Iranin valtion tukema APT42-hakkeriryhmä, joka kohdistaa hallitukselle, kansalaisjärjestöille ja hallitustenvälisille järjestöille valtuuksia
Kyberturvallisuuden alalla valppaus on ensiarvoisen tärkeää. Google Cloudin Mandiantin viimeaikaiset paljastukset valaisevat APT42:n, valtion tukeman kybervakoiluryhmän, jonka uskotaan toimivan Iranissa Islamic Revolutionary Guard Corpsin (IRGC) puolesta. APT42:n historia ulottuu ainakin vuoteen 2015, ja se on noussut merkittäväksi uhkaksi, ja se on kohdistettu monenlaisiin tahoihin, mukaan lukien kansalaisjärjestöt, valtion laitokset ja hallitustenväliset järjestöt.
Eri aliaksilla, kuten Calanquella ja UNC788:lla toimiva APT42:n toimintatapa on yhtä hienostunut kuin se koskee. Sosiaalisen suunnittelun taktiikkaa hyödyntäen ryhmä esiintyy toimittajina ja tapahtumien järjestäjinä soluttautuakseen kohteidensa verkostoihin. Hyödyntämällä näitä petollisia strategioita, APT42 saavuttaa aavistamattomien uhrien luottamuksen, jolloin he voivat kerätä arvokkaita valtuustietoja luvatta pääsyä varten.
Yksi APT42:n lähestymistavan tunnusmerkeistä on useiden takaovien hyödyntäminen haitallisten toimintojensa helpottamiseksi. Mandiantin raportti korostaa kahden uuden takaoven käyttöönottoa viimeaikaisissa hyökkäyksissä. Näiden salaisten työkalujen avulla APT42 voi tunkeutua pilviympäristöihin, suodattaa arkaluontoisia tietoja ja välttää havaitsemisen hyödyntämällä avoimen lähdekoodin työkaluja ja sisäänrakennettuja ominaisuuksia.
Mandiantin analyysi paljastaa edelleen APT42:n toiminnassaan käyttämän monimutkaisen infrastruktuurin. Ryhmä järjestää laajoja valtuustietojen keräämiskampanjoita ja luokittelee kohteensa kolmeen erilliseen klusteriin. Mediaorganisaatioiksi naamioitumisesta laillisten palveluiden esittämiseen, APT42 käyttää erilaisia taktiikoita houkutellakseen uhrinsa paljastamaan kirjautumistietonsa.
Lisäksi APT42:n toiminta ulottuu perinteisen kybervakoilun ulkopuolelle. Ryhmä on osoittanut halukkuutta mukauttaa taktiikkaansa , mistä on osoituksena sen mukautettujen takaovien, kuten Nicecurl ja Tamecat, käyttöönotto. Nämä työkalut, jotka on kirjoitettu VBScriptillä ja PowerShellillä, antavat APT42:lle mahdollisuuden suorittaa mielivaltaisia komentoja ja poimia arkaluonteisia tietoja vaarantuneista järjestelmistä.
Geopoliittisista jännitteistä ja alueellisista konflikteista huolimatta APT42 jatkaa lujasti tiedustelutietojen keräämistä. Mandiantin havainnot korostavat ryhmän joustavuutta ja sinnikkyyttä, kun se jatkaa kohdistamistaan arkaluonteisiin geopoliittisiin kysymyksiin liittyviin tahoihin Yhdysvalloissa, Israelissa ja sen ulkopuolella. Lisäksi APT42:n ja muiden iranilaisten hakkerointiryhmien, kuten Charming Kittenin, toiminnan päällekkäisyys korostaa Iranin kyberoperaatioiden koordinoitua ja monitahoista luonnetta.
Tällaisten uhkien edessä ennakoivat kyberturvallisuustoimenpiteet ovat välttämättömiä. Organisaatioiden tulee pysyä valppaina, käyttää vankkoja suojausprotokollia ja pysyä ajan tasalla kyberpuolustuksen viimeisimmästä kehityksestä. Yhteistyötä ja tiedon jakamista tehostamalla maailmanlaajuinen yhteisö voi paremmin kohdata APT42:n kaltaisten ryhmien uhkakuvan.
Viime kädessä Mandiantin tarjoamat paljastukset toimivat raittiina muistuttavana kyberuhkien jatkuvasta ja leviävästä luonteesta. Kun tekniikka kehittyy jatkuvasti, myös puolustuksemme kehittyy. Vain kollektiivisen toiminnan ja horjumattoman ahkeruuden avulla voimme toivoa lieventävän valtion tukemien kybervakoiluryhmien, kuten APT42:n, aiheuttamia riskejä.