Irans Cyber Av3ngers og Mint Sandstorm infiltrerer amerikanske nettverk

Iranske hackere spiller det lange spillet

En fersk rapport fremhevet av The Greanville Post beskriver en roligere, mer tålmodig stil med cyberangrep enn det de fleste forbinder med statsstøttet hacking. I stedet for å bryte gjennom brannmurer med åpenbar skadelig programvare, skal iranske hackere knyttet til Islamske revolusjonsgarde (IRGC) angivelig ha brukt år på å innplassere seg i amerikanske nettverk, ventet og observert fremfor å kunngjøre sin tilstedeværelse.

Gruppene som nevnes i rapporteringen, Cyber Av3ngers og Mint Sandstorm, beskrives som spesialister på en teknikk som sikkerhetsforskere ofte kaller «living off the land». I stedet for å skrive tilpasset skadelig kode som antivirusprogramvare kan flagge, skal disse gruppene angivelig stole på legitime, innebygde nettverksadministrasjonsverktøy som allerede finnes på systemene de angriper. Denne tilnærmingen gjør aktiviteten deres langt vanskeligere å skille fra vanlig IT-arbeid, og det er nettopp poenget.

Hvorfor stillhet er den virkelige trusselen

De fleste overskriftsskapende datainnbrudd involverer løsepengevarsler, lekkede databaser eller offentlige utpressingskrav. Disse hendelsene er forstyrrende, men de er også synlige nesten umiddelbart. Mønsteret som beskrives i denne rapporteringen er annerledes. IRGC-tilknyttede cybergrupper skal prioritere å forbli skjult, noen ganger over lengre perioder, slik at de kan opprettholde tilgang, samle informasjon eller posisjonere seg for fremtidig handling i stedet for å forårsake umiddelbar skade.

Dette betyr noe fordi deteksjonsverktøy bygget for å oppdage uvanlig eller ondsinnet programvare er langt mindre effektive mot inntrengere som bruker verktøy som er ment å være der. En systemadministrator som kjører rutinediagnostikk, eller et automatisert skript som utfører planlagt vedlikehold, kan se identisk ut med en angriper som beveger seg gjennom et nettverk, hvis angriperen har lært seg å bruke de samme innebygde verktøyene. Fraværet av åpenbare røde flagg er i seg selv en del av strategien.

Den bredere cybersikkerhetsverdenen har allerede sett hvor mye skade som kan flyte fra infrastruktur som forblir ubemerket for lenge. Etterforskninger av kriminelle hostingvirksomheter, som den nylige nederlandske beslagleggelsen av 800 servere knyttet til en bulletproof hosting-operasjon, viser hvordan angripere av alle slag drar nytte av infrastruktur som smelter inn i normal internettrafikk. Enten målet er økonomisk svindel eller statsnivåspionasje, er den underliggende lærdommen den samme: stille, tålmodig infiltrasjon er ofte farligere enn høye, åpenbare angrep.

Personvernimplikasjonene for vanlige brukere

Det er fristende å se på denne typen rapportering som relevant kun for offentlige etater eller store selskaper. Men personvernimplikasjonene strekker seg lenger. Nettverk som er stille kompromittert over lengre perioder kan eksponere personopplysninger, intern kommunikasjon og kontopåloggingsinformasjon lenge før noen innser at noe er galt. I motsetning til et «smash-and-grab»-innbrudd som utløser umiddelbare varsler, kan en langsom, bevisst infiltrasjon sitte uoppdaget mens angriperne bestemmer hva som er verdt å ta.

Dette er en del av grunnen til at storskala datainnbrudd, som det som rammet omtrent 6 millioner kunder i Carnival Corporation-datainnbruddet, ofte kan spores tilbake til tilgang som eksisterte lenge før den offentlige offentliggjøringen. Gapet mellom første kompromittering og offentlig bevissthet er der den virkelige personvernskaden har en tendens til å hope seg opp, siden personopplysninger kan kopieres, selges eller misbrukes lenge før de berørte individene blir informert.

Hva dette betyr for deg

Du er ikke hovedmålet for en IRGC-cyberoperasjon, men infrastrukturen du er avhengig av, fra verktjenester til helsetjenester til finansinstitusjoner, kan være det. Når iranske hackere eller lignende statstilknyttede grupper lykkes med å innplassere seg i en organisasjons nettverk, blir personopplysningene den organisasjonen har om deg en del av eksponeringen, selv om du aldri interagerer direkte med angriperne.

Den praktiske konklusjonen er ikke å få panikk, men å erkjenne at tålmodighet og hemmelighold nå er sentrale kjennetegn ved moderne hacking, ikke unntak. Organisasjoner oppfordres i økende grad til å overvåke uvanlige mønstre i bruk av legitime verktøy, ikke bare skadelig programvare-signaturer. For enkeltpersoner forsterker dette skiftet verdien av å anta at enhver konto eller tjeneste du bruker, til slutt kan bli påvirket av et datainnbrudd du aldri ser komme før det blir offentlig.

Hovedpoenger for leserne

• Anta at enhver organisasjon som oppbevarer data om deg, fra helsetjenester til reiseliv til gjestfrihet, kan bli påvirket av langsiktige, uoppdagede nettverksinntrengninger i stedet for åpenbare angrep.
• Aktiver flerfaktorautentisering overalt hvor det tilbys, siden stjålne påloggingsinformasjon fra et stille innbrudd ofte brukes lenge før offentliggjøring.
• Overvåk kontoutskrifter og kredittrapporter jevnlig i stedet for å vente på et varsel om datainnbrudd, siden stille infiltrasjoner kan gå forut for offentlig offentliggjøring med måneder eller år.
• Hold deg oppdatert på rapportering om statstilknyttede hackergrupper, siden forståelse av deres metoder hjelper med å forklare hvorfor noen datainnbrudd tar så lang tid å komme frem i lyset.

Historien om iranske hackere som stille jobber i amerikanske nettverk er en påminnelse om at de farligste inntrengningene ofte er de som ingen legger merke til med en gang. Å holde seg informert om disse mønstrene, og ta grunnleggende personsikkerhetstiltak på alvor, er fortsatt en av de mest effektive måtene å begrense ettervirkningene når stillheten til slutt brytes.