MuddyWater maskuje ataki ransomware. Nowa taktyka irańskiej grupy APT

Irańska grupa szpiegowska MuddyWater stosuje nową taktykę – w atakach na organizacje wykorzystuje ransomware Chaos jako przykrywkę dla właściwego celu, jakim jest kradzież danych i utrzymanie długotrwałego dostępu do sieci ofiary. Jak wynika z raportu firmy Rapid7, atakujący zaczynają od rozmowy na Microsoft Teams, a kończą na wdrożeniu backdoora i wycieku danych. Dla firm i administratorów oznacza to, że nawet pozornie typowe żądanie okupu może maskować znacznie poważniejsze zagrożenie.

Jak wyglądał atak MuddyWater z wykorzystaniem Chaos ransomware?

Badacze Rapid7 przeanalizowali incydent, w którym napastnicy podszyli się pod operację ransomware Chaos. W rzeczywistości jednak – jak wskazują – „strategia ta sugeruje, że głównym celem nie był zysk finansowy”. Atak rozpoczął się od inżynierii społecznej przez Microsoft Teams: napastnicy inicjowali czaty z pracownikami, nawiązywali sesje zdalne, kradli poświadczenia, manipulowali ustawieniami wieloskładnikowego uwierzytelniania (MFA), a w niektórych przypadkach instalowali AnyDesk do zdalnego dostępu.

Po przejęciu konta uwierzytelniali się do wewnętrznych systemów, w tym kontrolera domeny, i utrwalali dostęp za pomocą RDP, DWAgent oraz AnyDesk. Następnie wykorzystywali ładunek ms_upd.exe, by uruchomić niestandardowego backdoora o nazwie Game.exe, udającego aplikację Microsoft WebView2. Złośliwe oprogramowanie zawiera funkcje antyanalizy i anty-VM oraz obsługuje 12 komend, w tym wykonywanie poleceń PowerShell i CMD, przesyłanie i usuwanie plików oraz stały dostęp do powłoki.

Dlaczego ransomware jest tylko dekoracją?

Rapid7 podkreśla, że MuddyWater już wcześniej stosowało ransomware do maskowania operacji szpiegowskich. Pod koniec 2025 roku grupa wdrożyła Qilin ransomware w ataku na izraelską organizację. Badacze przypuszczają, że po ujawnieniu tamtego incydentu napastnicy zmienili branding na Chaos, by utrudnić identyfikację. „Strategia ta uwidacznia zbieżność między działaniami sponsorowanymi przez państwo a kryminalnym tradecraftem, gdzie dużą wskazówką są techniki, które zostały wdrożone – i te, których nie wdrożono” – tłumaczą eksperci Rapid7.

W ataku wykorzystano infrastrukturę i metody typowe dla MuddyWater, w tym konkretny certyfikat podpisywania kodu, którym grupa sygnowała wcześniej malware Stagecomp i Darkcomp. Mimo pozorów ataku ransomware, celem była długoterminowa infiltracja i kradzież danych, a nie okup.

Co to oznacza dla polskich firm i administratorów?

Incydent pokazuje, że nawet dobrze znane grupy APT zmieniają taktykę, by zmylić obrońców. Dla organizacji kluczowe są:

• Edukacja pracowników – atak zaczyna się od rozmowy na Teams. Każda nieoczekiwana prośba o zdalną pomoc lub podanie hasła powinna wzbudzić czujność.
• Wzmocnienie MFA – napastnicy manipulowali ustawieniami uwierzytelniania. Warto stosować odporne na phishing metody, np. klucze sprzętowe.
• Monitorowanie nietypowych sesji RDP i AnyDesk – pojawienie się nieautoryzowanego oprogramowania do zdalnego dostępu może być sygnałem ostrzegawczym.
• Segmentacja sieci – ograniczenie dostępu do kontrolera domeny i systemów krytycznych utrudnia rozprzestrzenianie się ataku.

Rapid7 ma umiarkowaną pewność co do przypisania ataku MuddyWater, opierając się na infrastrukturze, certyfikacie i taktyce. Dla zespołów SOC to sygnał, by nie ufać pozorom – nawet jeśli incydent wygląda jak typowe ransomware, warto sprawdzić, czy nie kryje się za nim działanie APT.

Więcej szczegółów można znaleźć w raporcie Rapid7 opisanym przez BleepingComputer. Warto śledzić komunikaty CERT i producentów zabezpieczeń, by na bieżąco aktualizować reguły detekcji.