Hackerii iranieni joacă jocul lung

Un raport recent evidențiat de The Greanville Post descrie un stil de atac cibernetic mai tăcut și mai răbdător decât ceea ce asociază majoritatea oamenilor cu hacking-ul sponsorizat de stat. Mai degrabă decât să spargă firewall-uri cu malware evident, hackerii iranieni legați de Corpul Gărzii Revoluționare Islamice (IRGC) s-ar fi petrecut ani de zile infiltrându-se în rețelele americane, așteptând și urmărind, în loc să își anunțe prezența.

Grupurile numite în raport, Cyber Av3ngers și Mint Sandstorm, sunt descrise ca specialiști într-o tehnică pe care cercetătorii în securitate o numesc adesea „trăind de pe pământ”. În loc să scrie cod malițios personalizat pe care software-ul antivirus l-ar putea semnala, aceste grupuri se bazează, conform rapoartelor, pe instrumente legitime de administrare a rețelei, deja prezente pe sistemele vizate. Această abordare face activitatea lor mult mai greu de deosebit de munca IT normală, ceea ce este exact scopul.

De ce tăcerea este amenințarea reală

Cele mai multe breșe care fac titluri implică note de răscumpărare, baze de date scurse sau cereri publice de extorcare. Aceste incidente sunt perturbatoare, dar sunt și vizibile aproape imediat. Modelul descris în acest raport este diferit. Se spune că grupurile cibernetice legate de IRGC prioritizează rămânerea ascunse, uneori pentru perioade îndelungate, pentru a-și menține accesul, a aduna informații sau a se poziționa pentru acțiuni viitoare, mai degrabă decât a provoca daune imediate.

Acest lucru contează deoarece instrumentele de detectare construite pentru a identifica software neobișnuit sau malițios sunt mult mai puțin eficiente împotriva intrușilor care folosesc instrumente care ar trebui să fie acolo. Un administrator de sistem care rulează diagnostice de rutină sau un script automat care efectuează întreținere programată pot arăta identic cu un atacator care se deplasează printr-o rețea, dacă acel atacator a învățat să folosească aceleași utilitare încorporate. Absența semnalelor de alarmă evidente este ea însăși parte a strategiei.

Lumea mai largă a securității cibernetice a văzut deja cât de multe daune pot proveni din infrastructura care rămâne neobservată prea mult timp. Investigațiile asupra operațiunilor de găzduire criminale, cum ar fi recenta confiscare de către Olanda a 800 de servere legate de o operațiune de găzduire bulletproof, arată cum atacatorii de toate tipurile beneficiază de infrastructura care se amestecă în traficul normal de internet. Fie că scopul este frauda financiară sau spionajul la nivel de stat, lecția de bază este aceeași: infiltrarea tăcută și răbdătoare este adesea mai periculoasă decât atacurile zgomotoase și evidente.

Implicațiile pentru confidențialitate pentru utilizatorii obișnuiți

Este tentant să vedem acest tip de raport ca fiind relevant doar pentru agențiile guvernamentale sau marile corporații. Dar implicațiile pentru confidențialitate se extind mai departe. Rețelele compromise în tăcere pentru perioade îndelungate pot expune date personale, comunicări interne și acreditări de cont cu mult înainte ca cineva să își dea seama că ceva este în neregulă. Spre deosebire de o breșă de tip „sparge și fură” care declanșează notificări imediate, o infiltrare lentă și deliberată poate rămâne nedetectată în timp ce atacatorii decid ce merită să ia.

Aceasta este o parte din motivul pentru care breșele la scară largă, precum cea care a afectat aproximativ 6 milioane de clienți în breșa de date Carnival Corporation, duc adesea înapoi la un acces care exista cu mult înainte de dezvăluirea publică. Decalajul dintre compromiterea inițială și conștientizarea publică este locul unde daunele reale la confidențialitate tind să se acumuleze, deoarece datele personale pot fi copiate, vândute sau utilizate greșit cu mult înainte ca persoanele afectate să fie informate.

Ce înseamnă acest lucru pentru tine

Tu nu ești principala țintă a unei operațiuni cibernetice IRGC, dar infrastructura de care te bazezi, de la utilități la furnizori de servicii medicale la instituții financiare, ar putea fi. Când hackerii iranieni sau grupuri similare legate de stat reușesc să se infiltreze în rețeaua unei organizații, datele personale pe care acea organizație le deține despre tine devin parte din expunere, chiar dacă nu interacționezi niciodată direct cu atacatorii.

Concluzia practică nu este să intri în panică, ci să recunoști că răbdarea și stealth-ul sunt acum caracteristici centrale ale hacking-ului modern, nu excepții. Organizațiile sunt tot mai mult îndemnate să monitorizeze modele neobișnuite de utilizare a instrumentelor legitime, nu doar semnături de malware. Pentru indivizi, această schimbare întărește valoarea de a presupune că orice cont sau serviciu pe care îl folosești ar putea fi în cele din urmă afectat de o breșă pe care nu o vezi niciodată venind până când devine publică.

Concluzii pentru cititori

  • Presupune că orice organizație care deține datele tale, de la sănătate la călătorii la ospitalitate, ar putea fi afectată de intruziuni de rețea pe termen lung, nedetectate, mai degrabă decât de atacuri evidente.
  • Activează autentificarea multi-factor acolo unde este oferită, deoarece acreditările furate dintr-o breșă tăcută sunt adesea folosite cu mult înainte de dezvăluire.
  • Monitorizează activitatea contului și rapoartele de credit periodic, mai degrabă decât să aștepți o notificare de breșă, deoarece infiltrările tăcute pot precede dezvăluirea publică cu luni sau ani.
  • Rămâi informat despre rapoartele privind grupurile de hacking legate de stat, deoarece înțelegerea metodelor lor ajută la explicarea de ce unele breșe durează atât de mult să iasă la suprafață.

Povestea hackerilor iranieni care lucrează tăcut în rețelele americane este o amintire că cele mai periculoase intruziuni sunt adesea cele pe care nimeni nu le observă imediat. A rămâne informat despre aceste modele și a lua în serios măsurile de bază de securitate personală rămâne una dintre cele mai eficiente modalități de a limita consecințele când tăcerea se rupe în cele din urmă.