Иранские хакеры атаковали крупного южнокорейского производителя электроники.

[zender]

Связанная с Ираном хакерская группа MuddyWater (также известная как Seedworm, Static Kitten) развернула масштабную кампанию кибершпионажа, направленную против по меньшей мере девяти известных организаций из различных секторов и стран.


В числе пострадавших — крупный южнокорейский производитель электроники, правительственные учреждения, международный аэропорт на Ближнем Востоке, промышленные предприятия в Азии и образовательные учреждения.


Исследователи из Symantec утверждают, что злоумышленник «провел неделю в сети крупного южнокорейского производителя электроники в феврале 2026 года».


Команда специалистов Symantec по поиску угроз считает, что злоумышленник действовал, руководствуясь разведывательными соображениями, и сосредоточился на краже промышленной и интеллектуальной собственности, правительственном шпионаже и получении доступа к конечным клиентам или корпоративным сетям.

Злоупотребления Fortemedia и SentinelOne​

Кампания Seedworm в значительной степени опиралась на установку вредоносных DLL-файлов через сторонние источники (sideloading), распространенный метод, при котором легитимное, подписанное программное обеспечение загружает вредоносные DLL-файлы.

В атаке использовались два исполняемых файла: 'fmapp.exe', легитимная аудиоутилита Foremedia, и 'sentinelmemoryscanner.exe', легитимный компонент SentinelOne.


Вредоносные DLL-файлы (fmapp.dll и sentinelagentcore.dll) содержали ChromElevator — распространенный инструмент для постэксплуатации, который крадет данные, хранящиеся в браузерах на базе Chrome.

Компания Symantec также обнаружила, что PowerShell, использовавшийся в предыдущих атаках Seedworm, по-прежнему активно применялся в недавних инцидентах, хотя полезные нагрузки контролировались через загрузчики Node.js, а не напрямую.


PowerShell использовался для создания снимков экрана, проведения разведки, получения дополнительных данных, обеспечения постоянного присутствия в системе, кражи учетных данных и создания SOCKS5-туннелей.

Нападение на корейскую фирму​

Согласно наблюдениям компании Symantec, атака на южнокорейского производителя электроники продолжалась с 20 по 27 февраля. Исследователи не раскрыли название целевой организации.


На первом этапе Seedworm выполнил разведку хостов и доменов, после чего провел обнаружение вредоносного ПО с помощью WMI, сделал снимки экрана и загрузил дополнительные вредоносные программы.


Кража учетных данных происходила с помощью поддельных запросов Windows, кражи разделов реестра (SAM/SECURITY/SYSTEM) и инструментов для злоупотребления билетами Kerberos.


Постоянное подключение обеспечивалось путем внесения изменений в реестр, отправка сигналов происходила с интервалом в 90 секунд, а загруженные из сторонних источников бинарные файлы неоднократно перезапускались для поддержания доступа.

«Темп работы снова соответствует активности, обусловленной имплантатом, а не постоянным присутствием оператора», — заявили исследователи .


Злоумышленники использовали sendit.sh, общедоступный сервис обмена файлами, для утечки данных, вероятно, чтобы замаскировать вредоносную активность и представить её как обычный трафик.


В целом, по мнению Symantec, последняя кампания Seedworm примечательна географическим расширением деятельности злоумышленников, их операционной зрелостью и злоупотреблением легитимными инструментами и сервисами, что свидетельствует о сдвиге в сторону более скрытых атак.