Čuvajte se! Iranski kibernetički napadi prijete kritičnoj infrastrukturi u globalnoj kampanji koja je u tijeku

U svijetu kibernetičkih prijetnji koji se neprestano razvija, jedan od najalarmantnijih trendova je porast kibernetičkih napada koje sponzorira država usmjerenih na kritičnu infrastrukturu . Nedavna zajednička savjetovanja kibernetičke sigurnosti i obavještajnih agencija diljem SAD-a, Australije i Kanade otkrivaju tekuću jednogodišnju kampanju iranskih kibernetičkih aktera usmjerenu na ključne sektore kao što su zdravstvo, energija, vlada i informacijska tehnologija.

Metode iza iranskih kibernetičkih napada

Od listopada 2023. iranski kibernetički akteri upotrijebili su napade brutalnom silom i korištenje lozinki kako bi se infiltrirali u organizacije . Ove taktike uključuju sustavno pogađanje lozinki i preopterećenje sustava za prijavu kako bi se dobio neovlašteni pristup korisničkim računima. Sektori kao što su zdravstvo, inženjerstvo i državne službe su glavne mete, s obzirom na njihovu osjetljivost i važnost.

Jedna taktika u nastajanju koju koriste ovi napadači je multi-factor authentication (MFA) push bombing, također poznata kao MFA fatigue. Obasipajući korisnike opetovanim MFA zahtjevima, napadači se nadaju da će iznervirati ili zbuniti žrtve da nenamjerno odobre pristup. Ray Carney, stručnjak za kibernetičku sigurnost u Tenableu, predlaže korištenje MFA otpornog na krađu identiteta ili korištenje podudaranja brojeva za sigurniji postupak autentifikacije.

Primarni cilj ovih napada je ukrasti vjerodajnice i detaljne podatke o mreži, koji se zatim prodaju na podzemnim forumima. To stvara prilike za druge kibernetičke kriminalce da iskoriste kompromitirane sustave za daljnje napade, usklađujući se sa širim kibernetičkim sigurnosnim krajolikom suradnje između skupina koje sponzorira država i organiziranog kibernetičkog kriminala.

Napredne tehnike napada

Nakon početnog pristupa, iranski napadači obično provode temeljito izviđanje ciljnih sustava. Oni koriste alate "living-off-the-land" (LotL), koji koriste vlastitu infrastrukturu organizacije kako bi ostali neotkriveni. Iskorištavanja eskalacije privilegija, kao što je dobro poznata ranjivost Zerologon (CVE-2020-1472), pomažu napadačima da prodru dublje u sustave.

U mnogim slučajevima napadači koriste protokole udaljene radne površine (RDP) i alate kao što je Cobalt Strike za uspostavljanje komandno-kontrolnih (C2) veza. Značajno je da ponekad registriraju vlastite uređaje s MFA sustavima, što im omogućuje održavanje trajnog pristupa tijekom dugih razdoblja bez izazivanja sumnje.

Ciljanje na Active Directory i šire

Iranski cyber akteri sve se više usredotočuju na kompromitiranje Active Directoryja, okosnice mnogih poslovnih IT okruženja. Active Directory igra ključnu ulogu u upravljanju autentifikacijom korisnika i dopuštenjima na svim mrežama. Kompromitiranje ovog sustava omogućuje napadačima da povećaju privilegije, dajući im pristup vrlo osjetljivim informacijama i kontrolu nad kritičnim sustavima.

Nedavni pomaci u krajoliku globalnih prijetnji također ukazuju na trend suradnje između hakerskih skupina nacionalnih država i organizacija kibernetičkog kriminala. Microsoftovo izvješće o digitalnoj obrani za 2024. naglašava da napadači koje sponzorira iranska država ne provode operacije samo iz geopolitičkih razloga, već su također motivirani financijskim dobitkom. Povjeravanjem dijelova svojih operacija kibernetičkim kriminalcima, oni proširuju svoj doseg, a istovremeno zadržavaju niži profil.

Što organizacije mogu učiniti

Kako bi ublažile te rizike, organizacije u ciljanim sektorima moraju poduzeti proaktivne mjere:

• Implementirajte MFA otporan na krađu identiteta gdje god je to moguće. Ako nije izvedivo, upotrijebite podudaranje brojeva kao sekundarnu opciju provjere autentičnosti.
• Redovito provjeravajte i krpajte ranjivosti, posebno u Active Directoryju i drugim kritičnim sustavima.
• Obučite zaposlenike da prepoznaju znakove MFA umora i potaknite ih da prijave sumnjive pokušaje prijave.
• Pratite mrežni promet radi neuobičajene aktivnosti, osobito izlaznih veza s poznatom C2 infrastrukturom.
• Surađujte s vladinim agencijama i kolegama iz industrije kako biste bili informirani o najnovijim prijetnjama i najboljim praksama za obranu.

Put naprijed

Kako kibernetički napadi postaju sve sofisticiraniji i isprepleteniji s globalnim geopolitičkim ciljevima, tvrtke moraju biti na oprezu. Jednogodišnja kampanja iranskih cyber aktera služi kao jasan podsjetnik da čak i najsnažniji sigurnosni sustavi mogu biti ugroženi bez odgovarajuće obrane.

Ostati ispred ovih prijetnji zahtijeva stalnu prilagodbu, suradnju i predanost najboljim praksama kibernetičke sigurnosti. Iako niti jedan sustav nije neprobojan, informirane i pripremljene organizacije imaju daleko veće šanse izdržati rastući val kibernetičkih napada.