Pozor! Iránske kybernetické útoky ohrozujú kritickú infraštruktúru v prebiehajúcej globálnej kampani

V neustále sa vyvíjajúcom svete kybernetických hrozieb je jedným z najznepokojujúcejších trendov nárast štátom podporovaných kybernetických útokov zameraných na kritickú infraštruktúru . Nedávne spoločné odporúčania od kybernetickej bezpečnosti a spravodajských agentúr v USA, Austrálii a Kanade odhaľujú prebiehajúcu celoročnú kampaň iránskych kybernetických aktérov zameranú na kľúčové sektory, ako je zdravotníctvo, energetika, vláda a informačné technológie.

Metódy za iránskymi kyberútokmi

Od októbra 2023 iránski kybernetickí aktéri využívajú útoky hrubou silou a sprejovanie hesiel, aby infiltrovali organizácie . Tieto taktiky zahŕňajú systematické hádanie hesiel a ohromujúce prihlasovacie systémy na získanie neoprávneného prístupu k používateľským účtom. Sektory ako zdravotníctvo, strojárstvo a vládne služby sú hlavnými cieľmi vzhľadom na ich citlivosť a dôležitosť.

Jednou z nových taktík, ktoré títo útočníci používajú, je viacfaktorové overovanie (MFA) push bombing, tiež známe ako únava z MFA. Útočníci dúfajú, že zaplavením používateľov opakovanými žiadosťami o MFA obťažujú alebo zmiasť obete, aby neúmyselne schválili prístup. Ray Carney, odborník na kybernetickú bezpečnosť zo spoločnosti Tenable, navrhuje použiť MFA odolné voči phishingu alebo použiť párovanie čísel pre bezpečnejší proces overovania.

Primárnym cieľom týchto útokov je ukradnúť prihlasovacie údaje a podrobné informácie o sieti, ktoré sa potom predávajú na podzemných fórach. To vytvára príležitosti pre ďalších kyberzločincov, aby využili kompromitované systémy na ďalšie útoky v súlade so širším prostredím kybernetickej bezpečnosti spolupráce medzi štátom sponzorovanými skupinami a organizovaným kyberzločinom.

Pokročilé techniky útoku

Po počiatočnom prístupe iránski útočníci zvyčajne vykonávajú dôkladný prieskum systémov cieľa. Používajú nástroje „living-off-the-land“ (LotL), ktoré využívajú vlastnú infraštruktúru organizácie, aby zostali neodhalené. Zneužitia eskalácie privilégií, ako je napríklad známa zraniteľnosť Zerologon (CVE-2020-1472), pomáhajú útočníkom preniknúť hlbšie do systémov.

V mnohých prípadoch útočníci využívajú protokoly vzdialenej pracovnej plochy (RDP) a nástroje ako Cobalt Strike na vytvorenie spojení príkazov a ovládania (C2). Najmä niekedy registrujú svoje vlastné zariadenia v systémoch MFA, čo im umožňuje udržiavať trvalý prístup po dlhú dobu bez vzbudenia podozrenia.

Zacielenie na Active Directory a ďalšie

Iránski kybernetickí aktéri sa čoraz viac zameriavajú na kompromitovanie služby Active Directory, ktorá je chrbtovou kosťou mnohých podnikových IT prostredí. Služba Active Directory zohráva kľúčovú úlohu pri správe overovania používateľov a povolení v rámci sietí. Kompromis tohto systému umožňuje útočníkom eskalovať privilégiá, čo im poskytuje prístup k vysoko citlivým informáciám a kontrolu nad kritickými systémami.

Nedávne zmeny v oblasti globálnych hrozieb tiež poukazujú na trend spolupráce medzi hackerskými skupinami národných štátov a kyberzločineckými organizáciami. Správa o digitálnej obrane spoločnosti Microsoft z roku 2024 zdôrazňuje, že útočníci sponzorovaní Iránom nevykonávajú operácie len z geopolitických dôvodov, ale sú motivovaní aj finančným ziskom. Outsourcingom časti svojich operácií kyberzločincom rozširujú svoj dosah a zároveň si zachovávajú nižší profil.

Čo môžu robiť organizácie

Na zmiernenie týchto rizík musia organizácie v cieľových sektoroch prijať proaktívne opatrenia:

• Implementujte MFA odolné voči phishingu všade, kde je to možné. Ak to nie je možné, použite zhodu čísel ako sekundárnu možnosť overenia.
• Pravidelne auditujte a opravujte slabé miesta, najmä v Active Directory a iných kritických systémoch.
• Vyškolte zamestnancov, aby rozpoznali príznaky únavy MFA, a povzbuďte ich, aby hlásili podozrivé pokusy o prihlásenie.
• Monitorujte sieťovú prevádzku kvôli nezvyčajnej aktivite, najmä odchádzajúce pripojenia k známej infraštruktúre C2.
• Spolupracujte s vládnymi agentúrami a kolegami z odvetvia, aby ste boli informovaní o najnovších hrozbách a osvedčených postupoch v oblasti obrany.

Cesta vpred

Keďže sa kybernetické útoky stávajú sofistikovanejšími a prelínajú sa s globálnymi geopolitickými cieľmi, podniky musia byť ostražité. Celoročná kampaň iránskych kybernetických aktérov slúži ako jasná pripomienka, že aj tie najrobustnejšie bezpečnostné systémy môžu byť ohrozené bez primeranej ochrany.

Udržať si náskok pred týmito hrozbami si vyžaduje neustále prispôsobovanie, spoluprácu a odhodlanie dodržiavať osvedčené postupy v oblasti kybernetickej bezpečnosti. Hoci žiadny systém nie je nepriepustný, informované a pripravené organizácie majú oveľa väčšiu šancu odolať rastúcej vlne kybernetických útokov.