Rapid7 tarafından yayınlanan yeni bir rapor, İran hükümetiyle bağlantılı bir Gelişmiş Sürekli Tehdit (APT) grubunun, Chaos fidye yazılımı üyesi gibi davranarak jeopolitik casusluk ve ön konumlandırma faaliyetleri yürüttüğünü ortaya koydu. 'Muddying the Tracks: The State-Sponsored Shadow Behind Chaos Ransomware' başlıklı raporda, MuddyWater (Seedworm, Static Kitten ve Mango Sandstorm olarak da bilinen) grubunun 2026 başlarında gerçekleştirdiği bir müdahale, sahte bayrak operasyonu olarak tanımlandı.
Saldırı, ismi açıklanmayan bir kuruluşa yönelikti ve Microsoft Teams üzerinden bir çalışana yönelik sosyal mühendislik ile başladı. Rapid7, saldırganın etkileşimli bir şekilde ilk keşif yaptığını, çok faktörlü kimlik doğrulama (MFA) manipülasyonu da dahil olmak üzere kimlik bilgilerini topladığını ve ardından meşru hesapları kullanarak iç ağa eriştiğini belirtti. Ardından, DWAgent ve AnyDesk gibi uzaktan erişim araçlarıyla kalıcılık sağlandı ve veriler sızdırıldı. Saldırgan, kurbanla e-posta yoluyla iletişime geçerek fidye talep etti.
Rapid7, saldırganın Chaos fidye yazılımı ağının (RaaS) veri sızıntısı sitesinde (DLS) 'kör' bir geri sayım sayacı kullandığını, yani kurban bilgilerinin görüntülenemediğini tespit etti. Ayrıca, saldırganın masaüstü dizinine güvenli sohbet için 'erişim kimlik bilgileri' içeren bir not bıraktığı iddia edildi, ancak Rapid7 bu notu bulamadı. Tüm bu tutarsızlıklara rağmen, sızdırılan verilerin meşru olduğu değerlendirildi. Ancak, normal bir finansal motivasyonlu Chaos üyesinden farklı olarak, grup herhangi bir fidye yazılımı yükü dağıtmadı.
Rapor, MuddyWater ile Chaos arasındaki bağlantıyı kanıtlayan bir dizi işaret sundu: 'Donald Gay' kod imzalama sertifikası, moonzonet[.]com alan adı (C2 altyapısını destekleyen), pythonw.exe kullanımı, ve etkileşimli Microsoft Teams oturumlarıyla MFA ve kimlik bilgilerinin toplanması. MuddyWater'ın daha önce Qilin RaaS ekosistemini taklit ettiği biliniyor. Rapid7, bu taktiğin atıf yapmayı zorlaştırmak için kullanıldığını belirtti. Araştırmacılara, 'fidye yazılımı göstergelerinin ötesine bakmaları' ve müdahale yaşam döngüsünü yakından incelemeleri tavsiye edildi.
