MuddyWater pokazuje kako špijunaža ulazi kroz običan Windows trik

MuddyWater, iranska hakerska skupina koju sigurnosna zajednica godinama prati kao aktera kibernetičke špijunaže, povezana je s novom kampanjom koja je u prvom kvartalu 2026. pogodila najmanje devet organizacija u devet zemalja. Prema izvještaju The Hacker Newsa, nalaze su iznijeli istraživači iz Symantecovog i Carbon Black Threat Hunter Teama, a zahvaćene mete nalaze se na četiri kontinenta.

Važan detalj nije samo broj zemalja, nego profil meta. U kampanji se spominju industrijska i elektronička proizvodnja, obrazovanje i javni sektor, financijske usluge te profesionalne usluge. To je tipičan obrazac kada špijunaška operacija ne traži samo jednu vrstu tajne, nego kombinaciju pristupa, dokumenata, poslovnih odnosa i institucionalnih mreža. Drugim riječima, napad na takve organizacije može služiti i za izravno prikupljanje podataka i za stvaranje uporišta prema drugim metama.

Tehnička os napada je DLL side-loading. U praksi, to znači da napadač pokušava iskoristiti način na koji legitimna Windows aplikacija učitava dinamičke biblioteke. Ako se zlonamjerni DLL postavi na pravo mjesto ili predstavi pod očekivanim imenom, pouzdani proces može ga učitati kao da je normalan dio aplikacije. MITRE ATT&CK tu klasu ponašanja opisuje kroz tehniku DLL side-loading, unutar šireg obrasca otmice toka izvršavanja.

Za obrambene timove to je nezgodna taktika jer napad ne mora odmah izgledati kao nepoznati izvršni program koji se pokreće iz sumnjive mape. Signal može biti suptilniji: legitimni binarni program, neobično mjesto pokretanja, neočekivana biblioteka, svježe promjene u direktoriju aplikacije ili mrežna komunikacija koja ne pripada uobičajenom radu sustava. Zato se ovakve kampanje ne mogu ozbiljno pokriti samo antivirusnim potpisima; traže korelaciju telemetrije s krajnjih točaka, pravila za učitavanje biblioteka i pažljivo praćenje procesa koji odjednom mijenjaju ponašanje.

MuddyWater je u sigurnosnim bazama već označen kao skupina povezana s Iranom; MITRE-ov profil MuddyWatera navodi ga kao aktera poznatog po kampanjama usmjerenima na više regija i sektora. Ova nova epizoda uklapa se u taj širi obrazac: nema jedne očite vertikale, nego raspršeni skup organizacija koje mogu imati političku, industrijsku ili operativnu vrijednost.

Upravo zato je ova vijest relevantna i za organizacije koje se ne vide kao primarne geopolitičke mete. Ako su dobavljač, savjetnik, obrazovna institucija ili javno tijelo s pristupom korisnim kontaktima i dokumentima, mogu biti dovoljno zanimljive. Praktična obrana počinje od inventara aplikacija, kontrole direktorija u kojima se učitavaju DLL datoteke, EDR pravila za neuobičajene parent-child procese i redovitog pregleda legitimnih alata koji se ponašaju izvan obrasca. U ovoj kampanji nije poanta samo u imenu MuddyWater, nego u podsjetniku da špijunaža često ulazi kroz vrlo obične, tehnički dosadne rubove Windows okruženja.