Iranske hackere spiller det lange spil
En nylig rapport, som The Greanville Post har fremhævet, beskriver en mere stille og tålmodig form for cyberangreb, end de fleste forbinder med statsstøttet hacking. I stedet for at bryde gennem firewalls med oplagt malware, har iranske hackere med tilknytning til Den Islamiske Revolutionsgarde (IRGC) angiveligt brugt år på at integrere sig selv i amerikanske netværk, hvor de venter og observerer frem for at annoncere deres tilstedeværelse.
De grupper, der nævnes i rapporteringen, Cyber Av3ngers og Mint Sandstorm, beskrives som specialister i en teknik, som sikkerhedsforskere ofte kalder 'living off the land'. I stedet for at skrive skræddersyet ondsindet kode, som antivirussoftware kan flagge, stoler disse grupper angiveligt på legitime, indbyggede netværksadministrationsværktøjer, der allerede findes på de systemer, de angriber. Denne tilgang gør deres aktivitet langt sværere at skelne fra almindeligt IT-arbejde, hvilket netop er pointen.
Hvorfor stilhed er den reelle trussel
De fleste overskriftsgenererende sikkerhedsbrud involverer løsesumskrav, lækkede databaser eller offentlige afpresningskrav. Disse hændelser er forstyrrende, men de er også synlige næsten øjeblikkeligt. Mønsteret i denne rapportering er anderledes. IRGC-tilknyttede cybergrupper siges at prioritere at forblive skjult, nogle gange i længere perioder, så de kan opretholde adgang, indsamle information eller positionere sig til fremtidige handlinger frem for at forårsage øjeblikkelig skade.
Dette er vigtigt, fordi detektionsværktøjer, der er bygget til at spotte usædvanlig eller ondsindet software, er langt mindre effektive mod ubudne gæster, der bruger værktøjer, som skal være der. En systemadministrator, der kører rutinemæssig diagnosticering, eller et automatiseret script, der udfører planlagt vedligeholdelse, kan se identisk ud med en angriber, der bevæger sig gennem et netværk, hvis angriberen har lært at bruge de samme indbyggede værktøjer. Fraværet af åbenlyse advarselssignaler er i sig selv en del af strategien.
Den bredere cybersikkerhedsverden har allerede set, hvor meget skade der kan flyde fra infrastruktur, der forbliver ubemærket for længe. Efterforskninger af kriminel hostingvirksomhed, såsom den nylige hollandske beslaglæggelse af 800 servere knyttet til en bulletproof hosting-operation, viser, hvordan angribere af alle slags drager fordel af infrastruktur, der smelter ind i normal internettrafik. Uanset om målet er økonomisk svindel eller statslig spionage, er den underliggende lære den samme: Stille, tålmodig infiltration er ofte farligere end højlydte, åbenlyse angreb.
Privatlivskonsekvenserne for almindelige brugere
Det er fristende at se denne type rapportering som kun relevant for statslige myndigheder eller store virksomheder. Men privatlivskonsekvenserne rækker længere. Netværk, der er stille kompromitteret i længere perioder, kan eksponere personlige data, intern kommunikation og kontolegitimation længe før nogen indser, at noget er galt. I modsætning til et hurtigt angreb, der udløser øjeblikkelige notifikationer, kan en langsom, bevidst infiltration forblive uopdaget, mens angriberne beslutter, hvad der er værd at tage.
Dette er en del af grunden til, at storskala sikkerhedsbrud, som det, der ramte cirka 6 millioner kunder i Carnival Corporations databrud, ofte kan spores tilbage til adgang, der eksisterede længe før den offentlige offentliggørelse. Kløften mellem initial kompromittering og offentlig bevidsthed er, hvor den egentlige privatlivsskade har tendens til at akkumulere, da personlige data kan kopieres, sælges eller misbruges længe før de berørte personer informeres.
Hvad dette betyder for dig
Du er ikke det primære mål for en IRGC-cyberoperation, men den infrastruktur, du er afhængig af, fra forsyningsselskaber til sundhedsudbydere til finansielle institutioner, kunne være det. Når iranske hackere eller lignende statslige grupper med succes integrerer sig selv i en organisations netværk, bliver de personlige data, som organisationen har om dig, en del af eksponeringen, selvom du aldrig interagerer direkte med angriberne.
Den praktiske konklusion er ikke at gå i panik, men at anerkende, at tålmodighed og stealth nu er centrale kendetegn ved moderne hacking, ikke undtagelser. Organisationer opfordres i stigende grad til at overvåge for usædvanlige mønstre i legitim værktøjsbrug, ikke kun malware-signaturer. For enkeltpersoner forstærker dette skift værdien af at antage, at enhver konto eller tjeneste, du bruger, i sidste ende kan blive påvirket af et sikkerhedsbrud, du aldrig ser komme, før det bliver offentligt.
Vigtigste pointer til læserne
- Antag, at enhver organisation, der opbevarer dine data, fra sundhedspleje til rejser til gæstfrihed, kan blive påvirket af langsigtede, uopdagede netværksintrusioner frem for åbenlyse angreb.
- Aktiver multi-faktor-godkendelse overalt, hvor det tilbydes, da stjålne legitimationsoplysninger fra et stille sikkerhedsbrud ofte bruges længe før offentliggørelse.
- Overvåg kontoaktivitet og kreditrapporter med jævne mellemrum i stedet for at vente på en brudnotifikation, da stille infiltrationer kan gå forud for offentlig offentliggørelse med måneder eller år.
- Hold dig informeret om rapporteringer om statslige hackinggrupper, da forståelse af deres metoder hjælper med at forklare, hvorfor nogle sikkerhedsbrud tager så lang tid at komme frem.
Historien om iranske hackere, der stille arbejder inde i amerikanske netværk, er en påmindelse om, at de farligste intrusioner ofte er dem, ingen lægger mærke til med det samme. At holde sig informeret om disse mønstre og tage grundlæggende personlige sikkerhedsforanstaltninger alvorligt forbliver en af de mest effektive måder at begrænse følgerne på, når stilheden til sidst brydes.
