Iraanse hackers spelen het lange spel

Een recent rapport dat door The Greanville Post werd uitgelicht, beschrijft een stillere, geduldigere stijl van cyberaanval dan de meeste mensen associëren met door de staat gesponsorde hacking. In plaats van met duidelijke malware door firewalls heen te breken, hebben Iraanse hackers die banden hebben met de Islamitische Revolutionaire Garde (IRGC) naar verluidt jaren besteed aan het zich nestelen in Amerikaanse netwerken, wachtend en kijkend in plaats van hun aanwezigheid aan te kondigen.

De groepen die in de berichtgeving worden genoemd, Cyber Av3ngers en Mint Sandstorm, worden beschreven als specialisten in een techniek die beveiligingsonderzoekers vaak 'living off the land' noemen. In plaats van aangepaste kwaadaardige code te schrijven die antivirussoftware zou kunnen markeren, vertrouwen deze groepen naar verluidt op legitieme, ingebouwde netwerkbeheertools die al aanwezig zijn op de systemen die ze targeten. Die aanpak maakt hun activiteit veel moeilijker te onderscheiden van normaal IT-werk, en dat is precies de bedoeling.

Waarom stilte de echte dreiging is

De meeste nieuwswaardige datalekken gaan gepaard met losgeldberichten, gelekt databases of openbare afpersingseisen. Die incidenten zijn ontwrichtend, maar ze zijn ook vrijwel onmiddellijk zichtbaar. Het patroon dat in deze berichtgeving wordt beschreven, is anders. IRGC-gelinkte cybergroepen zouden prioriteit geven aan verborgen blijven, soms voor langere perioden, zodat ze toegang kunnen behouden, informatie kunnen verzamelen of zich kunnen positioneren voor toekomstige actie in plaats van onmiddellijke schade te veroorzaken.

Dit is belangrijk omdat detectietools die zijn gebouwd rond het opsporen van ongebruikelijke of kwaadaardige software veel minder effectief zijn tegen indringers die tools gebruiken die er zouden moeten zijn. Een systeembeheerder die routinematige diagnostiek uitvoert, of een geautomatiseerd script dat gepland onderhoud uitvoert, kan er identiek uitzien aan een aanvaller die door een netwerk beweegt, als die aanvaller heeft geleerd dezelfde ingebouwde hulpprogramma's te gebruiken. De afwezigheid van duidelijke rode vlaggen is zelf onderdeel van de strategie.

De bredere cybersecuritywereld heeft al gezien hoeveel schade kan voortvloeien uit infrastructuur die te lang onopgemerkt blijft. Onderzoeken naar criminele hostingoperaties, zoals de recente Nederlandse inbeslagname van 800 servers die verbonden waren met een bulletproof hostingoperatie, laten zien hoe aanvallers van allerlei aard profiteren van infrastructuur die opgaat in normaal internetverkeer. Of het doel nu financieel frauduleus is of spionage op staatsniveau, de onderliggende les is dezelfde: stille, geduldige infiltratie is vaak gevaarlijker dan luide, duidelijke aanvallen.

De privacy-implicaties voor gewone gebruikers

Het is verleidelijk om dit soort berichtgeving alleen relevant te achten voor overheidsinstanties of grote bedrijven. Maar de privacy-implicaties reiken verder. Netwerken die gedurende langere perioden stilletjes zijn gecompromitteerd, kunnen persoonlijke gegevens, interne communicatie en accountgegevens blootleggen lang voordat iemand zich realiseert dat er iets mis is. In tegenstelling tot een inbraak met grote zichtbaarheid die onmiddellijke meldingen veroorzaakt, kan een langzame, doelbewuste infiltratie onopgemerkt blijven terwijl aanvallers beslissen wat de moeite waard is om mee te nemen.

Dit is deels de reden waarom grootschalige datalekken, zoals die waarbij ongeveer 6 miljoen klanten werden blootgesteld in het datalek bij Carnival Corporation, vaak terug te voeren zijn op toegang die al bestond vóór de openbare bekendmaking. De kloof tussen de eerste compromittering en het publieke bewustzijn is waar de echte privacyschade zich meestal opstapelt, omdat persoonlijke gegevens lang gekopieerd, verkocht of misbruikt kunnen worden voordat de betrokken personen worden geïnformeerd.

Wat dit voor jou betekent

Jij bent niet het primaire doelwit van een IRGC-cyberoperatie, maar de infrastructuur waarop je vertrouwt, van nutsbedrijven tot zorgverleners tot financiële instellingen, zou dat wel kunnen zijn. Wanneer Iraanse hackers of vergelijkbare staatsgelinkte groepen zich met succes in het netwerk van een organisatie nestelen, wordt de persoonlijke data die die organisatie over jou bewaart onderdeel van de blootstelling, zelfs als je nooit direct met de aanvallers interacteert.

De praktische conclusie is niet om in paniek te raken, maar om te erkennen dat geduld en heimelijkheid nu centrale kenmerken zijn van moderne hacking, geen uitzonderingen. Organisaties worden steeds vaker aangespoord om te monitoren op ongebruikelijke patronen van legitiem toolgebruik, niet alleen op malware-signaturen. Voor individuen versterkt die verschuiving de waarde van de aanname dat elk account of elke dienst die je gebruikt uiteindelijk getroffen kan worden door een datalek dat je nooit ziet aankomen totdat het openbaar wordt.

Belangrijkste punten voor lezers

  • Ga ervan uit dat elke organisatie die jouw gegevens bewaart, van gezondheidszorg tot reizen tot horeca, getroffen kan worden door langdurige, onopgemerkte netwerkinbraken in plaats van voor de hand liggende aanvallen.
  • Schakel multi-factorauthenticatie in overal waar het wordt aangeboden, omdat gestolen inloggegevens uit een stille inbraak vaak lang vóór de bekendmaking worden gebruikt.
  • Controleer regelmatig accountactiviteit en kredietrapporten in plaats van te wachten op een datalekmelding, omdat stille infiltraties maanden of jaren aan de openbare bekendmaking vooraf kunnen gaan.
  • Blijf op de hoogte van berichtgeving over staatsgelinkte hackgroepen, omdat het begrijpen van hun methoden helpt verklaren waarom sommige datalekken zo lang duren voordat ze boven water komen.

Het verhaal van Iraanse hackers die stilletjes in Amerikaanse netwerken werken, is een herinnering dat de gevaarlijkste inbraken vaak degenen zijn die niemand onmiddellijk opmerkt. Op de hoogte blijven van deze patronen, en basisbeveiligingsmaatregelen voor persoonlijke veiligheid serieus nemen, blijft een van de meest effectieve manieren om de schade te beperken wanneer de stilte uiteindelijk verbroken wordt.