur.

ESET heeft meerdere campagnes gedocumenteerd die aan MuddyWater toegeschreven zijn en die de evolutie van de toolset en de veranderende operationele focus van de groep benadrukken. In maart en april 2023 richtte MuddyWater zich op een onbekend slachtoffer in Saoedi-Arabië en begin 2025 voerde de groep een campagne uit die opviel door de overlap met Lyceum (een subgroep van OilRig). Dit suggereert dat MuddyWater zou fungeren als een initiële toegangsmakelaar voor andere aan Iran gelinkte groepen.

Lees voor een meer gedetailleerde analyse van deze MuddyWater-campagne de nieuwste blog van ESET Research “MuddyWater: Snakes by the riverbank”op www.welivesecurity.com . Volg ook ESET Research op Twitter (today known as X), BlueSky, en Mastodon voor de nieuwste informatie.

ESET zet zich in met onderzoek van wereldniveau en krachtige threat intelligence, ondersteund door R&D-centra en een sterk wereldwijd partnernetwerk. Bezoek voor meer informatie of www.eset.com of https://www.est.com/be-nl/,volg onze sociale media, podcasts en blogs.

Key Communications
Catherine d’Adesky / Louise Biron