גורם תקיפה · G0069

MuddyWater

משויך במקורות לאיראן. מטרות הפעילות המדווחות: ריגול.

🇮🇷 איראן

על גורם התקיפה

The MuddyWater attacks are primarily against Middle Eastern nations. However, we have also observed attacks against surrounding nations and beyond, including targets in India and the USA. MuddyWater attacks are characterized by the use of a slowly evolving PowerShell-based first stage backdoor we call “POWERSTATS”. Despite broad scrutiny and reports on MuddyWater attacks, the activity continues with only incremental changes to the tools and techniques.

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Government

מידע נוסף מהמקורות

MITRE ATT&CK

MuddyWater is a cyber espionage group assessed to be a subordinate element within Iran's Ministry of Intelligence and Security (MOIS). Since at least 2017, MuddyWater has targeted a range of government and private organizations across sectors, including telecommunications, local government, finance, defense, and oil and natural gas organizations, in the Middle East (specifically the UAE and Saudi Arabia), Asia, Africa, Europe, and North America. MuddyWater has reused domains dating back to October 2025, and has a preference for NameCheap and Hosterdaddy Private Limited (AS136557). In late 2025 and early 2026, MuddyWater used commercial satellite internet (i.e., Starlink) for command and control (C2) communication.

Microsoft Threat Intelligence

Microsoft עוקבת אחר פעילות זו בשם Mango Sandstorm. השיוך המדינתי ברשימה: איראן. כינויים וקבוצות פעילות מקבילות שמופיעים במיפוי: MERCURY · STATIC KITTEN · SeedWorm · TEMP.Zagros · MuddyWater. זהו מיפוי של הספק ואינו קובע שכל הכינויים מתארים פעילות זהה.

כלים ונוזקות שדווחו

שימוש שדווח ב־MITRE ATT&CK, כולל כלים לגיטימיים שנוצלו בתקיפות. כלי משותף אינו מעיד על זהות או קשר בין קבוצות.

שיטות פעולה לפי MITRE ATT&CK (68)

טכניקות שדווחו במקור. קישור מוביל להסבר השיטה ב־ATT&CK.

LSASS MemoryT1003.001 LSA SecretsT1003.004 Cached Domain CredentialsT1003.005 System Network Configuration DiscoveryT1016 SteganographyT1027.003 Compile After DeliveryT1027.004 Command ObfuscationT1027.010 System Owner/User DiscoveryT1033 Match Legitimate Resource Name or LocationT1036.005 Exfiltration Over C2 ChannelT1041 Windows Management InstrumentationT1047 System Network Connections DiscoveryT1049 Scheduled TaskT1053.005 Process DiscoveryT1057 PowerShellT1059.001 Windows Command ShellT1059.003 Visual BasicT1059.005 PythonT1059.006 JavaScriptT1059.007 Web ProtocolsT1071.001 Local Data StagingT1074.001 System Information DiscoveryT1082 File and Directory DiscoveryT1083 Domain AccountT1087.002 ProxyT1090 External ProxyT1090.002 Bidirectional CommunicationT1102.002 Multi-Stage ChannelsT1104 Ingress Tool TransferT1105 Screen CaptureT1113 Standard EncodingT1132.001 Office Template MacrosT1137.001 Deobfuscate/Decode Files or InformationT1140 Exploit Public-Facing ApplicationT1190 Exploitation for Client ExecutionT1203 Malicious LinkT1204.001 Malicious FileT1204.002 Malicious Copy and PasteT1204.004 Exploitation of Remote ServicesT1210 CMSTPT1218.003 MshtaT1218.005 Rundll32T1218.011 Remote Desktop SoftwareT1219.002 Software DiscoveryT1518 Security Software DiscoveryT1518.001 Internal SpearphishingT1534 Registry Run Keys / Startup FolderT1547.001 Bypass User Account ControlT1548.002 Credentials In FilesT1552.001 Credentials from Password StoresT1555 Credentials from Web BrowsersT1555.003 Component Object ModelT1559.001 Dynamic Data ExchangeT1559.002 Archive via UtilityT1560.001 PhishingT1566 Spearphishing AttachmentT1566.001 Spearphishing LinkT1566.002 Exfiltration to Cloud StorageT1567.002 Non-Standard PortT1571 Symmetric CryptographyT1573.001 DLLT1574.001 DomainsT1583.001 Web ServicesT1583.006 MalwareT1588.001 ToolT1588.002 Network TopologyT1590.004 ImpersonationT1684.001 Disable or Modify ToolsT1685

מקורות ומחקרים

הפניות מהפרופילים ומפרסומי מחקר. ברשומות ללא כותרת מקורית, שם הקישור נגזר מכתובת הפרסום. תאריך מוצג רק כשזמין.

קשרים שדווחו

קשר, דמיון או חפיפה אינם בהכרח זהות בין הקבוצות. לא נוצרים קשרים רק בגלל כלי משותף או מדינה משותפת.

אין כרגע קשר מתועד לקבוצה אחרת במקורות שנקלטו.

על גורם התקיפה

תיאור המקור מוצג בשפתו, לצד התקציר בעברית. שיוך מדינתי אינו מעיד בהכרח על מיקום המפעילים או על חסות ממשלתית.

מטרות לפי המקור: Espionage

סקטורים שדווחו: Government

מידע נוסף מהמקורות

MITRE ATT&CK

Microsoft Threat Intelligence

MuddyWater

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

unit42 muddying the water targeted attacks in the middle east

iranian threat group updates ttps in spear phishing campaign

campaign possibly connected muddywater surfaces middle east central asia

another potential muddywater campaign uses powershell based prb backdoor

מחקר / פרסום של Kaspersky Securelist

seedworm espionage group

MuddyWater Operations in Lebanon and Oman

muddywater targets kurdish groups turkish orgs

recent muddywater associated blackwater

מחקר / פרסום של MITRE ATT&CK

boggyserpens

the new frontline of geopolitics understanding the rise of state sponsored cyber attacks

קשרים שדווחו

MuddyWater

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

unit42 muddying the water targeted attacks in the middle east

iranian threat group updates ttps in spear phishing campaign

campaign possibly connected muddywater surfaces middle east central asia

another potential muddywater campaign uses powershell based prb backdoor

מחקר / פרסום של Kaspersky Securelist

seedworm espionage group

MuddyWater Operations in Lebanon and Oman

muddywater targets kurdish groups turkish orgs

recent muddywater associated blackwater

מחקר / פרסום של MITRE ATT&CK

boggyserpens

the new frontline of geopolitics understanding the rise of state sponsored cyber attacks

קשרים שדווחו

MuddyWater

על גורם התקיפה

מידע נוסף מהמקורות

כלים ונוזקות שדווחו

מקורות ומחקרים

unit42 muddying the water targeted attacks in the middle east

iranian threat group updates ttps in spear phishing campaign

campaign possibly connected muddywater surfaces middle east central asia

another potential muddywater campaign uses powershell based prb backdoor

מחקר / פרסום של Kaspersky Securelist

seedworm espionage group

MuddyWater Operations in Lebanon and Oman

muddywater targets kurdish groups turkish orgs

recent muddywater associated blackwater

מחקר / פרסום של MITRE ATT&CK

boggyserpens

the new frontline of geopolitics understanding the rise of state sponsored cyber attacks

קשרים שדווחו