Чувајте се! Ирански сајбер напади угрожавају критичну инфраструктуру у текућој глобалној кампањи

У свету сајбер претњи који се стално развија, један од најалармантнијих трендова је пораст сајбер напада које спонзорише држава усмерених на критичну инфраструктуру . Недавни заједнички савети кибернетичких и обавештајних агенција широм САД, Аустралије и Канаде откривају текућу једногодишњу кампању иранских сајбер актера усмерену на кључне секторе као што су здравство, енергија, влада и информационе технологије.

Методе иза иранских сајбер напада

Од октобра 2023. године, ирански сајбер актери су користили нападе грубе силе и прскање лозинки да би се инфилтрирали у организације . Ове тактике укључују систематско погађање лозинки и огромне системе за пријаву да би се добио неовлашћени приступ корисничким налозима. Сектори као што су здравство, инжењеринг и државне услуге су главне мете, с обзиром на њихову осетљивост и важност.

Једна нова тактика коју користе ови нападачи је бомбардовање вишефакторском аутентификацијом (МФА), такође познато као МФА замор. Преплављујући кориснике поновљеним МФА захтевима, нападачи се надају да ће изнервирати или збунити жртве да ненамерно одобре приступ. Реј Карни, стручњак за сајбер безбедност у компанији Тенабле, предлаже коришћење МФА отпорног на пхисхинг или коришћење подударања бројева за безбеднији процес аутентификације.

Примарни циљ ових напада је крађа акредитива и детаљних мрежних информација, које се затим продају на подземним форумима. Ово ствара могућности за друге сајбер криминалце да искористе компромитоване системе за даље нападе, усклађујући се са ширим пејзажом сајбер безбедности сарадње између група које спонзорише држава и организованог сајбер криминала.

Напредне технике напада

Након почетног приступа, ирански нападачи обично спроводе темељно извиђање система мете. Они користе алате „живота ван земље“ (ЛотЛ), који користе сопствену инфраструктуру организације како би остали неоткривени. Експлоатације ескалације привилегија, као што је добро позната рањивост Зерологон (ЦВЕ-2020-1472), помажу нападачима да прођу дубље у системе.

У многим случајевима, нападачи користе протоколе удаљене радне површине (РДП) и алате као што је Цобалт Стрике да би успоставили командне и контролне (Ц2) везе. Посебно, понекад региструју сопствене уређаје у МФА системима, омогућавајући им да задрже упоран приступ током дугог периода без изазивања сумње.

Циљање Ацтиве Дирецтори и даље

Ирански сајбер актери се све више фокусирају на компромитовање Ацтиве Дирецтори-а, окоснице многих ИТ окружења предузећа. Ацтиве Дирецтори игра кључну улогу у управљању аутентификацијом корисника и дозволама широм мрежа. Компромис овог система омогућава нападачима да повећају привилегије, дајући им приступ веома осетљивим информацијама и контролу над критичним системима.

Недавне промене у глобалном окружењу претњи такође указују на тренд сарадње између хакерских група нација-државе и организација сајбер-криминалаца. Мицрософтов извештај о дигиталној одбрани за 2024. истиче да нападачи које спонзорише иранска држава не само да спроводе операције из геополитичких разлога, већ су мотивисани и финансијском добити. Пребацујући делове својих операција на сајбер криминалце, они проширују свој домет уз задржавање нижег профила.

Шта организације могу да ураде

Да би ублажиле ове ризике, организације у циљаним секторима морају предузети проактивне мере:

• Примените МФА отпоран на пхисхинг где год је то могуће. Ако није изводљиво, користите подударање бројева као секундарну опцију аутентификације.
• Редовно проверавајте и закрпајте рањивости, посебно у Ацтиве Дирецтори-у и другим критичним системима.
• Обучите запослене да препознају знаке замора МФА и охрабрите их да пријаве сумњиве покушаје пријављивања.
• Надгледајте мрежни саобраћај ради неуобичајених активности, посебно одлазних веза са познатом Ц2 инфраструктуром.
• Сарађујте са владиним агенцијама и колегама из индустрије да бисте остали информисани о најновијим претњама и најбољим праксама за одбрану.

Тхе Роад Ахеад

Како сајбер напади постају све софистициранији и испреплетени са глобалним геополитичким циљевима, предузећа морају бити на опрезу. Годишња кампања иранских сајбер актера служи као оштар подсетник да чак и најјачи безбедносни системи могу бити угрожени без одговарајуће одбране.

Остати испред ових претњи захтева стално прилагођавање, сарадњу и посвећеност најбољим праксама сајбер безбедности. Иако ниједан систем није непробојан, информисане и припремљене организације имају далеко веће шансе да издрже растући талас сајбер напада.