Atenție! Atacurile cibernetice iraniene amenință infrastructura critică în campania globală în curs

În lumea în continuă evoluție a amenințărilor cibernetice, una dintre cele mai alarmante tendințe este creșterea atacurilor cibernetice sponsorizate de stat care vizează infrastructura critică . Avizele comune recente din partea agențiilor de securitate cibernetică și de informații din SUA, Australia și Canada dezvăluie o campanie în curs de un an, realizată de actori cibernetici iranieni, care vizează sectoare cheie precum sănătatea, energia, guvernul și tehnologia informației.

Metodele din spatele atacurilor cibernetice iraniene

Din octombrie 2023, actorii cibernetici iranieni au folosit atacuri cu forță brută și pulverizare de parole pentru a se infiltra în organizații . Aceste tactici implică ghicirea sistematică a parolelor și sistemele de conectare copleșitoare pentru a obține acces neautorizat la conturile de utilizator. Sectoarele precum asistența medicală, inginerie și serviciile guvernamentale sunt ținte principale, având în vedere sensibilitatea și importanța lor.

O tactică emergentă folosită de acești atacatori este bombardarea prin autentificare cu mai mulți factori (MFA), cunoscută și sub numele de oboseală MFA. Inundând utilizatorii cu solicitări MFA repetate, atacatorii speră să enerveze sau să încurce victimele să aprobe accesul neintenționat. Ray Carney, expert în securitate cibernetică la Tenable, sugerează utilizarea MFA rezistentă la phishing sau folosirea potrivirii numerelor pentru un proces de autentificare mai sigur.

Scopul principal al acestor atacuri este de a fura acreditări și informații detaliate despre rețea, care sunt apoi vândute pe forumuri subterane. Acest lucru creează oportunități pentru alți infractori cibernetici de a exploata sisteme compromise pentru alte atacuri, aliniindu-se cu peisajul mai larg de securitate cibernetică al colaborării dintre grupurile sponsorizate de stat și criminalitatea cibernetică organizată.

Tehnici avansate de atac

După accesul inițial, atacatorii iranieni efectuează de obicei recunoașteri amănunțite ale sistemelor țintei. Ei folosesc instrumente „loc de viață” (LotL), care utilizează infrastructura proprie a organizației pentru a rămâne nedetectați. Exploaturile de escaladare a privilegiilor, cum ar fi binecunoscuta vulnerabilitate Zerologon (CVE-2020-1472), îi ajută pe atacatori să pătrundă mai adânc în sisteme.

În multe cazuri, atacatorii folosesc protocoale desktop la distanță (RDP) și instrumente precum Cobalt Strike pentru a stabili conexiuni de comandă și control (C2). În special, își înregistrează uneori propriile dispozitive cu sisteme MFA, permițându-le să mențină accesul persistent pe perioade lungi fără a ridica suspiciuni.

Vizarea Active Directory și nu numai

Actorii cibernetici iranieni se concentrează din ce în ce mai mult pe compromiterea Active Directory, coloana vertebrală a multor medii IT de întreprindere. Active Directory joacă un rol crucial în gestionarea autentificării utilizatorilor și a permisiunilor în rețele. Compromisul acestui sistem permite atacatorilor să escaladeze privilegiile, oferindu-le acces la informații extrem de sensibile și control asupra sistemelor critice.

Schimbările recente în peisajul global al amenințărilor indică, de asemenea, o tendință de colaborare între grupurile de hacking ale statelor naționale și organizațiile criminale cibernetice. Raportul Microsoft 2024 privind apărarea digitală subliniază că atacatorii iranieni sponsorizați de stat nu desfășoară doar operațiuni din motive geopolitice, ci sunt și motivați de câștiguri financiare. Prin externalizarea unor părți din operațiunile lor către infractorii cibernetici, aceștia își extind raza de acțiune, menținând în același timp un profil mai scăzut.

Ce pot face organizațiile

Pentru a atenua aceste riscuri, organizațiile din sectoarele vizate trebuie să ia măsuri proactive:

• Implementați MFA rezistent la phishing oriunde este posibil. Dacă nu este fezabil, utilizați potrivirea numerelor ca opțiune secundară de autentificare.
• Auditează și corectează în mod regulat vulnerabilitățile, în special în Active Directory și alte sisteme critice.
• Antrenați angajații să recunoască semnele oboselii MFA și încurajați-i să raporteze încercările de conectare suspecte.
• Monitorizați traficul de rețea pentru activități neobișnuite, în special conexiuni de ieșire la infrastructura C2 cunoscută.
• Colaborați cu agențiile guvernamentale și cu colegii din industrie pentru a fi la curent cu cele mai recente amenințări și cele mai bune practici pentru apărare.

Drumul Înainte

Pe măsură ce atacurile cibernetice devin mai sofisticate și se împletesc cu obiectivele geopolitice globale, întreprinderile trebuie să fie vigilente. Campania de un an realizată de actorii cibernetici iranieni servește ca o reamintire clară că chiar și cele mai robuste sisteme de securitate pot fi compromise fără apărarea adecvată.

A rămâne în fața acestor amenințări necesită adaptare constantă, colaborare și un angajament față de cele mai bune practici de securitate cibernetică. Deși niciun sistem nu este impermeabil, organizațiile informate și pregătite au șanse mult mai mari de a rezista valului în creștere de atacuri cibernetice.