FBI waarschuwt voor Russische en Iraanse cyberoperaties gericht op berichtenplatforms
FBI waarschuwt voor Russische cyberspionage
De Federal Bureau of Investigation (FBI) heeft onlangs twee afzonderlijke waarschuwingen uitgebracht over cyberactiviteiten afkomstig uit Rusland en Iran, waarbij beide betrekking hebben op de exploitatie van populaire berichtenapplicaties.
Russische inlichtingendiensten richten zich naar verluidt op commerciële berichtenapps, zoals Signal, om ongeoorloofde toegang te verkrijgen tot accounts van huidige en voormalige Amerikaanse overheidsfunctionarissen, militair personeel, politieke figuren en journalisten. De FBI, in samenwerking met de Cybersecurity and Infrastructure Security Agency (CISA), verklaarde dat deze wereldwijde operatie heeft geleid tot het ongeoorloofd compromitteren van duizenden accounts.
De Russische operatoren maken gebruik van phishingtactieken en sturen berichten die zijn ontworpen om eruit te zien als legitieme geautomatiseerde ondersteuningsnotificaties. Deze berichten proberen ontvangers te laten geloven dat ze een actie moeten uitvoeren, zoals het klikken op een link of het verstrekken van verificatiecodes en account-PIN's. Als een gebruiker aan deze verzoeken voldoet, verlenen ze de aanvallers onbedoeld ongeoorloofde toegang tot hun account, hetzij door het apparaat van de aanvaller te koppelen, hetzij door een volledige accountovername te faciliteren. De instanties merkten op dat naarmate deze campagne zich ontwikkelt, aanvullende methoden, waaronder malware, mogelijk worden gebruikt om slachtoffers te infecteren.
Zodra een account is gecompromitteerd, kunnen de kwaadwillende actoren de berichten en contactlijsten van het slachtoffer bekijken, berichten verzenden en verdere phishingpogingen initiëren tegen andere berichtenaccounts. Hoewel het advies specifiek Signal benadrukt, benadrukte de FBI dat deze tactieken op elke berichtenapplicatie kunnen worden toegepast. Het publiek wordt aangespoord om voorzichtig te zijn met niet-geverifieerde berichten en hun persoonlijke cyberbeveiligingspraktijken te verbeteren. Het advies verduidelijkt dat deze campagnes geen kwetsbaarheden binnen Signal of andere berichtenapps exploiteren; in plaats daarvan zijn ze ontworpen om encryptie te omzeilen door de gebruikers zelf rechtstreeks te compromitteren.
Vorig jaar, tijdens een hoorzitting in het Congres, verwees Director of National Intelligence Tulsi Gabbard naar de richtlijnen van CISA, uitgebracht nadat Chinese hackers Amerikaanse telecommunicatienetwerken hadden binnengedrongen. Deze richtlijnen adviseerden "zeer gerichte individuen" om gebruik te maken van "end-to-end versleutelde communicatie". Ze wees er ook op dat Signal vooraf geïnstalleerd is op apparaten van de federale overheid. In december ondertekende president Donald Trump een beleidswet voor het Pentagon die de minister van Defensie verplicht om ervoor te zorgen dat senior leiders van het Department of Defense (DOD) worden voorzien van mobiele telefoons met "verbeterde cyberbeveiligingsbescherming", inclusief gegevensencryptie.
Eerder bracht de inspecteur-generaal van het Pentagon een rapport uit waaruit bleek dat minister van Defensie Pete Hegseth bestaande departementale voorschriften voor de behandeling van gevoelige informatie had geschonden en mogelijk troepen in gevaar had gebracht. Dit gebeurde toen hij Signal gebruikte om de toen naderende Amerikaanse militaire aanval op Jemen te bespreken. Na de inauguratie van president Donald Trump vorig jaar publiceerde The Atlantic een volledige transcript van een Signal-gesprek onder functionarissen op kabinetsniveau voorafgaand aan een aanval op de gewapende Houthi-groep in Jemen. Dit gebeurde nadat een journalist per ongeluk was opgenomen in de chat, waarbij leden openlijk de tijdstippen van aanvallen en de betrokken vliegtuigtypes bespraken. Een ander waakhondrapport concludeerde dat het Department of Defense geen veilig berichtenplatform heeft dat in staat is gevoelige operaties te coördineren.
Iraanse cyberoperaties: Handala Hack en Telegram-exploitatie
In een afzonderlijk flash-alert dat op vrijdag werd uitgebracht, beschreef de FBI hoe het Iraanse Ministerie van Inlichtingen en Veiligheid (MOIS) het berichtenplatform Telegram inzet als infrastructuur om te communiceren met malware. Deze malware wordt gebruikt om de apparaten van Iraanse dissidenten, journalisten en andere gerichte personen te infecteren.
Deze malware stelt MOIS in staat informatie te stelen en zijn doelwitten te monitoren. De dreigingsactoren vermomden de malware zodat deze eruitzag als veelgebruikte programma's of diensten op Windows-machines. Geïnfecteerde apparaten worden vervolgens verbonden met bots op Telegram, die externe gebruikerstoegang faciliteren om schermopnames of bestanden van de apparaten van slachtoffers te exfiltreren. De FBI legde rechtstreeks een verband tussen het gebruik van Telegram en de vermeende Iraanse groep bekend als Handala Hack, die onlangs de verantwoordelijkheid opeiste voor een aanval op het medische apparatenbedrijf Stryker.
Het agentschap rapporteerde dat de malware in sommige gevallen aanvankelijk legitieme applicaties nabootste, zoals de AI-videogenerator Pictory, de wachtwoordmanager KeePass, of Telegram zelf. Eenmaal geopend, maakte het verbinding met een door de overheid gecontroleerde Telegram-bot, waardoor "bidirectionele communicatie tussen het gecompromitteerde apparaat en api.telegram[.]org" werd opgezet. Ten minste één slachtoffer werd via sociale media-berichtenapps benaderd door hackers die zich voordeden als technische ondersteuning voor de applicatie. De Iraanse cyberactoren overtuigden het slachtoffer vervolgens om een bestandsoverdracht te accepteren met daarin de vermomde fase 1-malware.
Na het verkrijgen van initiële toegang tot het systeem van het slachtoffer werd aanvullende malware gedownload. Deze malware maakte mogelijkheden mogelijk zoals scherm- en audio-opnames, cache-captures, bestandscompressie en bestandsverwijdering. Het advies merkte op: "Op basis van meerdere observaties leek fase 1 van de malware te zijn afgestemd op het leefpatroon van het slachtoffer om de kans te vergroten dat het slachtoffer de malware zou downloaden, wat erop wijst dat de Iraanse cyberactoren waarschijnlijk verkenning van het doelwit hebben uitgevoerd voordat ze contact maakten met het slachtoffer."
Verschillende experts hebben opgemerkt dat het gebruik van Telegram als cruciaal onderdeel bij cybercompromissen een toenemende trend is onder cybercriminelen en door de staat gesteunde actoren, die het gebruiken als command-and-control-infrastructuur. Ensar Seker, CISO bij SOCRadar, legde uit dat Telegram dreigingsactoren in staat stelt kwaadaardig verkeer te integreren binnen vertrouwde, versleutelde platforms. Seker verklaarde: "Door gebruik te maken van een veelgebruikte applicatie zoals Telegram, verminderen groepen zoals Handala de kans op detectie aanzienlijk, omdat beveiligingscontroles vaak standaard zijn ingesteld om dit verkeer toe te staan." Hij voegde eraan toe: "De grotere implicatie is dat versleutelde berichtenplatforms dubbel gebruik-infrastructuur worden voor zowel communicatie als geheime operaties. Beveiligingsteams moeten hun vertrouwensaannames heroverwegen en zichtbaarheidscontroles implementeren rondom goedgekeurde apps, inclusief logging, anomaliedetectie en strikt toegangsbeleid."