Her er hva vi vet om passordsprøyteangrep utført av iranske hackere

Den eskalerende spenningen mellom Iran og USA er forståelig nok nyheter på forsiden. Situasjonen er ekstremt kompleks, og ingen er virkelig sikker på hva som kommer til å skje videre. Foreløpig er ting relativt fredelig, men vi vet alle at visse fingre godt kan sveve over visse røde knapper, og vi kan bare håpe at sunn fornuft vil seire til slutt. Det må imidlertid sies at selv om den virkelige spenningen kan lette, online, er det usannsynlig at utvekslingen av angrep mellom Iran og USA snart vil stoppe.

I går publiserte Dragos Inc., et cybersecurity-antrekk som fokuserer på beskyttelsen av industrielle kontrollsystemer (ICS), en rapport som beskriver aktivitetene til elleve Iran-koblede hackinggrupper, og nærmere bestemt deres angrep mot USAs elektriske nett. Det viser at selv om de har en tendens til ikke å tiltrekke seg for stor oppmerksomhet i media, angriper nasjonsstøttede trusselaktører hele lands lands ICS-eiendeler.

Til tross for dette, må det sies at den uoverensstemmede uenigheten mellom Iran og Amerika har hatt innvirkning på trusselenes aktører. De elleve hackinggruppene som er omtalt i Dragos 'rapport er kjent for å angripe ICS-systemer over hele verden, men ekspertene bemerket at i fjor rettet de fleste av dem på USA og den kritiske infrastrukturen for å generere og distribuere strøm.

Ingen alvorlig forstyrrelse ennå

I følge rapporten skjedde det første kjente malware-angrepet som forårsaket en blackout i desember 2015 i Ukraina, og heldigvis er det lite som tyder på at de iranske mannskapene Dragos-skjermer monterer den andre. Gruppene har faktisk klart å infiltrere nettverkene til selskaper som er ansvarlige for å levere strøm, og de har sifonert av noen sensitive data. På dette tidspunktet har de ennå ikke kommet nær å oppnå tilgangsnivået som vil tillate dem å forstyrre strømforsyningen til et stort antall husstander. Dette betyr ikke at det aldri kan skje.

Husk at vi ikke snakker om selvlærte nettkriminelle med en forkjærlighet for hettegensere og Guy Fawkes-masker. Ofte referert til Advanced Persistent Threats (APTs), består statlig sponsede hackingsmannskaper av erfarne spesialister som har ved siden av ubegrensede ressurser for å kompromittere sine mål. Dragos 'eksperter bemerket at å lykkes med å treffe en viktig del av det amerikanske elektriske nettet kommer til å bli ekstremt vanskelig, men gjenopptakene fra de iranske APT-gruppene som er omtalt i rapporten, tyder på at de meget godt kunne være med å rope.

De har gitt seg et navn ved å angripe store organisasjoner over hele verden, og de fleste av deres tidligere mål jobber i olje- og gassindustrien - en annen viktig del av verdens økonomi som bruker betydelige mengder penger på sikkerhet. Trusselaktørene er kjent for deres bruk av forsyningskjedeangrep for å infiltrere et nettverk, og når de først er inne, distribuerer de ofte spesialutviklede verktøy designet spesielt for det målrettede ICS-systemet. Noen ganger handler det imidlertid ikke om banebrytende raffinement.

Passordsprøyting og upatchede VPN-er kan noen ganger gi kritisk infrastruktur eksponert

Wires Andy Greenberg dekket også Dragos 'rapport, og han fokuserte på aktivitetene til to av APT-ene - Magnallium og Parisite. Gjennom hele 2019 jobbet de to mannskapene i tandem for å angripe ulike elektriske verktøy og olje- og gasselskaper i USA.

For å oppnå målet deres utnyttet medlemmene av Parisite-gruppen sårbarheter i en ikke navngitt Virtual Private Network (VPN) -klient som ble brukt av deres mål. Magnallium på sin side tok til seg sprøyting av passord. I et angrep med passordsprøyting tar hackerne e-postadressen til en bruker (i dette tilfellet en ansatt i et elektrisk verktøyfirma) og bruker det i kombinasjon med et utvalg enkle og lett å gjette passord for å prøve å logge inn det målrettede systemet. Fordi så mange mennesker bruker enkle, lett å gjette passord, er noen av forsøkene vellykkede.

Det som er interessant med dette er at du ikke trenger å være en sofistikert, statlig sponset hacker for å utnytte en sårbar VPN eller organisere et passordsprøyteangrep. Faktisk er disse teknikkene ganske støyende, og de er vanligvis forbeholdt de Hoodie-slitasje Guy Fawkes imitatører. Likevel har Parisite og Magnallium, to APT-er med mye penger og ressurser, bestemt seg for å bruke dem. Hvorfor skulle de gjøre det?

Fordi de tror at disse angrepene vil være vellykkede. Dette er en bekymringsfull tanke.

Med mindre vi snakker om en nulldagers sårbarhet, betyr å utnytte en usikker VPN at brukeren enten har feilkonfigurert nettverket eller forsømt en sikkerhetsoppdatering. Og med hensyn til sprøyting av passord, som vi nevnte allerede, er det bare mulig fordi å gjette folks passord ikke er så vanskelig som det burde være. Med andre ord satser de iranske APT-ene på at folk gjør enkle sikkerhetsfeil. De aktuelle personene er ansvarlige for viktige deler av USAs kraftnett.

Dette bør sette av noen alarmklokker for de ansvarlige for organisasjoner som sannsynligvis vil bli angrepet. Ganske mye står på spill, og sikkerhet (både fysisk og online) må være en prioritet. Det er lite sannsynlig å stoppe de nådeløse angrepene fra nasjonsstøttede hackere, men personene som er ansvarlige for USAs elektriske nett, kan i det minste kvitte seg med den lavthengende frukten.