MuddyWater implanta backdoor UDPGangster em campanha contra Turquia, Israel e Azerbaijão
O grupo iraniano MuddyWater foi flagrado usando um backdoor inédito, batizado de UDPGangster, contra alvos na Turquia, Israel e Azerbaijão, com canal de comando e controle operando sobre UDP para escapar de defesas de rede tradicionais. A campanha usa documentos Word com macro maliciosa disfarçados de convite oficial de um ministério e uma imagem-isca em hebraico sobre cortes de telefonia em Israel. O malware ainda faz uma bateria extensa de checagens anti-sandbox e anti-VM antes de se instalar.
A Fortinet FortiGuard Labs documentou uma nova onda de ataques do MuddyWater, grupo de espionagem cibernética ligado ao Irã, usando um backdoor até então não catalogado chamado UDPGangster. A campanha mirou usuários na Turquia, Israel e Azerbaijão com e-mails de spear-phishing que traziam um documento Word malicioso (seminer.doc, dentro de seminer.zip) se passando por convite do Ministério das Relações Exteriores da República Turca do Chipre do Norte para um seminário sobre "eleições presidenciais e resultados". Uma segunda isca usava uma imagem em hebraico simulando um aviso de corte de linha da operadora israelense Bezeq.
Tecnicamente, a macro VBA do documento decodifica um payload em Base64, grava o resultado em C:\Users\Public\ui.txt e o executa via CreateProcessA. O backdoor resultante, o UDPGangster, estabelece persistência por meio de chaves no Registro do Windows e se comunica com o servidor de C2 (157.20.182[.]75) usando UDP na porta 1269 — uma escolha deliberada, já que tráfego UDP tende a receber menos inspeção de proxies e gateways focados em HTTP/DNS. A partir daí, o operador consegue executar comandos via cmd.exe, exfiltrar arquivos, coletar informações do sistema e baixar payloads adicionais. Antes de ativar qualquer funcionalidade, o malware roda checagens anti-análise bastante completas: detecção de debugger, análise de CPU/RAM típica de sandbox, validação do endereço MAC contra fabricantes de virtualização, verificação de workgroup versus domínio e busca por processos como VBoxService.exe, vmware.exe, vmtoolsd.exe e identificadores do QEMU.
Para equipes de resposta a incidentes e forense de rede, o caso reforça que C2 sobre UDP exige captura de pacotes e análise de NetFlow, não apenas inspeção de proxy HTTP/DNS — muitas soluções de detecção corporativas ainda são otimizadas para tráfego web. Do lado do endpoint, os artefatos de interesse forense são claros e reproduzíveis: a chave de persistência no Registro, o arquivo ui.txt em uma pasta pública e os processos filhos gerados a partir de cmd.exe. Times de sandboxing também precisam calibrar seus ambientes para não disparar as checagens anti-VM do malware, sob risco de nunca observar o comportamento real da amostra.
O padrão de alvos — Turquia, Israel e Azerbaijão, com iscas geopolíticas específicas — é consistente com o histórico do MuddyWater de operações regionais alinhadas a interesses de inteligência iranianos. A publicação de IOCs (IP, porta, nomes de arquivo) por um vendor de segurança dá a outras organizações da região uma janela de detecção antes que a mesma infraestrutura seja reaproveitada em campanhas futuras.