MuddyWater usa Chaos come diversivo per spionaggio aziendale
Rapid7: MuddyWater ha impersonato un affiliate Chaos in early 2026 per mascherare spionaggio senza crittografare dati e usando estorsione come diversivo.
Contenuto
Il vero pericolo non è il ransomware che non è stato lanciato. È lo spionaggio che ha usato la paura del Chaos come scudo. Nel primo trimestre 2026 l’APT iraniano MuddyWater ha compromesso un’organizzazione non identificata impersonando un affiliate del RaaS Chaos, senza deployare alcun payload crittografico. Rapid7 ha collegato l’incidente al gruppo con moderate confidence, svelando un modello ibrido in cui l’estorsione è l’ombra, lo spionaggio è il colpo, e gli IR team sono addestrati a combattere la finanza mentre l’intelligence li aggira.
L’accesso via Microsoft Teams, la persistenza con AnyDesk e DWAgent, la backdoor Game.exe con 12 comandi supportati e il data leak site con blind timer non sono frammenti di un ransomware mancato. Sono le tracce di un’operazione di cyber-espionaggio condotta da MuddyWater con moderate confidence. Rapid7 definisce questo schema uno shift strutturale: il ransomware è il diversivo che distrae le difese, la persistenza è la missione che resta invisibile. Per le aziende, riconoscere la differenza tra estorsione e spionaggio non è più un esercizio accademico. È una skill di sopravvivenza.
12 comandi supportati dalla backdoor Game.exe: l’architettura bespoke conferma obiettivi di intelligence, non finanza.
L'ingaggio via Teams e il furto delle credenziali
Gli attaccanti hanno ottenuto il primo accesso compromettendo account aziendali attraverso ingegneria sociale condotta su Microsoft Teams. Hanno avviato chat con i dipendenti, inducendoli a sessioni di screen sharing che hanno permesso il furto delle credenziali e la conseguente manipolazione delle impostazioni MFA. Questo vettore è insidioso perché sfrutta un canale interno ritenuto affidabile, bypassa i controlli perimetrali tradizionali e apre la strada al movimento laterale.
La scelta di Teams non è casuale. Conferma che le piattaforme di collaborazione aziendale sono diventate ingressi privilegiati per operazioni di alto profilo che mirano alla persona, non al server, e che aggirano le difese puntando sulla fiducia istituzionale piuttosto che sulla vulnerabilità tecnica.
Il successo di questo vettore dipende dalla falsificazione della fiducia istituzionale. Quando l’attaccante parla la lingua della riunione aziendale, la vittima non riconosce l’intrusione finché le credenziali non sono già compromesse e le impostazioni MFA alterate per garantire accessi persistenti.
Persistenza con AnyDesk, DWAgent e la backdoor Game.exe
Una volta ottenuto il controllo, gli operatori hanno stabilizzato la presenza usando RDP, DWAgent e AnyDesk. Sono strumenti legittimi di accesso remoto che difficilmente scatenano allarmi immediati nei sistemi di rilevamento, specialmente quando installati da un account già compromesso con privilegi adeguati.
Parallelamente, hanno impiegato il loader ms_upd.exe per installare una backdoor custom denominata Game.exe. La backdoor supporta 12 comandi, tra cui esecuzione PowerShell e CMD, upload, deletion e shell persistente. L’accoppiata di strumenti commerciali e malware bespoke conferisce all’operazione flessibilità, resilienza contro le remediation standard e una capacità di adattamento ai controlli interni.
Non è l’arsenale di chi vuole soldi veloci. È l’architettura di chi pensa in settimane. L’uso di 12 comandi distinti e la convivenza di RDP con backdoor custom indicano un operatore che costruisce ridondanza, non semplicemente un accesso temporaneo per la crittografia.
La differenza sostanziale rispetto a un affiliate Chaos vero sta proprio nella pazienza: il criminale finanziario colpisce e cifra in ore per massimizzare il ricatto. MuddyWater costruisce, attende e raccoglie.
Perché Chaos è solo un brand: il modello ibrido che inganna gli IR team
Contrariamente a un attacco finanziariamente motivato, gli operatori non hanno mai deployato il payload crittografico di Chaos. Hanno invece sfruttato il brand e l’infrastruttura del RaaS, incluso il data leak site, per pubblicare i materiali esfiltrati e intimidire la vittima. Il sito di leak utilizza tuttavia un blind countdown timer che non rivela dettagli identificativi dell’organizzazione colpita. È un comportamento atipico per un affiliate che punta alla massima visibilità dell’esposizione per spingere al pagamento.
Rapid7 ha sintetizzato la strategia con chiarezza, via Infosecurity Magazine: Ultimately, this activity is best understood as a hybrid intrusion model, in which ransomware is leveraged not as an end goal but as a mechanism for concealment, coercion, and operational flexibility within a broader intelligence-driven campaign
.
Questo non è un’eccezione tattica. È uno shift strutturale che mette in crisi gli IR team ancora addestrati alla reattività finanziaria: il ransomware è il sintomo che ricevono, lo spionaggio è la malattia che non cercano. Il playbook aziendale dice di contenere il danno economico, non di cacciare l’agente di intelligence. Ecco dove l’attaccante vince tempo.
Gli IR team aziendali sono ancora organizzati per rispondere al quadrante economico: isolamento, backup, negoziazione. Quando l’attaccante non cerca il pagamento ma i segreti, questa procedura diventa una trappola che normalizza l’attività sospetta e permette all’agente di persistenza di operare indisturbato.
Le impronte digitali che legano l'incidente a MuddyWater
L’attribuzione a MuddyWater, formulata con moderate confidence da Rapid7, si basa su indicatori tecnici ricorrenti. Tra questi figurano un certificato code-signing rilasciato a nome Donald Gay, il dominio moonzonet[.]com e l’impiego di pythonw.exe per l’injection in processi sospesi.
Questi elementi non sono coincidenze. Sono le abitudini infrastrutturali che escludono il caso e confermano, al di là dello scenario di copertura, la mano del gruppo subordinato al MOIS iraniano. L’identità dell’attore emerge dalle firme digitali e dalle scelte operative, non dal payload mai lanciato.
Il report di Rapid7 non fornisce il nome della vittima né il volume dei dati esfiltrati, ma la ricostruzione tecnica è sufficiente a tracciare un confine netto. Da un lato il teatro del ransomware, dall’altro la precisione dell’APT.
Cosa fare adesso
Le difese non devono addestrarsi a reagire al riscatto. Devono imparare a vedere ciò che il riscatto nasconde. In primis, monitorare l’installazione di tool RAT legittimi come AnyDesk e DWAgent dove non previsti da policy, attivando alert su processi figli anomali e correlando gli eventi con le sessioni di autenticazione MFA. In seconda istanza, ispezionare certificati code-signing e processi attivi per la presenza di pythonw.exe o firme rilasciate a soggetti non standard, inclusi quelli associati a nomi come Donald Gay, e controllare le connessioni verso domini sospetti come moonzonet[.]com.
Infine, e questo è il passaggio culturale decisivo: non interrompere le indagini di incident response alla sola presenza di note di riscatto o minacce di leak. L’estorsione è l’ombra. Lo spionaggio è il colpo. Ignorare la persistenza per concentrarsi sul riscatto significa consegnare all’attaccante il tempo necessario a completare la missione di intelligence. Per le aziende, la lezione di questo early 2026 è che il ransomware rilevato potrebbe non essere mai il vero obiettivo, ma solo la parte visibile di un iceberg che MuddyWater ha imparato a nascondere per mesi.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.