Door de staat gesponsorde hackaanvallen: wat zijn geavanceerde aanhoudende bedreigingen en op wie waren ze gericht in 2022?

In 2022 was er een duidelijke toename van door de overheid gesponsorde cyberaanvallen. Veel van deze aanvallen werden uitgevoerd door zogenaamde Advanced Persistent Threats of APT's. Deze groepen werken samen met overheden en kunnen ook illegale activiteiten met winstoogmerk uitvoeren.

In 2022 vielen buitenlandse entiteiten andere buitenlandse entiteiten aan in DDoS-aanvallen, spionageoperaties, ransomware-aanvallen en inbreuken op kritieke infrastructuur. Deze aanvallen veroorzaakten grote verstoringen van de toeleveringsketen, miljarden dollars aan schade en verzamelden hoeveelheden informatie als onderdeel van spionageoperaties.

Met het oog op wat de wereld in 2023 te wachten staat, waren hier 5 verwoestende APT-aanvallen die plaatsvonden in 2022:

China's APT 41/Double Dragon steelt $ 20 miljoen aan COVID-hulpfondsen

In 2022 werd een van de meest schokkende APT-aanvallen uitgevoerd door een groep die bekend staat als APT 41 of Double Dragon . Deze groep slaagde erin om voor ongeveer $ 20 miljoen aan COVID-hulpgelden te stelen uit meerdere landen in Azië en Afrika. De aanval was specifiek gericht op banken, overheidsinstanties en andere organisaties die tijdens de pandemie hulpgelden uitdeelden. Er wordt aangenomen dat het gestolen geld is witgewassen via cryptocurrency-portemonnees, waardoor het moeilijk te traceren en te herstellen is.

De verklaring van de geheime dienst gaf aan dat APT41, dat al meer dan tien jaar actief is, wordt beschouwd als een door de staat gesponsorde Chinese cyberdreigingsgroep, zeer bedreven in het uitvoeren van spionagemissies en financiële misdaden voor persoonlijk gewin. Cyberexperts en huidige en voormalige functionarissen van meerdere instanties hebben APT41 geïdentificeerd als het "werkpaard" van cyberspionageoperaties die de Chinese overheid ten goede komen. Toen COVID-hulpfondsen in 2020 naar voren kwamen als een doel van kansen, werd deze dreiging relevanter dan ooit.

Iraans ongebreideld katje/APT DEV-0270 compromitteert US Merit Systems Protection Board

In november brachten de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) en het Federal Bureau of Investigation (FBI) een gezamenlijk cyberbeveiligingsadvies uit over Irans Advanced Persistent Threats (APT's). De bedreigingsactor, Rampant Kitten genaamd, maakte in februari misbruik van een bekende Log4Shell-kwetsbaarheid om een VMware Horizon-server te infiltreren.

Dit resulteerde in het compromitteren van een federaal netwerk dat toebehoorde aan de Amerikaanse Merit Systems Protection Board. Als reactie daarop heeft CISA alle organisaties die geen Log4Shell-herstel hebben toegepast, gewaarschuwd voor mogelijke indicatoren van een compromis. De Washington Post identificeerde de betrokken instantie als de Amerikaanse Merit Systems Protection Board. Dit soort aanvallen benadrukken de noodzaak van voortdurende waakzaamheid en proactieve inspanningen van zowel bedrijven als overheden om kritieke infrastructuur te beschermen.

Noord-Korea's Lazarus Group / APT38 Target's cryptocurrency

In april waarschuwde een gezamenlijk Cybersecurity Advisory (CSA) uitgegeven door het Federal Bureau of Investigation (FBI), de Cybersecurity and Infrastructure Security Agency (CISA) en het Amerikaanse ministerie van Financiën (Treasury) voor een cyberdreiging in verband met diefstal van cryptocurrency door North De door de Koreaanse staat gesponsorde APT-groep (Advanced Persistent Threat) bekend als Lazarus Group, APT38, BlueNoroff en Stardust Chollima.

Sinds ten minste 2020 richt deze groep zich op organisaties in de blockchain-technologie en cryptocurrency-industrie, zoals cryptocurrency-uitwisselingen, DeFi-protocollen, play-to-earn cryptocurrency-videogames, durfkapitaalfondsen die investeren in cryptocurrency of individuen die grote hoeveelheden digitale valuta bezitten of waardevolle NFT's.

De aanvallers gebruiken social engineering via verschillende communicatieplatforms om slachtoffers over te halen om getrojaniseerde cryptocurrency-applicaties te downloaden. Hierdoor kunnen ze toegang krijgen tot de computer van het slachtoffer, malware verspreiden en privésleutels stelen of andere beveiligingslekken uitbuiten om frauduleuze blockchain-transacties te initiëren.

Iraanse APT MuddyWater/APT 34 richt zich op publieke/private sector in Azië, Afrika, Europa en Noord-Amerika

In april 2022 waren door de overheid gesponsorde cyberaanvallen van de Iraanse Advanced Persistent Threat-groep MuddyWater/APT 34 gericht op een reeks overheids- en particuliere organisaties in meerdere sectoren in Azië, Afrika, Europa en Noord-Amerika als onderdeel van het Iraanse ministerie van Inlichtingen en Veiligheid. (MOIS).

Vervolgens, in september 2020, heeft de Amerikaanse federale regering de Iraanse regering gesanctioneerd voor haar steun aan cybercriminaliteitsactiviteiten, die volgens hen worden uitgevoerd via verschillende Advanced Persistent Threat (APT) -groepen.

In het bijzonder heeft het Office of Foreign Assets Control (OFAC) van het Amerikaanse ministerie van Financiën het Iraanse ministerie van Inlichtingen en Veiligheid (MOIS) aangemerkt als "betrokken bij cyberactiviteiten tegen de Verenigde Staten en hun bondgenoten", sinds ten minste 2007.

Russische APT-acteurs richten zich op defensie-aannemers

Vanaf ten minste januari 2020 tot en met februari 2022 hebben het Amerikaanse Federal Bureau of Investigation (FBI), de National Security Agency (NSA) en de Cybersecurity and Infrastructure Security Agency (CISA) een regelmatig patroon van cyberaanvallen tegen Amerikaanse goedgekeurde defensiecontractanten (CDC's) afkomstig van door de Russische staat gesponsorde actoren .

Bij deze aanvallen werden veelgebruikte maar effectieve tactieken gebruikt, zoals spear-phishing, het verzamelen van referenties, brute force-/wachtwoord-spraytechnieken en het uitbuiten van bekende kwetsbaarheden in slecht beveiligde accounts en netwerken. De aanvallers richtten zich ook op Microsoft 365 (M365)-omgevingen met behoud van persistentie door gebruik te maken van legitieme referenties en malware voor data-exfiltratie.

Bovenstaande aanvallen veroorzaakten wereldwijd grote verstoringen en miljarden dollars aan schade. Ze werden uitgevoerd om zowel geopolitieke redenen als voor geldelijk gewin. Het is duidelijk dat APT's de komende jaren een bedreiging zullen blijven en proactief moeten worden aangepakt, zodat verdere schade kan worden geminimaliseerd door entiteiten in zowel de publieke als de private sector.​​​​​ ​​​​ ​​​​ ​​​​