FireEye enthüllt Zunahme fortschrittlicher Bedrohungsaktivitäten durch das iranische Ajax Security Team seit der Ära des Computerwurms Stuxnet

Downloads

FireEye, Spezialist für den Schutz von Unternehmen vor bisher unbekannten Cyber-Angriffen, hat den Untersuchungsbericht mit dem Titel “Operation Saffron Rose” zu den Aktivitäten einer iranischen Cyber-Spionagegruppe veröffentlicht. Die Gruppe, die FireEye-Mitarbeiter als Ajax Security Team bezeichnen, hat ihre Vorgehensweise vom vorrangigen Hacken von Internetseiten im Jahr 2009 zu ausgewachsenem Ausspionieren von iranischen Dissidenten und US-Rüstungsunternehmen weiterentwickelt. Indizien im Bericht legen nahe, dass sich die Methodik von Ajax der Vorgehensweise anderer Advanced Persistent Threat-Akteure aus dem Iran und seinen Nachbarländern infolge von Cyber-Angriffen auf den Iran in den späten 2000er Jahren zunehmend angenähert hat.

“Es vollzieht sich derzeit eine Entwicklung innerhalb der im Iran beheimateter Hacker-Gruppen. Diese steht mit den Versuchen des Irans in Einklang, politische Dissidenten zu kontrollieren und offensive Cyber-Fähigkeiten zu erweitern“, sagt Nart Villeneuve, Senior Threat Intelligence Researcher bei FireEye. „Wir haben nicht nur eine zunehmende Aktivität seitens im Iran beheimateter Bedrohungsurheber, sondern auch einen Übergang zu Cyber-Spionagetaktiken, beobachtet. Die Akteure führen nicht länger Angriffe aus, um schlicht ihre Botschaft zu verbreiten. Sie entscheiden sich stattdessen dazu, detailliert auszuspähen und die Systeme des Zielobjekts für längerfristige Aktionen zu kontrollieren.“

Die Ziele von Operation Saffron Rose sind iranische Dissidenten und US-Rüstungsunternehmen. FireEye Labs haben jüngst beobachtet, dass das Ajax Security Team mehrere Cyber-Spionage-Operationen gegen Unternehmen der Rüstungsindustrie in den USA durchgeführt hat. Die Gruppe richtet ihre Aktionen ebenso gegen iranische Nutzer von Profixier oder Psiphon. Beides sind Anti-Zensur-Technologien, die das Internet-Zensursystem des Irans umgehen.

Es ist unklar, ob das Ajax Security Team isoliert arbeitet oder Teil größerer, staatlich gesteuerter Bemühungen ist. Das Team nutzt Malware-Tools, die nicht frei erhältlich zu sein oder von keiner anderen Gruppierung genutzt zu werden scheinen. Zudem nutzt die Gruppe verschiedene Social-Engineering-Taktiken, um Ziele zu ködern und ihre Systeme mit Malware zu infizieren. Obwohl FireEye Labs nicht beobachtet hat, dass das Ajax Security Team Zero-Day-Angriffe zur Infizierung einsetzt, haben vormals Mitglieder des Teams Exploit-Codes verwendet, um Internetseiten im Rahmen ihrer Aktionen zu hacken.

FireEye hat Informationen zu 77 Zielen eines Command-and-Control-Servers aufgedeckt. Sie wurden bei der Analyse von Malware-Proben entdeckt, die als Proxifier und Psiphon getarnt waren. Bei der Analyse der Ziel-Daten hat FireEye eine besondere Häufigkeit von Einstellungen in der Zeitzone des Iran und in persischer Sprache festgestellt.

Folgend finden Sie eine detaillierte Aufschlüsselung der Zieldaten:

  • 44 Ziele hatten die Zeitzone “Iran Standard Time” eingestellt und 37 von diesen hatten zudem die Einstellung auf die persische Sprache
  • Von den 33 Zielen, bei denen nicht die iranische Zeitzone eingestellt war, waren 10 auf die persische Sprache eingestellt
  • 12 der Ziele hatte entweder Proxifier oder Psiphon installiert oder in Betrieb (alle 12 hatten persische Spracheinstellungen, nur eine war nicht auf “Iran Standard Time” eingestellt)

Der Iran wird bereits seit 2009 mit fortschrittlichen Cyber-Angriffen identifiziert, als die Pläne für einen neuen Marine Corps One-Helikopter des US-Präsidenten in einem Filesharing-Netzwerk im Iran gefunden wurden.(1) 2010 brachte die „Iranian Cyber Army“ Twitter und die chinesische Suchmaschine Baidu zum Erliegen, wobei Letztere auf politische Botschaften des Iran weiterleitete.(2) 2013 berichtete das „Wall Street Journal“, dass iranische Akteure ihre Bemühungen verstärkt hätten, wichtige Infrastruktureinrichtungen der USA zu beeinträchtigen.(3) Schließlich hat in den letzten Jahren eine andere Gruppierung, namens Izz ad-Din al-Qassam, die “Operation Ababil” gestartet, die eine Reihe von DDoS-Angriffen gegen viele US-Geldinstitute samt der New Yorker Börse in Gang setzte.(4)

Der Report ist hier nachzulesen (siehe auch im Anhang dieses Beitrags) sowie der darauf bezogene Blogbeitrag.

(1) Borak, D. (3 Mar 2009) “Source in Iran views Marine One blueprints,” Marine Corps Times.
(2) Wai-yin Kwok, V. (13 Jan 2010) “Baidu Hijacked By Cyber Army,” Forbes.
(3) Gorman, S. & Yadron, D. (23 May 2013) “Iran Hacks Energy Firms, U.S. Says,” Wall Street Journal.
(4) Walker, D. (8 Mar 2013) “Hacktivists plan to resume DDoS campaign against U.S. banks,” SC Magazine.
 
Über FireEye, Inc.
FireEye (www.fireeye.com) hat eine speziell entwickelte Virtual Machine-basierte Plattform erfunden, die Schutz für Unternehmen und Regierungen vor Next Generation Cyber-Angriffen in Echtzeit bietet. Diese besonders fortgeschrittenen Angriffe umgehen traditionelle signaturbasierte Abwehrmechanismen, wie Next Generation Firewalls, IPS, Anti-Virus und Gateways, mit Leichtigkeit. Die FireEye Threat Prevention Platform bietet dynamischen Schutz in Echtzeit ohne Signaturen zu nutzen, um Organisation auf den primären Angriffsvektoren zu schützen, über die verschiedenen Angriffsstufen hinweg. Das Kernstück der FireEye Plattform ist die Virtual Execution Engine, die durch dynamische Threat Intelligence ergänzt wird, um Angriffe in Echtzeit zu identifizieren und zu stoppen. FireEye hat über 1.900 Kunden in mehr als 60 Ländern, darunter 130 der Fortune 500 Unternehmen.