Cyber ​​Security Group: Operacje wymierzone w witryny rządowe Iranu zostały przeprowadzone wewnętrznie w Iranie

Znana grupa zajmująca się cyberbezpieczeństwem zbadała operacje skierowane przeciwko rządowym stronom internetowym w Iranie i doszła do wniosku, że ze względu na strukturę irańskiego Internetu i jego oddzielenie od globalnego Internetu, operacje skierowane przeciwko stronom internetowym rządowym, w tym należącym do państwowego Radia i Telewizji w dniu 27 stycznia 2022 r., Ministerstwa Spraw Zagranicznych w dniu 7 maja 2023 r. i biura prezydenta w dniu 29 maja 2023 r., zostały przeprowadzone metodą infiltracji i nie mogły być wynikiem penetracji spoza Iranu.

W ostatnich latach grupa ds. bezpieczeństwa cybernetycznego Treadstone71 opublikowała kilka raportów na temat irańskiego rządu i jego cyberataków, dzięki czemu stała się autorytetem w tej dziedzinie.

W raporcie Treadstone71 podkreślono, że główne ataki na strony irańskiego rządu były najprawdopodobniej przeprowadzane w drodze penetracji z wnętrza Iranu, w szczególności przez osoby mające dostęp do tych systemów.

Od stycznia 2022 r. wiele najważniejszych stron internetowych irańskiego rządu, a także systemy internetowe gminy Teheran oraz krajowe sieci radiowe i telewizyjne stały się przedmiotem masowych ataków.

Grupa "Gyamsarnegouni („Powstanie aż do upadku”) wziął na siebie odpowiedzialność za główne ataki i ujawnił na swoim koncie w Telegramie obszerne wewnętrzne dokumenty rządowe rządu irańskiego. Grupa zniekształciła strony główne wielu stron internetowych, zamieszczając przekreślone wizerunki Najwyższego Przywódcy Alego Chameneiego i umieszczając zdjęcia przywódców irańskiej opozycji.

W 2022 r. rządowe struktury i usługi internetowe Albanii stały się celem masowego cyberataku, który spowodował wiele problemów. Obszerne dochodzenie przeprowadzone przez Microsoft i innych wskazało palcem na Teheran.

Według oceny Treadstone71 „Iran ma długą historię angażowania się w ataki cybernetyczne i według niektórych statystyk zajmuje piąte miejsce wśród państw znanych z atakowania swoich przeciwników za pomocą cyberwojny”.

„Jako środek ostrożności” — zauważa Treadstone71 w swoim raporcie — „Iran zdecydował się przenieść swoje rządowe strony internetowe z europejskich serwerów hostingowych do krajowych firm hostingowych, jako część swojego 'krajowego Internetu'”, w wyniku czego „wszystkie rządowe i kontrolowane przez państwo strony internetowe zostały przeniesione z europejskich i amerykańskich serwerów hostingowych na krajowe hosty”, a „dostęp do wybranych rządowych i kontrolowanych przez państwo stron internetowych został ograniczony do 'krajowego Internetu', co uczyniło je niedostępnymi za pośrednictwem globalnego Internetu”.

Raport Treadstone71 podkreślił, że „byliśmy również świadkami innego rodzaju ataku, odrębnego od tych, które infiltrowały rządowe strony internetowe na podatnych na ataki irańskich usługach hostingowych; tych przeprowadzonych przez Gyamsarnegouni („Powstanie aż do obalenia”). Ataki przeprowadzone przez tę grupę należały do ​​najgłębszych infiltracji sieci irańskiego rządu”.

Raport zauważa:

Ataki te wyróżniały się trzema kluczowymi cechami:

1. Skala infiltracji do najbezpieczniejszych sieci rządowych porównywalna jedynie z atakiem Stuxnet (w którym wykorzystano pendrive).

2. Objętość eksfiltrowanych dokumentów.

3. Powszechny dostęp do serwerów i komputerów.

Raport Treadstone71 podkreśla, że ​​państwowe sieci radiowe i telewizyjne, szczególnie w krajach niedemokratycznych, takich jak Iran, „należą do najbardziej odizolowanych i najlepiej chronionych sieci”. Dalej czytamy: „Wewnętrzna sieć nadawcza Iranu nie jest podłączona do Internetu i jest poważnie odizolowana; oznacza to, że jest fizycznie odizolowana od Internetu i można uzyskać do niej dostęp tylko z wewnątrz… Jedynym sposobem, aby osoba z zewnątrz mogła uzyskać dostęp do sieci, byłaby fizyczna infiltracja”

W styczniu 2022 r. irańskie media wskazały, że instytucje rządowe uważają, że ataku dokonały osoby posiadające poufne informacje na temat irańskich państwowych systemów radiowych i telewizyjnych.

Atak na strony internetowe gminy Teheran, który miał miejsce 2 czerwca 2022 r., obejmował włamanie do 5,000 kamer wykorzystywanych do kontroli ruchu drogowego i rozpoznawania twarzy. Według Treadstone71 hakerzy „wiedzieli, że kamery nie są podłączone do Internetu i że aby je zhakować, musieliby uzyskać fizyczny dostęp do kamer”.

Jednak najbardziej zaskakujące ustalenia Treadstone71 są związane z dwoma głośnymi i przyciągającymi uwagę atakami przeprowadzonymi przez Gyamsarnegouniego maj 2023.

Podczas ataku na stronę internetową irańskiego Ministerstwa Spraw Zagranicznych hakerzy uzyskali dostęp do 50 terabajtów danych z archiwów ministerstwa. Treadstone71 ocenia, że ​​wymagało to „penetracji do najgłębszych warstw tego organu rządowego. Charakter ujawnionych dokumentów wskazuje, że takie dokumenty byłyby niedostępne z Internetu, co dodatkowo potwierdza podejrzenia o udziale osób z wewnątrz”.

Z oceny eksperckiej Treadstone71 wynika, że ​​„przesłanie 50 TB danych nie byłoby możliwe na odległość – i w filtrowanej sieci takiej jak irańska” – i dodał, że sam rozmiar włamania ujawnia również sposób, w jaki został on przeprowadzony.

„Normalna prędkość pobierania Internetu w języku irańskim wynosi 11.8 megabitów na sekundę. Pobranie 50 terabajtów danych z Ministerstwa Spraw Zagranicznych Iranu przy tej prędkości zajęłoby ponad 392 dni lub ponad rok nieprzerwanego pobierania, a irański Internet często ulega awariom, jest dławiony przez rząd i regularnie doświadcza przerw w dostawie prądu spowodowanych przez rząd, ” – napisano w raporcie.

„Bazując na tych liczbach, z dużym prawdopodobieństwem taki atak miał miejsce w wyniku bezpośredniego dostępu do danych”.

W związku z atakiem na stronę internetową Kancelarii Prezydenta hakerzy włamali się do najbezpieczniejszych systemów komunikacyjnych rządu i uzyskali dziesiątki tysięcy dokumentów nie starszych niż kilka miesięcy.

Według irańskiego eksperta, ta strona „używała dedykowanego adresu IP, który był nie do przebicia”.

„Fakt, że hakerzy uzyskali dostęp do dziesiątek tysięcy dokumentów nie starszych niż kilka miesięcy, sugeruje również, że atak przeprowadzili insiderzy. Dokumenty te byłyby przechowywane na komputerach z ograniczonym dostępem do Internetu i trudno byłoby uzyskać do nich dostęp osobom z zewnątrz” – stwierdził Treadstone71.

Raport kończył się następującym stwierdzeniem: „Rząd irański początkowo przypisywał winę zagranicznym przeciwnikom. Jednak eksperci ds. cyberbezpieczeństwa i coraz liczniejsze dowody sugerują zaangażowanie osób poufnych”.

Udostępnij ten artykuł: