Ιρανοί χάκερ παραβιάζουν αμυντικά όργανα σε επιθέσεις με σπρέι κωδικών πρόσβασης

Εικόνα: Midjourney

Η Microsoft λέει ότι μια ομάδα απειλών που υποστηρίζεται από το

Ιράν

έχει στοχεύσει χιλιάδες οργανισμούς στις ΗΠΑ και σε όλο τον κόσμο σε επιθέσεις με σπρέι κωδικών πρόσβασης από τον Φεβρουάριο του 2023.

Οι κρατικοί χάκερ έκλεψαν επίσης ευαίσθητες πληροφορίες από περιορισμένο αριθμό θυμάτων στον αμυντικό, δορυφορικό και φαρμακευτικό τομέα.

Παρακολουθείται ως APT33 (γνωστός και ως Peach Sandstorm, HOLMIUM ή Refined Kitten), η ομάδα κυβερνοκατασκοπείας δραστηριοποιείται τουλάχιστον από το 2013, επιτίθεται σε οντότητες από διάφορους κλάδους της βιομηχανίας (συμπεριλαμβανομένης της κυβέρνησης, της άμυνας, της έρευνας, της χρηματοδότησης και της μηχανικής) στις Ηνωμένες Πολιτείες κράτη, τη Σαουδική Αραβία και τη Νότια Κορέα.

«Μεταξύ Φεβρουαρίου και Ιουλίου 2023, η Peach Sandstorm πραγματοποίησε ένα κύμα επιθέσεων με ψεκασμό κωδικών πρόσβασης, προσπαθώντας να ελέγξει την ταυτότητα σε χιλιάδες περιβάλλοντα», η

Η ομάδα της Microsoft Threat Intelligence είπε

.

«Καθόλη τη διάρκεια του 2023, η Peach Sandstorm έχει δείξει σταθερά ενδιαφέρον για τους οργανισμούς των ΗΠΑ και άλλων χωρών στους τομείς των δορυφόρων, της άμυνας και, σε μικρότερο βαθμό, στον φαρμακευτικό τομέα», δήλωσε ο Sherrod DeGrippo Threat Intelligence Director Strategy της Microsoft στο BleepingComputer.

Στις επιθέσεις με ψεκασμό κωδικών πρόσβασης, οι παράγοντες απειλών προσπαθούν να συνδεθούν σε πολλούς λογαριασμούς χρησιμοποιώντας έναν μόνο κωδικό πρόσβασης ή μια λίστα με κωδικούς πρόσβασης που χρησιμοποιούνται συνήθως.

Αυτή η τακτική διαφέρει από τις επιθέσεις ωμής βίας, όπου ένας μεμονωμένος

λογαριασμός

στοχεύεται με μια μακρά λίστα κωδικών πρόσβασης. Ο ψεκασμός κωδικού πρόσβασης δίνει τη δυνατότητα στους εισβολείς να αυξήσουν σημαντικά τις πιθανότητες επιτυχίας τους, ενώ μειώνει τον κίνδυνο αυτόματου κλειδώματος λογαριασμού.

Σε αντίθεση με τον θορυβώδη ψεκασμό κωδικών πρόσβασης, οι εισβολείς χρησιμοποίησαν επίσης εκμεταλλεύσεις που στοχεύουν μη επιδιορθωμένες

συσκευές

Confluence και ManageEngine που εκτέθηκαν στο διαδίκτυο για να παραβιάσουν τα δίκτυα των στόχων.

Μετά από επιτυχημένες προσπάθειες, οι χάκερ APT33 χρησιμοποίησαν το

AzureHound

ή

Οδικά εργαλεία

πλαίσια ασφαλείας ανοιχτού κώδικα για αναγνώριση του Azure Active Directory των θυμάτων και συλλογή δεδομένων από τα περιβάλλοντα cloud τους.

Χρησιμοποίησαν επίσης παραβιασμένα διαπιστευτήρια Azure, δημιούργησαν νέες συνδρομές Azure στους ενοικιαστές των θυμάτων ή κακοποίησαν

Azure Arc

για λόγους επιμονής για τον έλεγχο των συσκευών εντός της εγκατάστασης εντός του δικτύου των θυμάτων.

Οι ηθοποιοί APT33 παρατηρήθηκαν επίσης χρησιμοποιώντας τεχνικές επίθεσης Golden SAML για πλευρική κίνηση, ανάπτυξη AnyDesk για επιμονή, πλευρική φόρτωση προσαρμοσμένων κακόβουλων DLL για την εκτέλεση κακόβουλων ωφέλιμων φορτίων και χρήση ενός εργαλείου διάνοιξης σήραγγας γνωστό ως EagleRelay για τη διοχέτευση κακόβουλης κυκλοφορίας στην εντολή και τον έλεγχο τους (C2 ) υποδομή.

«Με βάση το προφίλ των στοχευόμενων οργανώσεων θυμάτων και την παρατηρούμενη επακόλουθη δραστηριότητα εισβολής, η Microsoft εκτιμά ότι αυτή η αρχική εκστρατεία πρόσβασης πιθανότατα χρησιμοποιείται για τη διευκόλυνση της συλλογής πληροφοριών για την υποστήριξη των ιρανικών κρατικών συμφερόντων», είπε ο Ρέντμοντ.

«Πολλές από τις τακτικές, τεχνικές και διαδικασίες (TTP) που βασίζονται σε σύννεφο που εμφανίζονται σε αυτές τις πιο πρόσφατες καμπάνιες είναι ουσιαστικά πιο εξελιγμένες από τις δυνατότητες που χρησιμοποιούσε η Peach Sandstorm στο παρελθόν», πρόσθεσε η εταιρεία.

Όπως είπε ο Διευθυντής Ασφάλειας Ταυτότητας της Microsoft, Alex Weinert, πριν από τρία χρόνια, οι επιθέσεις με σπρέι κωδικού πρόσβασης είναι από τις πιο δημοφιλείς επιθέσεις ελέγχου ταυτότητας, που ανέρχονται σε

περισσότερο από το ένα τρίτο του εταιρικού λογαριασμού παραβιάζεται

.

Τον Ιούλιο του 2021, η NSA είπε ότι η ρωσική στρατιωτική ομάδα hacking

APT28

στόχευσε την κυβέρνηση των ΗΠΑ και τις υπηρεσίες του Υπουργείου Άμυνας σε επιθέσεις με σπρέι κωδικών πρόσβασης που ξεκίνησαν από συστάδες Kubernetes.

Μήνες αργότερα, τον Οκτώβριο του 2021, η Microsoft εντόπισε επίσης το DEV-0343 που συνδέεται με το Ιράν και τους ομίλους Nobelium που χρηματοδοτούνται από τη Ρωσία να παραβιάζουν εταιρείες αμυντικής

τεχνολογία

ς και διαχειριζόμενους παρόχους υπηρεσιών (MSP) σε επιθέσεις με σπρέι κωδικών πρόσβασης.