MuddyWater (alias MERCURY, Seedworm, Static Kitten), acteur de la cybermenace
MuddyWater est un groupe de cyberespionnage parrainé par l'État iranien, évalué comme opérant au sein du ministère du Renseignement et de la Sécurité iranien (MOIS). Actif depuis au moins 2017, il mène des intrusions de collecte de renseignement contre des organisations gouvernementales et privées, principalement au Moyen-Orient mais aussi en Asie, en Afrique, en Europe et en Amérique du Nord. Il est suivi sous de nombreux noms, dont MERCURY, Seedworm, Static Kitten, Earth Vetala, TEMP.Zagros et, dans la nouvelle taxonomie de Microsoft, Mango Sandstorm. MITRE ATT&CK le répertorie sous l'identifiant G0069. MuddyWater est connu pour un style opérationnel pratique et adaptable : utilisation intensive de PowerShell, techniques de living off the land, et en particulier l'abus de logiciels légitimes de supervision et de gestion à distance (RMM) pour contrôler les systèmes compromis. Cette page couvre l'attribution du groupe et ses pseudonymes, qui il cible, comment il opère, comment ses outils ont évolué, et comment les organisations se défendent contre lui, en s'appuyant en partie sur les recherches de première main de l'équipe Threat Detection & Research (TDR) de Sekoia.
Ce qu'il faut retenir
- MuddyWater est un groupe d'espionnage parrainé par l'État iranien, évalué comme opérant au sein du MOIS, actif depuis au moins 2017.
- Il porte de nombreux noms. MERCURY, Seedworm, Static Kitten, Earth Vetala, TEMP.Zagros et Mango Sandstorm désignent tous le même acteur, suivi par MITRE sous l'identifiant G0069.
- Il cible les gouvernements et les secteurs d'intérêt stratégique, notamment les télécommunications, la défense, le pétrole et le gaz, et les administrations locales, principalement au Moyen-Orient mais aussi dans le monde entier.
- Sa signature, c'est l'abus d'outils RMM et de PowerShell. MuddyWater s'appuie sur le hameçonnage ciblé, PowerShell, et des outils de gestion à distance légitimes comme Atera et ScreenConnect pour obtenir et maintenir l'accès.
- Ses outils continuent d'évoluer. Du backdoor PowerShell POWERSTATS aux implants personnalisés comme MuddyRot, le groupe adapte ses méthodes pour rester en avance sur les défenseurs.
Attribution et pseudonymes
MuddyWater est attribué à l'État iranien, et plus précisément au MOIS. Le US Cyber Command l'a publiquement identifié comme un élément subordonné du ministère du Renseignement et de la Sécurité iranien, et la CISA ainsi que des agences alliées ont publié des avis conjoints sur le groupe. Cela place le lien avec l'État sur des bases solides, au-delà des seules évaluations de l'industrie, et sa mission de collecte de renseignement est cohérente avec une mission d'espionnage dirigée par l'État.
Parce que de nombreux éditeurs ont suivi le groupe indépendamment, il porte une liste inhabituellement longue de noms. Les plus courants sont :
- MuddyWater
- MERCURY
- Mango Sandstorm
- Seedworm
- Static Kitten
- TEMP.Zagros
- Earth Vetala
- TA450
Tous désignent le même acteur. Comme pour d'autres groupes actifs depuis longtemps, des différences mineures entre les clusters de différents éditeurs sont normales, et les analystes recoupent les rapports lors de leurs recherches. Une note sur le périmètre : certains rapports indiquent que MuddyWater cartographie les réseaux cibles et partage ou vend cet accès à d'autres groupes iraniens, de sorte que son activité peut recouper celle d'autres acteurs à nexus iranien sans pour autant être confondue avec eux.
Qui MuddyWater cible
Le ciblage de MuddyWater reflète les priorités du renseignement iranien et se concentre sur des organisations à valeur stratégique. Ses cibles récurrentes comprennent :
- Les gouvernements et les administrations locales, une cible constante dans les régions où il opère.
- Les télécommunications, un secteur qui offre un accès aux communications et aux autres réseaux.
- La défense, le pétrole et le gaz, et l'énergie, reflétant des intérêts de renseignement géopolitiques et économiques.
- D'autres organisations privées, notamment dans la finance et la technologie, en particulier lorsqu'elles détiennent un accès ou des informations utiles.
Géographiquement, le groupe se concentre sur le Moyen-Orient, avec une activité fréquente affectant des pays comme les Émirats arabes unis, l'Arabie saoudite, la Turquie, Israël, la Jordanie et d'autres dans la région, tout en atteignant des organisations en Asie, en Afrique, en Europe et en Amérique du Nord. Son activité a été observée comme s'intensifiant lors des tensions et conflits régionaux.
Comment MuddyWater opère
MuddyWater privilégie un mode opératoire accessible et adaptable plutôt que des exploits rares ou avancés. Il s'appuie fortement sur l'ingénierie sociale, les scripts et les logiciels légitimes, ce qui permet à son activité de se fondre dans une administration normale. Son comportement se mappe clairement sur le framework MITRE ATT&CK.
Deux traits définissent le style du groupe. D'abord, sa dépendance à PowerShell et aux techniques de living off the land (utilisation d'outils déjà présents sur un système), de sorte que l'activité malveillante ressemble à une administration légitime. Son backdoor PowerShell de longue date, connu sous le nom de POWERSTATS, en est un exemple récurrent. Ensuite, et c'est le plus distinctif, l'abus d'outils RMM légitimes. Plutôt que de déployer systématiquement des malwares personnalisés, MuddyWater a fréquemment installé des outils de gestion à distance commerciaux comme Atera et ScreenConnect sur les hôtes compromis, utilisant leurs fonctions normales de contrôle à distance pour maintenir l'accès et déplacer des données. Parce que ces outils sont légitimes et largement utilisés par les équipes informatiques, leur présence peut être difficile à distinguer d'une administration autorisée.
Comment les outils de MuddyWater ont évolué
MuddyWater a régulièrement changé sa boîte à outils tout en conservant la même approche globale. Ses premières opérations s'appuyaient sur le backdoor PowerShell POWERSTATS et une gamme d'outils publiquement disponibles et basés sur des scripts. Au fil du temps, il a évolué vers l'abus de logiciels RMM légitimes comme premier point d'ancrage, ce qui offrait plus de capacités qu'un simple script et se fondait dans l'activité informatique normale. Plus récemment, à mesure que les défenseurs ont renforcé leur surveillance de l'abus des outils RMM, le groupe est revenu aux implants personnalisés dans certaines campagnes, et a été observé en train d'adopter de nouveaux langages de développement pour ses malwares. Cette disposition à alterner entre outils personnalisés et logiciels légitimes, selon ce qui échappe à la détection, est une caractéristique déterminante du groupe et une raison pour laquelle il est resté actif pendant des années. Un exemple documenté de ce changement est détaillé dans les recherches de Sekoia ci-dessous.
Les recherches de Sekoia sur MuddyWater
L'équipe TDR de Sekoia a directement tracé l'évolution des chaînes d'infection de MuddyWater. Lors d'une campagne de 2024 contre des entités occidentales et moyen-orientales, TDR a découvert que le groupe avait modifié son approche : au lieu de s'appuyer sur l'outil RMM légitime Atera comme validateur de première étape, comme dans ses campagnes antérieures, il a déployé un nouvel implant personnalisé alors inédit que les analystes de Sekoia ont nommé MuddyRot (identifié indépendamment par Check Point sous le nom de BugSleep). La livraison a également évolué, avec des liens malveillants intégrés dans des documents PDF utilisant des leurres de cours et de webinaires plutôt que placés directement dans les e-mails. Sekoia a évalué que la surveillance accrue par les éditeurs de sécurité de l'abus des outils RMM était une raison probable du retour à un outil personnalisé, et a noté qu'un implant propre au groupe, contrairement à un logiciel légitime largement utilisé, rend en réalité l'acteur plus facile à traquer pour les défenseurs. Ce type d'analyse de première main, publiée avec des indicateurs, est ce qui transforme un changement de mode opératoire en quelque chose que les défenseurs peuvent détecter.
Comment se défendre contre MuddyWater
Parce que MuddyWater s'appuie sur le hameçonnage, PowerShell et des outils légitimes plutôt que sur des exploits rares, la défense combine protection des utilisateurs et des identités avec une surveillance comportementale :
- Renforcer la protection contre le hameçonnage. Un filtrage robuste des e-mails, une sensibilisation des utilisateurs et un examen attentif des liens, y compris ceux intégrés dans des pièces jointes comme des PDF, réduisent la principale voie d'accès initial du groupe.
- Corriger et surveiller les serveurs exposés à internet. Le groupe exploitant également des serveurs Exchange et SharePoint exposés, corriger rapidement ces systèmes et les surveiller ferme un deuxième point d'entrée courant.
- Contrôler et surveiller les outils RMM. Inventorier les outils de gestion à distance autorisés, alerter sur l'installation ou l'utilisation d'outils inattendus, et traiter l'activité RMM non sanctionnée comme suspecte, car c'est au cœur du mode opératoire du groupe.
- Surveiller l'activité PowerShell et les scripts. Activer la journalisation PowerShell et surveiller les scripts obfusqués et les comportements de script inhabituels, qui sont des caractéristiques du style living off the land du groupe.
- Utiliser le renseignement sur les menaces et traquer les comportements. Suivre les outils connus du groupe, son infrastructure et ses techniques actuelles, et traquer les comportements plutôt que les indicateurs fixes, aide les équipes à reconnaître son activité même lorsque ses outils changent.
Avis d'expert : Quand l'outil est légitime
MuddyWater illustre un défi qui définit beaucoup d'intrusions modernes : l'acteur a rarement besoin de quelque chose d'exotique. Un e-mail de hameçonnage provenant d'un compte réel et compromis, un script PowerShell, une copie d'un outil de gestion à distance que des milliers d'équipes informatiques utilisent chaque jour, chaque élément est soit légitime, soit d'apparence légitime. C'est précisément ce qui rend le groupe efficace. Une liste de blocage de fichiers malveillants ne sert pas à grand-chose contre un attaquant dont l'outil principal est un logiciel commercial qu'une organisation pourrait légitimement utiliser, et dont les scripts s'exécutent via un utilitaire intégré au système d'exploitation.
C'est là qu'une approche pilotée par la cyber threat intelligence (CTI), centrée sur les comportements, prend toute sa valeur, et où les propres travaux de Sekoia sur le groupe sont instructifs. Sekoia est un éditeur européen de cybersécurité dont l'équipe TDR interne traque des acteurs comme MuddyWater, y compris les évolutions dans la façon dont ils délivrent et contrôlent leurs intrusions, et ce renseignement sur les menaces alimente la plateforme. Plutôt que de traiter l'installation d'un outil de gestion à distance ou une exécution PowerShell comme un événement isolé, la plateforme AI SOC de Sekoia corrèle les signaux sur les endpoints, le réseau et l'identité et les mappe sur le framework MITRE ATT&CK, de sorte que le hameçonnage menant à l'abus d'un outil RMM menant à un mouvement latéral peut être reconnu comme une seule intrusion. La découverte par Sekoia du passage du groupe d'Atera à un implant personnalisé est un exemple de transformation du renseignement de première main en détection qui suit l'évolution des outils d'un acteur.
Le message pratique pour les défenseurs est qu'un acteur comme MuddyWater se détecte en comprenant les comportements et le contexte, pas en repérant des fichiers malveillants connus. La question n'est pas seulement de savoir si un fichier est malveillant, mais si cet outil de gestion à distance, ce script, cette authentification ont leur place ici. Ce jugement dépend d'une visibilité sur l'ensemble de l'environnement, lue en parallèle du renseignement actuel sur le mode opératoire du groupe. En tant qu'éditeur européen avec une posture de souveraineté des données, Sekoia est bien placé pour accompagner les organisations gouvernementales et d'infrastructures critiques que MuddyWater cible le plus souvent.