FBI utfärdar varningar om ryska och iranska cyberoperationer som riktar sig mot meddelandeplattformar

FBI varnar för rysk cyberespionage

Federal Bureau of Investigation (FBI) har nyligen utfärdat två distinkta varningar angående cyberaktiviteter som härstammar från Ryssland och Iran, vilka båda involverar utnyttjande av populära meddelandeapplikationer.

Ryska underrättelsetjänster riktar sig enligt uppgift mot kommersiella meddelandeappar, såsom Signal, för att få obehörig åtkomst till konton som tillhör nuvarande och tidigare amerikanska regeringsanställda, militärpersonal, politiska figurer och journalister. FBI, i samarbete med Cybersecurity and Infrastructure Security Agency (CISA), uppgav att denna globala operation har lett till obehörig kompromiss av tusentals konton.

De ryska operatörerna använder phishing-taktik, där de skickar meddelanden som är utformade för att se ut som legitima automatiserade supportmeddelanden. Dessa meddelanden syftar till att lura mottagarna att tro att de behöver utföra en åtgärd, såsom att klicka på en länk eller tillhandahålla verifieringskoder och kontopinkoder. Om en användare följer dessa begärningar ger de oavsiktligt angriparna obehörig åtkomst till sitt konto, antingen genom att koppla angriparens enhet eller genom att underlätta en fullständig övertagning av kontot. Myndigheterna noterade att i takt med att denna kampanj utvecklas kan ytterligare metoder, inklusive malware, användas för att infektera offer.

När ett konto har komprometterats kan de illvilliga aktörerna se offrets meddelanden och kontaktlistor, skicka meddelanden och initiera ytterligare phishingförsök mot andra meddelandekonton. Även om rådgivningen specifikt framhäver Signal, betonade FBI att dessa taktiker kan tillämpas på vilken meddelandeapplikation som helst. Allmänheten uppmanas att vara försiktig med overifierade meddelanden och att förbättra sina personliga cybersäkerhetspraxis. Rådgivningen klargör att dessa kampanjer inte utnyttjar sårbarheter inom Signal eller andra meddelandeappar; istället är de utformade för att kringgå kryptering genom att direkt kompromettera användarna själva.

Förra året, under kongressens vittnesmål, hänvisade nationella säkerhetsdirektören Tulsi Gabbard till CISA:s vägledning, som utfärdades efter att kinesiska hackare bröt sig in i amerikanska telekomnät. Denna vägledning rekommenderade "högt riktade individer" att använda "end-to-end-krypterad kommunikation." Hon påpekade också att Signal är förinstallerat på federala regeringsenheter. I december undertecknade president Donald Trump en policylag för Pentagon som föreskrev att försvarsministern skulle säkerställa att seniora ledare inom försvarsdepartementet (DOD) får mobiltelefoner utrustade med "förbättrade cybersäkerhetsåtgärder," inklusive datakryptering.

Tidigare utfärdade Pentagons inspektörsgeneral en rapport som indikerade att försvarsminister Pete Hegseth bröt mot befintliga avdelningsregler för hantering av känslig information och potentiellt satte trupper i fara. Detta inträffade när han använde Signal för att diskutera den då förestående amerikanska militära attacken i Jemen. Efter president Donald Trumps tillträde förra året publicerade The Atlantic en fullständig transkription av ett Signal-samtal bland tjänstemän på kabinett-nivå före en attack mot den Houthi-bekämpande gruppen i Jemen. Detta hände efter att en journalist av misstag inkluderades i chatten, där medlemmarna öppet diskuterade tidpunkter för attacken och typer av involverade flygplan. En annan övervakningsrapport drog slutsatsen att försvarsdepartementet saknar en säker meddelandeplattform som kan samordna känsliga operationer.

Iranska cyberoperationer: Handala Hack och Telegram-utnyttjande

I en separat flashvarning som utfärdades i fredags, detaljerade FBI hur Irans ministerium för underrättelse och säkerhet (MOIS) utnyttjar meddelandeplattformen Telegram som infrastruktur för att kommunicera med malware. Detta malware används för att infektera enheter hos iranska dissidenter, journalister och andra mål.

Detta malware möjliggör för MOIS att stjäla information och övervaka sina mål. Hotaktörerna maskerade malware så att det såg ut som vanliga program eller tjänster på Windows-maskiner. Infekterade enheter kopplas sedan till bots på Telegram, som underlättar fjärranvändartillgång för att extrahera skärmdumpar eller filer från offrets enheter. FBI kopplade direkt användningen av Telegram till den påstådda iranska gruppen känd som Handala Hack, som nyligen tog på sig ansvaret för en attack mot medicinteknikföretaget Stryker.

Myndigheten rapporterade att i vissa fall efterliknade malware först legitima applikationer som AI-videogeneratorn Pictory, lösenordshanteraren KeePass eller Telegram själv. När den öppnades kopplades den till en statligt kontrollerad Telegram-bot, vilket etablerade "tvåvägskommunikation mellan den komprometterade enheten och api.telegram[.]org." Minst ett offer kontaktades via sociala meddelandeappar av hackare som utgav sig för att vara teknisk support för applikationen. De iranska cyberaktörerna övertygade sedan offret att acceptera en filöverföring som innehöll det maskerade steg 1-malware.

Vid den initiala åtkomsten till offrets system laddades ytterligare malware ner. Detta malware möjliggjorde funktioner som skärm- och ljudinspelningar, cache-fångst, filkomprimering och filradering. Rådgivningen noterade, "Baserat på flera observationer verkade steg 1 av malware vara skräddarsytt för offrets livsmönster för att öka sannolikheten för att offret skulle ladda ner malware, vilket indikerar att de iranska cyberaktörerna sannolikt utförde målrekognosering innan de engagerade sig med offret."

Flera experter har observerat att användningen av Telegram som en avgörande komponent i cyberkompromisser är en växande trend bland cyberkriminella och statsstödda aktörer, som använder det som kommandon och kontrollinfrastruktur. Ensar Seker, CISO på SOCRadar, förklarade att Telegram möjliggör för hotaktörer att integrera skadlig trafik inom betrodda, krypterade plattformar. Seker uttalade, "Genom att utnyttja en allmänt använd applikation som Telegram minskar grupper som Handala avsevärt sannolikheten för upptäckte, eftersom säkerhetskontroller ofta är inställda för att tillåta denna trafik som standard." Han tillade, "Den större implikationen är att krypterade meddelandeplattformar blir dubbelanvändningsinfrastruktur för både kommunikation och hemliga operationer. Säkerhetsteam behöver ompröva sina förtroendeförutsättningar och implementera synlighetskontroller kring sanktionerade appar, inklusive loggning, anomalidetektering och strikta åtkomstpolicyer."