FBI udsteder advarsler om russiske og iranske cyberoperationer rettet mod beskedplatforme
FBI advarer om russisk cyberspionage
Det amerikanske forbundspoliti (FBI) har for nylig udsendt to separate advarsler om cyberaktiviteter med oprindelse i Rusland og Iran, som begge involverer udnyttelse af populære beskedapplikationer.
Russiske efterretningsbureauer angriber angiveligt kommercielle beskedapps som Signal for at opnå uautoriseret adgang til konti tilhørende nuværende og tidligere amerikanske embedsmænd, militærpersonel, politiske skikkelser og journalister. FBI oplyste i samarbejde med Cybersecurity and Infrastructure Security Agency (CISA), at denne globale operation har ført til uautoriseret kompromittering af tusindvis af konti.
De russiske operativer anvender phishing-taktikker og sender beskeder, der er designet til at fremstå som legitime automatiserede supportnotifikationer. Disse beskeder har til formål at narre modtagerne til at tro, at de skal udføre en handling, såsom at klikke på et link eller opgive bekræftelseskoder og konto-PIN-koder. Hvis en bruger efterkommer disse anmodninger, giver vedkommende utilsigtet angriberne uautoriseret adgang til deres konto, enten ved at tilknytte angriberens enhed eller ved at muliggøre en fuldstændig kontoovertagelse. Myndighederne bemærkede, at efterhånden som denne kampagne udvikler sig, kan der blive anvendt yderligere metoder, herunder malware, til at inficere ofre.
Når en konto er kompromitteret, kan de ondsindede aktører se ofrets beskeder og kontaktlister, sende beskeder og igangsætte yderligere phishing-forsøg mod andre beskedkonti. Selvom vejledningen specifikt fremhæver Signal, understregede FBI, at disse taktikker kan anvendes mod enhver beskedapplikation. Offentligheden opfordres til at udvise forsigtighed over for ubekræftede beskeder og til at styrke sine personlige cybersikkerhedspraksisser. Vejledningen præciserer, at disse kampagner ikke udnytter sårbarheder i Signal eller andre beskedapps; i stedet er de designet til at omgå kryptering ved direkte at kompromittere brugerne selv.
Sidste år henviste den nationale efterretningsdirektør Tulsi Gabbard under en kongresthøring til CISA's vejledning, som blev udstedt efter kinesiske hackere brød ind i amerikanske telekomnetværk. Denne vejledning anbefalede "særligt udsatte personer" at benytte "ende-til-ende-krypteret kommunikation." Hun påpegede også, at Signal kommer forudinstalleret på føderale myndigheders enheder. I december underskrev præsident Donald Trump en Pentagon-politiklov, der pålægger forsvarsministeren at sikre, at de øverste ledere i Department of Defense (DOD) får mobiltelefoner udstyret med "forbedrede cybersikkerhedsbeskyttelser", herunder datakryptering.
Tidligere udsendte Pentagons inspektørgeneral en rapport, der angiver, at forsvarsminister Pete Hegseth overtrådte eksisterende departementale regler for håndtering af følsomme oplysninger og potentielt bragte tropper i fare. Dette skete, da han brugte Signal til at diskutere det dengang forestående amerikanske militærangreb i Yemen. Efter præsident Donald Trumps indsættelse sidste år offentliggjorde The Atlantic en komplet udskrift af en Signal-samtale blandt kabinetsmedlemmer forud for et angreb på Houthi-bevægelsen i Yemen. Dette skete efter, at en journalist ved en fejl blev tilføjet til chatten, hvor medlemmerne åbent diskuterede angrebstidspunkter og de involverede flytyper. En anden kontrolrapport konkluderede, at forsvarsministeriet mangler en sikker beskedplatform, der er i stand til at koordinere følsomme operationer.
Iranske cyberoperationer: Handala Hack og udnyttelse af Telegram
I en separat flash-advarsel udsendt fredag beskrev FBI, hvordan Irans ministerium for efterretning og sikkerhed (MOIS) udnytter beskedplatformen Telegram som infrastruktur til at kommunikere med malware. Denne malware bruges til at inficere enheder tilhørende iranske dissidenter, journalister og andre målpersoner.
Denne malware giver MOIS mulighed for at stjæle oplysninger og overvåge sine mål. Trusselsaktørerne forklædte malwaren til at fremstå som almindeligt anvendte programmer eller tjenester på Windows-maskiner. Inficerede enheder forbindes derefter til bots på Telegram, som muliggør fjernadgang for brugeren til at eksfiltrere skærmbilleder eller filer fra ofrets enheder. FBI koblede direkte brugen af Telegram til den påståede iranske gruppe kendt som Handala Hack, som for nylig hævdede ansvaret for et angreb på medicinsk udstyr-virksomheden Stryker.
Bureauet rapporterede, at malwaren i nogle tilfælde i første omgang efterlignede legitime applikationer såsom AI-videogeneratoren Pictory, adgangskodehåndteringen KeePass eller Telegram selv. Når den blev åbnet, tilsluttede den sig en statslig Telegram-bot og etablerede "tovejskommunikation mellem den kompromitterede enhed og api.telegram[.]org." Mindst ét offer blev kontaktet via sociale mediers beskedapps af hackere, der udgav sig for at være teknisk support til applikationen. De iranske cyberaktører overtalte derefter offeret til at acceptere en filoverførsel indeholdende den forklædte fase 1-malware.
Efter at have opnået indledende adgang til ofrets system blev yderligere malware downloadet. Denne malware muliggjorde funktioner som skærm- og lydoptagelser, cache-captures, filkomprimering og filsletning. Vejledningen bemærkede: "Baseret på flere observationer syntes fase 1 af malwaren at være skræddersyet til ofrets livsmønster for at øge sandsynligheden for, at offeret downloader malwaren, hvilket indikerer, at de iranske cyberaktører sandsynligvis udførte rekognoscering af målet inden kontakt med offeret."
Flere eksperter har observeret, at brugen af Telegram som en afgørende komponent i cyberkompromitteringer er en voksende tendens blandt cyberkriminelle og statsligt støttede aktører, der anvender det som kommando-og-kontrol-infrastruktur. Ensar Seker, CISO hos SOCRadar, forklarede, at Telegram giver trusselsaktører mulighed for at integrere ondsindet trafik inden for betroede, krypterede platforme. Seker udtalte: "Ved at udnytte en bredt anvendt applikation som Telegram reducerer grupper som Handala i betydelig grad sandsynligheden for opdagelse, fordi sikkerhedskontroller ofte er indstillet til at tillade denne trafik som standard." Han tilføjede: "Den større konsekvens er, at krypterede beskedplatforme er ved at blive dual-use-infrastruktur for både kommunikation og skjulte operationer. Sikkerhedsteams er nødt til at revurdere deres tillidsantagelser og implementere synlighedskontroller omkring godkendte apps, herunder logning, anomalidetektion og strenge adgangspolitikker."