Íránští hackeři hrají dlouhou hru

Nedávná zpráva, na kterou upozornil The Greanville Post, popisuje tišší a trpělivější styl kybernetického útoku, než jaký si většina lidí spojuje se státem sponzorovaným hackingem. Místo prorážení firewallů zjevným malwarem se íránští hackeři napojení na Sbor islámských revolučních gard (IRGC) údajně roky zanořovali do amerických sítí, čekali a pozorovali, místo aby ohlašovali svou přítomnost.

Skupiny jmenované ve zprávě, Cyber Av3ngers a Mint Sandstorm, jsou popisovány jako specialisté na techniku, kterou bezpečnostní výzkumníci často nazývají „žití z krajiny" (living off the land). Místo psaní vlastního škodlivého kódu, který by antivirový software mohl odhalit, se tyto skupiny údajně spoléhají na legitimní, vestavěné nástroje pro správu sítí, které se již na cílových systémech nacházejí. Tento přístup činí jejich činnost mnohem hůře odlišitelnou od běžné IT práce, což je přesně ten záměr.

Proč je ticho skutečnou hrozbou

Většina útoků, které se dostanou na titulní stránky, zahrnuje výkupné poznámky, uniklé databáze nebo veřejné vydírání. Tyto incidenty jsou disruptivní, ale jsou také viditelné téměř okamžitě. Vzor popsaný v této zprávě je jiný. O kybernetických skupinách napojených na IRGC se říká, že upřednostňují utajení, někdy po dlouhou dobu, aby si udržely přístup, shromažďovaly informace nebo se připravily na budoucí akci, spíše než aby způsobily okamžitou škodu.

To je důležité, protože detekční nástroje postavené na rozpoznávání neobvyklého nebo škodlivého softwaru jsou mnohem méně účinné proti vetřelcům, kteří používají nástroje, které tam mají být. Správce systému spouštějící rutinní diagnostiku nebo automatizovaný skript provádějící plánovanou údržbu může vypadat identicky jako útočník pohybující se po síti, pokud se útočník naučil používat stejné vestavěné nástroje. Absence zjevných varovných signálů je sama o sobě součástí strategie.

Širší svět kybernetické bezpečnosti již viděl, kolik škod může plynout z infrastruktury, která zůstává příliš dlouho nepovšimnuta. Vyšetřování zločineckých hostingových operací, jako je nedávné zabavení 800 serverů v Nizozemsku spojených s operací bulletproof hostingu, ukazuje, jak útočníci všeho druhu těží z infrastruktury, která splývá s běžným internetovým provozem. Ať už je cílem finanční podvod nebo státní špionáž, základní ponaučení je stejné: tichá, trpělivá infiltrace je často nebezpečnější než hlasité, zjevné útoky.

Důsledky pro soukromí běžných uživatelů

Je lákavé považovat tento druh zpráv za relevantní pouze pro vládní agentury nebo velké korporace. Ale důsledky pro soukromí sahají dál. Sítě, které jsou tiše kompromitovány po dlouhou dobu, mohou odhalit osobní údaje, interní komunikaci a přihlašovací údaje k účtům dlouho předtím, než si někdo uvědomí, že něco není v pořádku. Na rozdíl od útoku typu „chytit a utéct", který okamžitě spustí upozornění, může pomalá, záměrná infiltrace zůstat neodhalena, zatímco útočníci rozhodují, co stojí za to vzít.

To je částečně důvod, proč se rozsáhlé úniky dat, jako je ten, který postihl přibližně 6 milionů zákazníků při úniku dat společnosti Carnival Corporation, často vracejí k přístupu, který existoval dlouho před veřejným zveřejněním. Mezera mezi počáteční kompromitací a veřejným povědomím je místem, kde se skutečné škody na soukromí hromadí, protože osobní údaje mohou být zkopírovány, prodány nebo zneužity dlouho předtím, než jsou dotčení jednotlivci informováni.

Co to znamená pro vás

Nejste primárním cílem íránské kybernetické operace, ale infrastruktura, na kterou se spoléháte, od utilit po poskytovatele zdravotní péče až po finanční instituce, by jím být mohla. Když se íránským hackerům nebo podobným státem napojeným skupinám úspěšně podaří zavrtat se do sítě organizace, osobní údaje, které tato organizace o vás drží, se stanou součástí expozice, i když s útočníky nikdy nepřijdete do přímého kontaktu.

Praktické ponaučení není panikařit, ale uznat, že trpělivost a utajení se nyní staly ústředními rysy moderního hackingu, nikoli výjimkami. Organizace jsou stále častěji vyzývány, aby monitorovaly neobvyklé vzorce používání legitimních nástrojů, nejen podpisy malwaru. Pro jednotlivce tato změna posiluje hodnotu předpokladu, že jakýkoli účet nebo služba, kterou používáte, by mohly být nakonec postiženy únikem, který nikdy neuvidíte, dokud se nestane veřejným.

Ponaučení pro čtenáře

  • Předpokládejte, že jakákoli organizace držící vaše data, od zdravotnictví po cestovní ruch a pohostinství, by mohla být postižena dlouhodobými, neodhalenými síťovými průniky spíše než zjevnými útoky.
  • Povolte vícefaktorovou autentizaci všude, kde je nabízena, protože odcizené přihlašovací údaje z tichého úniku jsou často použity dlouho před zveřejněním.
  • Pravidelně sledujte aktivitu účtů a úvěrové zprávy, místo abyste čekali na oznámení o úniku, protože tiché infiltrace mohou předcházet veřejnému zveřejnění o měsíce nebo roky.
  • Sledujte zprávy o státem napojených hackerských skupinách, protože pochopení jejich metod pomáhá vysvětlit, proč některé úniky trvají tak dlouho, než vyplavou na povrch.

Příběh íránských hackerů tiše pracujících v amerických sítích je připomínkou, že nejnebezpečnější průniky jsou často ty, které si nikdo hned nevšimne. Zůstat informovaný o těchto vzorcích a brát základní osobní bezpečnostní opatření vážně zůstává jedním z nejúčinnějších způsobů, jak omezit dopady, když ticho nakonec prolomí.