Iran atakuje firmy zbrojeniowe w Izraelu i USA

Microsoft ujawnił, że grupa znana jako DEV-0343 stosuje cyberataki typu „password spray” na użytkowników pakietu Office.

Anatomia ataku

„Password spray” umożliwia atakującym ominięcie zautomatyzowanych mechanizmów obronnych, takich jak blokada haseł i blokowanie złośliwych adresów IP w przypadku wielokrotnych nieudanych prób logowania. Pozwala im to na uniknięcie blokady konta.

Według analityków atakujący używali od 150 do ponad tysiąca różnych adresów IP w sieci Tor do atakowania organizacji w Stanach Zjednoczonych i Izraelu. Celem ataków były często setki kont w obrębie jednej firmy.

Cyberprzestępcy atakowali punkty końcowe Autodiscover i ActiveSync Exchange, aby potwierdzić aktywne konta i usprawnić swoje ataki.

Irański trop

Zdaniem Microsoftu wykryte ślady grupy DEV-0343 wskazują na to, że kampania jest zgodna z interesami narodowymi Iranu.

Według ekspertów hakerzy próbują uzyskać dostęp do zdjęć satelitarnych oraz zastrzeżonych planów i logów żeglugi. Zdaniem badaczy, pomoże to Iranowi w rozwoju programu satelitarnego. Co więcej, techniki i cele podmiotów pasują do analizy wzorca, a także do dużych różnic w sektorowych i geograficznych celach innych irańskich ataków.

Microsoft informuje, że do tej pory odnotowano mniej niż 20 ofiar DEV-0343. Celem grupy są firmy z branży obronnej wspierające partnerów rządowych z USA, Unii Europejskiej i Izraela, produkujące radary klasy wojskowej, systemy łączności w sytuacjach kryzysowych, systemy satelitarne i technologie dronów.

Ponadto na celowniku hakerów są klienci z branży systemów informacji geograficznej (GIS), analityki przestrzennej, regionalnych portów w Zatoce Perskiej oraz różne firmy zajmujące się transportem morskim i towarowym na Bliskim Wschodzie.

Chcemy być także bliżej Państwa – czytelników. Dlatego, jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected]. Przyszłość przynosi zmiany. Wprowadzamy je pod hasłem #CyberIsFuture.