Zdroj: Rapid7, „Muddying the Tracks“ (6. května 2026)
Skupina: MuddyWater (aka Seedworm, Mango Sandstorm, Static Kitten, MERCURY)
Vazba: Íránské Ministry of Intelligence and Security (MOIS)
Jistota atribuce: Střední (moderate confidence)
Co se stalo
Začátkem roku 2026 vyšetřoval Rapid7 incident, který zpočátku vypadal jako typický útok ransomware skupiny Chaos. Oběť dostala ransom note, její data se objevila na Chaos leak site. Jenže šifrování nikdy neproběhlo. A to byl klíčový signál.
Forenzní analýza odhalila false flag operaci útočníci si vypůjčili identitu kriminální RaaS skupiny, aby zakryli státem sponzorovanou špionáž.
Attack chain krok za krokem
1. Initial access Microsoft Teams
Útočníci kontaktovali zaměstnance oběti přes Teams jako externí uživatelé. Zahájili screen-sharing session a přesvědčili je, aby zadali přihlašovací údaje do lokálně vytvořených textových souborů, případně přes phishingovou stránku maskovanou jako Microsoft Quick Assist. V některých případech si nechali přidat vlastní zařízení do MFA nastavení oběti čímž MFA zcela obešli.
2. Persistence legitímní RMM nástroje
Po získání přístupu nasadili DWAgent a AnyDesk pro vzdálený přístup. Použití legitimních remote management nástrojů záměrně snižuje detekabilitu tyto procesy jsou v korporátním prostředí běžné.
3. Malware chain ms_upd.exe → Game.exe
Přes curl stáhli downloader ms_upd.exe, podepsaný certifikátem na jméno „Donald Gay“ stejný certifikát byl dříve použit pro MuddyWater downloader Stagecomp.
ms_upd.exe kontaktoval C2 moonzonet[.]com a stáhl tři komponenty:
WebView2Loader.dlllegitimní Microsoft DLL (blending technika)visualwincomp.txtšifrovaný konfigurační souborGame.execustom RAT maskovaný jako Microsoft WebView2 aplikace
Game.exe podporuje 12 příkazů: spouštění cmd.exe/PowerShell, upload/download souborů, správa interaktivních shellů. Komunikuje s uploadfiler[.]com přes port 443, každých 60 sekund polluje C2 pro příkazy. Před aktivitou provádí anti-analýzu.
4. False flag Chaos RaaS identita
Data oběti byla zveřejněna na Chaos leak site, oběť dostala extortion e-mail s pokyny k ransom platbě. Šifrování neproběhlo cílem bylo způsobit, aby defenders zahájili ransomware incident response místo pátrání po perzistentních backdoorech.
IoC
| Typ | Hodnota |
|---|---|
| C2 doména | moonzonet[.]com |
| C2 doména | uploadfiler[.]com |
| Downloader | ms_upd.exe |
| RAT | Game.exe |
| Code-signing cert | CN: „Donald Gay“ |
| Technika | pythonw.exe pro code injection do suspendovaných procesů |
Proč je to důležité
MuddyWater použil stejnou taktiku v pozdním 2025 s Qilin ransomwarem při útoku na izraelskou organizaci po atribuci zřejmě přešel na Chaos právě kvůli menší stopě. Jde o opakující se vzorec: íránský státní aktér si půjčuje identitu kriminální RaaS skupiny, aby zkomplikoval atribuci a odvedl pozornost IR týmů od skutečného cíle dlouhodobé perzistence a sběru dat.
Klíčový takeaway pro defenders: Pokud incident vykazuje ransomware indikátory, ale chybí šifrování hledej hlouběji. Absence encryptionu při přítomnosti ransom note je behaviorální anomálie, která ukazuje na jiný primární cíl.
