APT Iranien

🕵️ Contexte Publié le 22 mars 2026 sur le blog de Marc-Frédéric Gomez, ce document est une fiche de renseignement CTI (TLP:CLEAR) mise à jour sur le groupe APT iranien MERCURY/MuddyWater (alias Mango Sandstorm, Seedworm, Static Kitten, TA450, Boggy Serpens, Earth Vetala, TEMP.Zagros, G0069). Il constitue une synthèse analytique structurée à destination des équipes CTI. 🏴 Attribution & Sponsor Le groupe est subordonné au MOIS (Ministry of Intelligence and Security iranien), attribution formalisée dans un avis conjoint FBI/CISA/CNMF/NCSC-UK du 24 février 2022. Un lien opérationnel avec Storm-1084 (DarkBit) est documenté par Microsoft. Le groupe partage la même tutelle institutionnelle qu’APT39 mais constitue un cluster distinct. ...

Source: Ctrl-Alt-Intel — Des chercheurs ont compromis et analysé un serveur d’infrastructure d’un APT iranien attribué à MuddyWater (MOIS), exposant outils C2, scripts, journaux et données victimes. Le billet recoupe des éléments publiés par Group-IB et ESET, et s’appuie sur des pivots Hunt.io, avec des chevauchements d’indicateurs observés également par Huntress. • Contexte et attribution. L’équipe attribue avec haute confiance l’infrastructure à MuddyWater (a.k.a. Static Kitten, Mango Sandstorm, Earth Vetala, Seedworm, TA450). Des artefacts linguistiques en persan, des recoupements d’infrastructures C2 et une victimologie cohérente (Israël, Jordanie, Égypte, EAU, Portugal, États‑Unis) étayent l’évaluation. Un VPS aux Pays-Bas contenait des binaires C2, scripts et journaux d’opérations, avec réutilisation d’IP déjà signalées par Group‑IB et ESET. ...

Source et contexte — Selon Nariman Gharib (03/12/2025), le groupe cyber « Banished Kitten » alias Handala, affilié au Ministère iranien du Renseignement (MOIS), a dévoilé par erreur un accès à des systèmes de l’aéroport Suvarnabhumi (BKK), Bangkok en tentant d’attribuer la compromission à des aéroports israéliens. Le « raté » opérationnel — Le 15 novembre 2025, Handala a publié « Smile for the Camera – Handala Is Watching » en se targuant d’un accès aux « systèmes de sécurité aéroportuaire du Shabak » (Israël) et en menaçant d’être présent « jusque dans les caméras de sortie des portes ». Or, la comparaison des images publiées avec des références publiques montre qu’il s’agit de BKK (Bangkok), pas de Ben Gourion : charpente métallique apparente, configuration du hall immigration, barrières de file d’attente et escalators typiques de Suvarnabhumi. L’article souligne qu’il s’agit de la première divulgation publique par le groupe d’un accès à une infrastructure critique hors d’Israël. 🎥🛫 ...

Selon Group-IB, MuddyWater (APT iranien soutenu par l’État) est passé d’opérations opportunistes via outils RMM (remote monitoring and management) à des campagnes ciblées et sophistiquées contre des entités au Moyen-Orient, en Europe et aux États-Unis, dont des infrastructures critiques, gouvernements et télécoms. L’accès initial reste largement mené via du phishing et des documents Office malveillants. 🕵️‍♂️ Le groupe opère plusieurs backdoors personnalisées avec des protocoles C2 distincts : BugSleep (pseudo-TLV custom sur TCP avec chiffrement AES), StealthCache (HTTP/HTTPS avec des endpoints dédiés), et Phoenix (HTTP avec endpoints d’enregistrement et de beaconing). Le loader Fooder s’appuie sur Windows CryptAPI pour déchiffrer les charges, met en œuvre du DLL side-loading et du multi-threading pour l’évasion. 🧩 ...