Ирански хакери засилват кибератаките срещу САЩ и Израел след последните удари

След скорошните ракетни удари от страна на САЩ и Израел, хакерски групи, свързани с Иран, рязко увеличиха своята активност в цифровото пространство. Извършват се мащабни дигитални сканирания, шпионски операции и атаки за отказ на услуга (DDoS) в целия Близък изток.

Според изследователи, по-голямата част от потвърдената активност до момента е насочена към Израел и страните от Персийския залив. Експертите обаче отправят сериозно предупреждение: организациите в САЩ също трябва да се подготвят за възможни нападения.

Проучване на мобилни приложения и API интерфейси

Според фирмата за сигурност на мобилни приложения Approov, иранските хакери са започнали да провеждат по-напреднали сондажни атаки още в началото на февруари. Техният фокус е бил върху API интерфейси и мобилни приложения, използвани за правителствени комуникации в региона.

Интересен факт е, че тази активност изглежда е преустановена на 27 февруари. Експертите смятат, че това прекъсване може да е свързано с прекъсвания на интернет в самия Иран в началото на конфликта.

Джей Пи Кастеланос, директор по разузнаване на заплахите в Binary Defense, споделя, че иранските групи вероятно са инсталирали зловреден софтуер в системи още преди началото на откритите военни действия. Това е класическа тактика: нападателите тихо „позиционират“ своите инструменти предварително, за да могат по-късно да стартират по-разрушителни атаки.

DDoS атаки, рансъмуер и дезинформационни кампании

Изследователи от Check Point са засекли прониквания, свързани с групата Cotton Sandstorm (известна още като Haywire Kitten). Смята се, че групата има връзки с иранския Корпус на гвардейците на ислямската революция (IRGC).

Докладите сочат, че те използват инструмент за кражба на информация, наречен WezRat, разпространяван чрез фишинг имейли, които имитират спешни софтуерни актуализации. В някои случаи тези кампании са последвани от атаки с рансъмуер (софтуер за откуп) срещу израелски цели.

Анализаторите забелязват и повторната поява на стари онлайн профили, които твърдят, че са хакнали индустриални системи за контрол в Израел, Йордания, Турция, Полша и държавите от Залива. Експертите обаче предупреждават, че много от тези публични твърдения вероятно са преувеличени или са част от по-широки усилия за дезинформация.

„Исторически погледнато, Иран смесва реални прониквания с раздути или напълно измислени твърдения, за да засили психологическото въздействие,“ посочва един от анализаторите.

Организациите в САЩ: Следващата потенциална мишена

Въпреки че до момента няма публично потвърдени атаки срещу американски организации по време на тази последна вълна, изследователите вярват, че такива нападения са твърде вероятни.

Секторите с най-висок риск включват:

• Доставчици в отбраната и правителствени контрагенти.
• Организации, които си сътрудничат или споделят инфраструктура с Израел.
• Доставчици на критична инфраструктура, като енергийни или водни дружества.
• Компании, използващи индустриални технологии, произведени в Израел.

В миналото ирански хакери вече са атакували водни системи и други оперативни технологии (OT) в САЩ, като често са използвали пароли по подразбиране и персонализиран зловреден софтуер. Макар тези предишни атаки да причиниха ограничени физически щети, те доказаха, че нападателите имат способността да достигнат до чувствителни системи.

Дългосрочна киберкампания

Експертите определят настоящата ситуация като дългосрочна киберкампания, която съчетава шпионаж, прекъсване на процеси, атаки тип рансъмуер и информационна война.

Очаква се дезинформацията да нарасне, особено в социалните медии чрез използването на ботове. Обществото трябва да бъде подготвено за по-драматични твърдения за саботаж и щети по инфраструктурата, много от които може да се окажат неверни.

С цел защита, фирмите за сигурност препоръчват на организациите:

1. Спешно да обновяват (patch) критичните си системи.
2. Да преразгледат потребителския достъп и да премахнат неизползваните акаунти или тези с пароли по подразбиране.
3. Да следят отблизо рисковете, произтичащи от трети страни и веригата за доставки.
4. Да засилят обучението на служителите за разпознаване на фишинг атаки.

Изследователите са единодушни, че кибероперациите ще продължат успоредно с физическия конфликт и призовават за повишена бдителност.