Cyber Av3ngers z Iranu i Mint Sandstorm Infiltrują Amerykańskie Sieci

Irańscy Hakerzy Grają Długodystansowo

Najnowszy raport, na który zwraca uwagę The Greanville Post, opisuje cichszy, bardziej cierpliwy styl ataku cybernetycznego, niż większość ludzi kojarzy z hakerstwem sponsorowanym przez państwa. Zamiast wyważać zapory ogniowe oczywistym złośliwym oprogramowaniem, irańscy hakerzy powiązani z Korpusem Strażników Rewolucji Islamskiej (IRGC) podobno spędzili lata na osadzaniu się w amerykańskich sieciach, czekając i obserwując, zamiast ogłaszać swoją obecność.

Grupy wymienione w raporcie, Cyber Av3ngers i Mint Sandstorm, są opisywane jako specjaliści w technice, którą badacze bezpieczeństwa często nazywają „życiem z ziemi” (living off the land). Zamiast pisać niestandardowy złośliwy kod, który oprogramowanie antywirusowe mogłoby wykryć, grupy te podobno polegają na legalnych, wbudowanych narzędziach administracji sieciowej już obecnych w atakowanych systemach. Takie podejście sprawia, że ich aktywność jest znacznie trudniejsza do odróżnienia od normalnej pracy działu IT — i o to właśnie chodzi.

Dlaczego Cisza Jest Prawdziwym Zagrożeniem

Większość nagłaśnianych naruszeń wiąże się z notatkami ransomware, wyciekniętymi bazami danych lub publicznymi żądaniami okupu. Te incydenty są uciążliwe, ale są też widoczne niemal natychmiast. Wzorzec opisany w tym raporcie jest inny. Grupy cybernetyczne powiązane z IRGC podobno stawiają na pierwszym miejscu pozostawanie w ukryciu, czasem przez dłuższy czas, aby utrzymać dostęp, zbierać informacje lub przygotować się do przyszłych działań, zamiast powodować natychmiastowe szkody.

To ma znaczenie, ponieważ narzędzia detekcyjne zbudowane wokół wykrywania nietypowego lub złośliwego oprogramowania są znacznie mniej skuteczne wobec intruzów korzystających z narzędzi, które powinny tam być. Administrator systemu przeprowadzający rutynową diagnostykę lub automatyczny skrypt wykonujący zaplanowaną konserwację może wyglądać identycznie jak atakujący poruszający się po sieci, jeśli ten atakujący nauczył się używać tych samych wbudowanych narzędzi. Brak oczywistych sygnałów ostrzegawczych jest sam w sobie częścią strategii.

Szerszy świat cyberbezpieczeństwa już widział, jak wiele szkód może wyniknąć z infrastruktury, która pozostaje niezauważona zbyt długo. Dochodzenia w sprawie przestępczych operacji hostingowych, takie jak niedawne przejęcie przez Holandię 800 serwerów powiązanych z operacją bulletproof hostingu, pokazują, jak atakujący wszelkiego rodzaju korzystają z infrastruktury, która wtapia się w normalny ruch internetowy. Niezależnie od tego, czy celem jest oszustwo finansowe, czy szpiegostwo na szczeblu państwowym, podstawowa lekcja jest ta sama: cicha, cierpliwa infiltracja jest często bardziej niebezpieczna niż głośne, oczywiste ataki.

Konsekwencje dla Prywatności Zwykłych Użytkowników

Kuszące jest postrzeganie tego rodzaju raportów jako istotnych tylko dla agencji rządowych lub dużych korporacji. Ale konsekwencje dla prywatności sięgają znacznie dalej. Sieci cicho kompromitowane przez dłuższy czas mogą ujawnić dane osobowe, wewnętrzną komunikację i poświadczenia kont na długo zanim ktokolwiek zorientuje się, że coś jest nie tak. W przeciwieństwie do ataku typu „włam i uciekaj”, który natychmiast wyzwala powiadomienia, powolna, celowa infiltracja może pozostać niewykryta, podczas gdy atakujący decydują, co warto zabrać.

To część powodu, dla którego duże naruszenia, takie jak to dotykające około 6 milionów klientów w naruszeniu danych Carnival Corporation, często wywodzą się z dostępu, który istniał na długo przed publicznym ujawnieniem. Luka między początkową kompromitacją a świadomością publiczną to miejsce, w którym gromadzą się prawdziwe szkody dla prywatności, ponieważ dane osobowe mogą być kopiowane, sprzedawane lub wykorzystywane na długo zanim poinformowane zostaną osoby, których dotyczą.

Co To Oznacza Dla Ciebie

Nie jesteś głównym celem operacji cybernetycznej IRGC, ale infrastruktura, na której polegasz — od mediów użyteczności publicznej, przez opiekę zdrowotną, po instytucje finansowe — może nim być. Kiedy irańscy hakerzy lub podobne grupy powiązane z państwami skutecznie osadzą się w sieci organizacji, dane osobowe, które ta organizacja o tobie przechowuje, stają się częścią ekspozycji, nawet jeśli nigdy nie masz bezpośredniego kontaktu z atakującymi.

Praktyczny wniosek nie polega na panice, ale na uznaniu, że cierpliwość i skrytość są obecnie centralnymi cechami nowoczesnego hakerstwa, a nie wyjątkami. Organizacje są coraz częściej wzywania do monitorowania nietypowych wzorców użycia legalnych narzędzi, a nie tylko sygnatur złośliwego oprogramowania. Dla jednostek ta zmiana wzmacnia wartość założenia, że każde konto lub usługa, z której korzystasz, może ostatecznie zostać dotknięta naruszeniem, którego się nie spodziewasz, dopóki nie stanie się ono publiczne.

Wnioski Dla Czytelników

• Zakładaj, że każda organizacja przechowująca twoje dane — od opieki zdrowotnej, przez podróże, po hotelarstwo — może zostać dotknięta długoterminowymi, niewykrytymi naruszeniami sieci, a nie oczywistymi atakami.
• Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie jest oferowane, ponieważ skradzione poświadczenia z cichego naruszenia są często wykorzystywane na długo przed ujawnieniem.
• Monitoruj aktywność kont i raporty kredytowe okresowo, zamiast czekać na powiadomienie o naruszeniu, ponieważ ciche infiltracje mogą poprzedzać publiczne ujawnienie o miesiące lub lata.
• Bądź na bieżąco z raportami na temat grup hakerskich powiązanych z państwami, ponieważ zrozumienie ich metod pomaga wyjaśnić, dlaczego niektóre naruszenia ujawniają się tak długo.

Historia irańskich hakerów cicho działających w amerykańskich sieciach jest przypomnieniem, że najniebezpieczniejsze włamania to często te, których nikt nie zauważa od razu. Pozostawanie poinformowanym o tych wzorcach i traktowanie podstawowych środków bezpieczeństwa osobistego poważnie pozostaje jednym z najskuteczniejszych sposobów ograniczenia skutków, gdy cisza w końcu zostanie przerwana.