0 
0 Os atores de ameaças iranianos estiveram no radar e na mira do governo dos EUA e dos pesquisadores de segurança este mês, com o que parece ser um aumento e subsequente repressão à atividade de ameaças de grupos avançados de ameaças persistentes (APT) associados ao Irã. Corpo da Guarda Revolucionária Islâmica (IRGC).
O governo dos EUA revelou na quarta-feira simultaneamente um elaborado esquema de hackers e acusações contra vários cidadãos iranianos, graças a documentos judiciais recentemente revelados, e alertou as organizações dos EUA sobre a atividade iraniana de APT para explorar vulnerabilidades conhecidas – incluindo as falhas amplamente atacadas ProxyShell e Log4Shell – para o propósito de ataques de ransomware.
Enquanto isso, uma pesquisa separada revelou recentemente que um ator de ameaça patrocinado pelo Estado iraniano rastreado como APT42 foi vinculado a mais de 30 ataques de ciberespionagem confirmados desde 2015, que visavam indivíduos e organizações com importância estratégica para o Irã, com alvos na Austrália, Europa, Oriente Médio Oriente e Estados Unidos.
A notícia vem em meio a crescentes tensões entre os Estados Unidos e o Irã após as sanções impostas contra a nação islâmica por sua recente atividade de APT, incluindo um ataque cibernético contra o governo albanês em julho que causou o fechamento de sites governamentais e serviços públicos online, e foi amplamente castigado.
Além disso, com as tensões políticas entre o Irã e o Ocidente aumentando à medida que a nação se alinha mais estreitamente com a China e a Rússia, a motivação política do Irã para sua atividade de ameaças cibernéticas está crescendo, disseram pesquisadores. Os ataques são mais propensos a serem direcionados financeiramente quando confrontados com sanções de inimigos políticos, observa Nicole Hoffman, analista sênior de inteligência de ameaças cibernéticas da provedora de soluções de proteção contra riscos Digital Shadows.
Persistente e Vantajosa
Ainda assim, embora as manchetes pareçam refletir um aumento na atividade recente de ameaças cibernéticas dos APTs iranianos, os pesquisadores disseram que as notícias recentes de ataques e acusações são mais um reflexo da atividade persistente e contínua do Irã para promover seus interesses cibercriminosos e agenda política em todo o mundo. .
“O aumento das reportagens da mídia sobre a atividade de ameaças cibernéticas do Irã não está necessariamente correlacionado a um aumento nessa atividade”, observou o analista da Mandiant Emiel Haeghebaert em um e-mail para o Dark Reading.
“Se você diminuir o zoom e observar todo o escopo da atividade do Estado-nação, o Irã não diminuiu seus esforços”, concorda Aubrey Perin, analista-chefe de inteligência de ameaças da Qualys. “Assim como qualquer grupo organizado, sua persistência é a chave para o sucesso, tanto no longo quanto no curto prazo.”
Ainda assim, o Irã, como qualquer ator de ameaça, é oportunista, e o medo e a incerteza generalizados que existem atualmente devido a desafios geopolíticos e econômicos – como a guerra em andamento na Ucrânia, inflação e outras tensões globais – certamente baliza seus esforços de APT, ele diz.
Autoridades avisam
A crescente confiança e ousadia dos APTs iranianos não passou despercebida pelas autoridades globais – incluindo as dos Estados Unidos, que parecem estar fartas dos persistentes engajamentos cibernéticos hostis do país, tendo-os suportado pelo menos na última década.
Uma acusação que foi revelada na quarta-feira pelo Departamento de Justiça (DoJ), Procuradoria dos EUA, Distrito de Nova Jersey lançou luz específica sobre a atividade de ransomware que ocorreu entre fevereiro de 2021 e fevereiro de 2022 e afetou centenas de vítimas em vários estados dos EUA, incluindo Illinois, Mississippi, Nova Jersey, Pensilvânia e Washington.
A acusação revelou que, de outubro de 2020 até o presente, três cidadãos iranianos – Mansour Ahmadi, Ahmad Khatibi Aghda e Amir Hossein Nickaein Ravari – se envolveram em ataques de ransomware que exploraram vulnerabilidades conhecidas para roubar e criptografar dados de centenas de vítimas nos Estados Unidos. Reino Unido, Israel, Irã e outros lugares.
A Agência de Segurança Cibernética e de Infraestrutura (CISA), o FBI e outras agências alertaram posteriormente que os atores associados ao IRGC, uma agência do governo iraniano encarregada de defender a liderança de ameaças internas e externas percebidas, têm explorado e provavelmente continuarão a explorar a Microsoft. e vulnerabilidades Fortinet — incluindo uma falha do Exchange Server conhecida como ProxyShell — em atividades detectadas entre dezembro de 2020 e fevereiro de 2021.
Os invasores, que se acredita estarem agindo a pedido de um APT iraniano, usaram as vulnerabilidades para obter acesso inicial a entidades em vários setores de infraestrutura crítica dos EUA e organizações na Austrália, Canadá e Reino Unido para ransomware e outras operações cibercriminosas, as agências disse.
Os agentes de ameaças protegem suas atividades maliciosas usando dois nomes de empresas: Najee Technology Hooshmand Fater LLC, com sede em Karaj, Irã; e Afkar System Yazd Company, com sede em Yazd, Irã, de acordo com as acusações.
APT42 & Entendendo as Ameaças
Se a recente onda de manchetes focadas em APTs iranianos parece vertiginosa, é porque levou anos de análise e investigação apenas para identificar a atividade, e autoridades e pesquisadores ainda estão tentando entender tudo, diz Hoffman da Digital Shadows.
“Uma vez identificados, esses ataques também levam um tempo razoável para serem investigados”, diz ela. “Há muitas peças de quebra-cabeça para analisar e montar.”
Pesquisadores da Mandiant recentemente montaram um quebra-cabeça que revelou anos de atividade de ciberespionagem que começa como spear phishing, mas leva ao monitoramento e vigilância de telefones Android pelo APT42 vinculado ao IRGC, que se acredita ser um subconjunto de outro grupo de ameaças iraniano, APT35/Charming Kitten/ Fósforo .
Juntos, os dois grupos também estão conectados a um cluster de ameaças não categorizado rastreado como UNC2448, identificado pela Microsoft e Secureworks como um subgrupo Phosphorus que realiza ataques de ransomware para obter ganhos financeiros usando o BitLocker, disseram os pesquisadores.
Para engrossar ainda mais a trama, esse subgrupo parece ser operado por uma empresa usando dois pseudônimos públicos, Secnerd e Lifeweb, que têm links para uma das empresas administradas pelos cidadãos iranianos indiciados no caso do DoJ: Najee Technology Hooshmand.
Mesmo que as organizações absorvam o impacto dessas revelações, os pesquisadores disseram que os ataques estão longe de terminar e provavelmente se diversificarão à medida que o Irã continua seu objetivo de exercer domínio político sobre seus inimigos, observou Haeghebaert, da Mandiant, em seu e-mail.
“Avaliamos que o Irã continuará a usar todo o espectro de operações habilitadas por suas capacidades cibernéticas a longo prazo”, disse ele ao Dark Reading. “Além disso, acreditamos que atividades disruptivas usando ransomware, limpadores e outras técnicas de bloqueio e vazamento podem se tornar cada vez mais comuns se o Irã permanecer isolado no cenário internacional e as tensões com seus vizinhos na região e no Ocidente continuarem a piorar”.
FONTE: DARK READING