Иранските хакери играят дългата игра

Скорошен доклад, подчертан от The Greanville Post, описва по-тих и по-търпелив стил на кибератака, отколкото повечето хора свързват с държавно спонсорирано хакерство. Вместо да пробиват защитни стени с очевиден зловреден софтуер, ирански хакери, свързани с Ислямския революционен гвардейски корпус (IRGC), според съобщенията са прекарали години в внедряване в американски мрежи, чакайки и наблюдавайки, вместо да обявяват присъствието си.

Посочените в репортажа групи, Cyber Av3ngers и Mint Sandstorm, са описани като специалисти в техника, която изследователите по сигурността често наричат „живеене от земята“. Вместо да пишат персонализиран зловреден код, който антивирусният софтуер може да засече, тези групи според съобщенията разчитат на легитимни, вградени инструменти за мрежова администрация, които вече присъстват в системите, които атакуват. Този подход прави дейността им много по-трудна за разграничаване от нормалната ИТ работа, което е точно целта.

Защо тишината е истинската заплаха

Повечето атаки, които попадат в заглавията, включват искания за откуп, изтекли бази данни или публични искания за изнудване. Тези инциденти са разрушителни, но също така са видими почти веднага. Моделът, описан в този репортаж, е различен. Кибер групи, свързани с IRGC, се казва, че дават приоритет на оставането скрити, понякога за продължителни периоди, за да могат да поддържат достъп, да събират информация или да се позиционират за бъдещи действия, вместо да причинят незабавни щети.

Това има значение, защото инструментите за откриване, изградени около забелязването на необичаен или зловреден софтуер, са много по-малко ефективни срещу натрапници, използващи инструменти, които се предполага, че трябва да са там. Системен администратор, изпълняващ рутинна диагностика, или автоматизиран скрипт, извършващ планирана поддръжка, може да изглежда идентично с атакуващ, движещ се през мрежа, ако този атакуващ се е научил да използва същите вградени помощни програми. Липсата на очевидни червени знамена сама по себе си е част от стратегията.

По-широкият свят на киберсигурността вече е видял колко много щети могат да произтекат от инфраструктура, която остава незабелязана твърде дълго. Разследванията на престъпни хостинг операции, като скорошния конфискат от Нидерландия на 800 сървъра, свързани с bulletproof хостинг операция, показват как атакуващите от всякакъв вид се възползват от инфраструктура, която се слива с нормалния интернет трафик. Независимо дали целта е финансова измама или държавен шпионаж, основният урок е същият: тихото, търпеливо проникване често е по-опасно от шумните, очевидни атаки.

Последиците за поверителността за обикновените потребители

Изкушаващо е да се гледа на този вид репортажи като на релевантни само за правителствени агенции или големи корпорации. Но последиците за поверителността се простират по-далеч. Мрежи, които са тихо компрометирани за продължителни периоди, могат да изложат лични данни, вътрешни комуникации и идентификационни данни за акаунти много преди някой да осъзнае, че нещо не е наред. За разлика от атака тип „удари и бягай“, която предизвиква незабавни известия, бавното, умишлено проникване може да остане незабелязано, докато атакуващите решават какво си струва да вземат.

Това е отчасти причината мащабните пробиви, като този, засягащ приблизително 6 милиона клиенти в пробива на данни на Carnival Corporation, често да водят началото си от достъп, съществувал много преди публичното разкриване. Празнината между първоначалната компрометация и обществената осведоменост е мястото, където реалните щети за поверителността обикновено се натрупват, тъй като личните данни могат да бъдат копирани, продадени или злоупотребени много преди засегнатите лица да бъдат информирани.

Какво означава това за вас

Вие не сте основната цел на кибероперация на IRGC, но инфраструктурата, на която разчитате, от комунални услуги до здравни заведения до финансови институции, би могла да бъде. Когато ирански хакери или подобни държавно свързани групи успешно се внедрят в мрежата на организация, личните данни, които тази организация съхранява за вас, стават част от експозицията, дори ако никога не взаимодействате директно с атакуващите.

Практическият извод не е да се паникьосвате, а да признаете, че търпението и скритостта вече са централни характеристики на модерното хакерство, а не изключения. Организациите все по-често се призовават да наблюдават за необичайни модели на използване на легитимни инструменти, а не само за подписи на зловреден софтуер. За отделните хора тази промяна подсилва стойността на предположението, че всеки акаунт или услуга, които използвате, евентуално може да бъде засегнат от пробив, който никога не виждате, докато не стане публичен.

Изводи за читателите

  • Приемете, че всяка организация, съхраняваща вашите данни, от здравеопазване до пътувания до хотелиерство, може да бъде засегната от дългосрочни, неоткрити мрежови прониквания, а не от очевидни атаки.
  • Активирайте многофакторно удостоверяване навсякъде, където се предлага, тъй като откраднатите идентификационни данни от тих пробив често се използват много преди разкриването.
  • Наблюдавайте периодично активността на акаунтите и кредитните си отчети, вместо да чакате известие за пробив, тъй като тихите прониквания могат да предшестват публичното разкриване с месеци или години.
  • Бъдете информирани за репортажите за държавно свързани хакерски групи, тъй като разбирането на методите им помага да се обясни защо някои пробиви отнемат толкова време, за да излязат наяве.

Историята за ирански хакери, работещи тихо в американски мрежи, е напомняне, че най-опасните прониквания често са тези, които никой не забелязва веднага. Да останете информирани за тези модели и да приемате сериозно основните мерки за лична сигурност, остава един от най-ефективните начини да ограничите последствията, когато тишината най-накрая бъде нарушена.