Awas! Serangan Siber Iran Mengancam Infrastruktur Kritikal dalam Kempen Global yang Berterusan

Dalam dunia ancaman siber yang sentiasa berkembang, salah satu trend yang paling membimbangkan ialah peningkatan serangan siber tajaan kerajaan yang menyasarkan infrastruktur kritikal . Nasihat bersama baru-baru ini daripada agensi keselamatan siber dan perisikan di seluruh AS, Australia dan Kanada mendedahkan kempen berterusan selama setahun oleh pelakon siber Iran yang bertujuan untuk sektor utama seperti penjagaan kesihatan, tenaga, kerajaan dan teknologi maklumat.

Kaedah Di Sebalik Serangan Siber Iran

Sejak Oktober 2023, pelakon siber Iran telah menggunakan serangan kekerasan dan penyemburan kata laluan untuk menyusup ke dalam organisasi . Taktik ini melibatkan meneka kata laluan secara sistematik dan sistem log masuk yang hebat untuk mendapatkan akses tanpa kebenaran kepada akaun pengguna. Sektor seperti penjagaan kesihatan, kejuruteraan dan perkhidmatan kerajaan adalah sasaran utama, berdasarkan sensitiviti dan kepentingannya.

Satu taktik baru yang digunakan oleh penyerang ini ialah pengeboman tolak pengesahan berbilang faktor (MFA), juga dikenali sebagai keletihan MFA. Dengan membanjiri pengguna dengan permintaan MFA berulang, penyerang berharap dapat mengganggu atau mengelirukan mangsa untuk meluluskan akses secara tidak sengaja. Ray Carney, pakar keselamatan siber di Tenable, mencadangkan menggunakan MFA tahan pancingan data atau menggunakan padanan nombor untuk proses pengesahan yang lebih selamat.

Matlamat utama serangan ini adalah untuk mencuri bukti kelayakan dan maklumat rangkaian terperinci, yang kemudiannya dijual di forum bawah tanah. Ini mewujudkan peluang untuk penjenayah siber lain untuk mengeksploitasi sistem yang terjejas untuk serangan selanjutnya, sejajar dengan landskap keselamatan siber yang lebih luas kerjasama antara kumpulan tajaan kerajaan dan jenayah siber yang teratur.

Teknik Serangan Lanjutan

Selepas akses awal, penyerang Iran biasanya melakukan peninjauan menyeluruh terhadap sistem sasaran. Mereka menggunakan alat "living-off-the-land" (LotL), yang menggunakan infrastruktur organisasi sendiri untuk kekal tidak dapat dikesan. Eksploitasi peningkatan keistimewaan, seperti kerentanan Zerologon yang terkenal (CVE-2020-1472), membantu penyerang bergerak lebih dalam ke dalam sistem.

Dalam kebanyakan kes, penyerang memanfaatkan protokol desktop jauh (RDP) dan alatan seperti Cobalt Strike untuk mewujudkan sambungan arahan dan kawalan (C2). Terutama sekali, mereka kadangkala mendaftarkan peranti mereka sendiri dengan sistem MFA, membolehkan mereka mengekalkan akses berterusan dalam tempoh yang lama tanpa menimbulkan syak wasangka.

Menyasarkan Direktori Aktif dan Seterusnya

Pelakon siber Iran semakin menumpukan pada menjejaskan Direktori Aktif, tulang belakang banyak persekitaran IT perusahaan. Active Directory memainkan peranan penting dalam mengurus pengesahan dan kebenaran pengguna merentas rangkaian. Kompromi sistem ini membolehkan penyerang meningkatkan keistimewaan, memberikan mereka akses kepada maklumat yang sangat sensitif dan kawalan ke atas sistem kritikal.

Peralihan terkini dalam landskap ancaman global juga menunjukkan trend kerjasama antara kumpulan penggodam negara bangsa dan organisasi penjenayah siber. Laporan Pertahanan Digital 2024 Microsoft menyerlahkan bahawa penyerang tajaan negara Iran bukan sahaja menjalankan operasi atas sebab geopolitik tetapi juga didorong oleh keuntungan kewangan. Dengan menyumber luar bahagian operasi mereka kepada penjenayah siber, mereka meluaskan jangkauan mereka sambil mengekalkan profil yang lebih rendah.

Apa yang Organisasi Boleh Lakukan

Untuk mengurangkan risiko ini, organisasi dalam sektor sasaran mesti mengambil langkah proaktif:

• Laksanakan MFA tahan pancingan data di mana mungkin. Jika tidak dapat dilaksanakan, gunakan padanan nombor sebagai pilihan pengesahan kedua.
• Sentiasa mengaudit dan menambal kelemahan, terutamanya dalam Active Directory dan sistem kritikal lain.
• Latih pekerja untuk mengenali tanda-tanda keletihan MFA dan menggalakkan mereka melaporkan percubaan log masuk yang mencurigakan.
• Pantau trafik rangkaian untuk aktiviti luar biasa, terutamanya sambungan keluar ke infrastruktur C2 yang diketahui.
• Bekerjasama dengan agensi kerajaan dan rakan industri untuk terus mendapat maklumat tentang ancaman terkini dan amalan terbaik untuk pertahanan.

Jalan Hadapan

Apabila serangan siber menjadi lebih canggih dan saling berkaitan dengan objektif geopolitik global, perniagaan mesti berwaspada. Kempen selama setahun oleh pelakon siber Iran menjadi peringatan yang jelas bahawa sistem keselamatan yang paling teguh pun boleh dikompromi tanpa perlindungan yang sewajarnya.

Mengekalkan ancaman ini memerlukan penyesuaian berterusan, kerjasama dan komitmen terhadap amalan terbaik keselamatan siber. Walaupun tiada sistem yang kedap, organisasi bermaklumat dan bersedia mempunyai peluang yang jauh lebih baik untuk menahan gelombang serangan siber yang semakin meningkat.