SentinelOne：伊朗黑客正靜默滲透，積攢戰(zhàn)時(shí)破壞的“敲門磚”

伊朗關(guān)聯(lián)的網(wǎng)絡(luò)攻擊者，并不總是依賴喧囂的數(shù)據(jù)泄露、網(wǎng)站篡改或破壞性攻擊來(lái)彰顯自身存在。

賽門鐵克旗下威脅情報(bào)機(jī)構(gòu)SentinelOne在一份最新報(bào)告中指出，這類行動(dòng)主體正在采取一種更隱蔽、更具長(zhǎng)遠(yuǎn)威脅的策略：他們悄悄在企業(yè)內(nèi)部網(wǎng)絡(luò)、云賬戶、IT服務(wù)供應(yīng)商以及工業(yè)控制系統(tǒng)內(nèi)積攢訪問(wèn)權(quán)限，這些早已埋下的“伏筆”，可能會(huì)在政治危機(jī)爆發(fā)時(shí)被激活，瞬間轉(zhuǎn)化為實(shí)際的運(yùn)營(yíng)中斷。

其核心戰(zhàn)術(shù)包括竊取有效賬號(hào)憑據(jù)、部署遠(yuǎn)程管理工具、發(fā)布針對(duì)性崗位釣魚郵件，以及對(duì)暴露在公網(wǎng)的工業(yè)系統(tǒng)發(fā)起精確打擊。

報(bào)告將此策略定義為“訪問(wèn)選擇性”。簡(jiǎn)單來(lái)說(shuō)，一個(gè)早已到手的企業(yè)賬號(hào)、一家被滲透的IT供應(yīng)商或是后臺(tái)的遠(yuǎn)程管理平臺(tái)，在和平時(shí)期或許只是用于無(wú)聲的間諜活動(dòng)，窺探機(jī)密、竊取數(shù)據(jù)；而一旦外部條件或政治風(fēng)向發(fā)生變化，此前埋藏的路徑便立刻切換為破壞商業(yè)運(yùn)作的通道。

SentinelOne強(qiáng)調(diào)，外界不應(yīng)將伊朗相關(guān)的網(wǎng)絡(luò)活動(dòng)視作單一的整體行動(dòng)。即便某些行動(dòng)看似有關(guān)聯(lián)，背后運(yùn)作的不同小組與公開身份往往肩負(fù)著各自獨(dú)立的使命、瞄準(zhǔn)各自的目標(biāo)，技術(shù)水準(zhǔn)也參差不齊。

報(bào)告中披露的具體案例進(jìn)一步印證了這一模式。被指與伊朗情報(bào)與安全部有關(guān)聯(lián)的“種子蠕蟲”，也就是業(yè)界熟知的MuddyWater，就被發(fā)現(xiàn)深度介入了針對(duì)美國(guó)一家銀行、一座機(jī)場(chǎng)、多家非營(yíng)利組織以及一家美國(guó)軟件供應(yīng)商設(shè)在以色列分支的滲透行動(dòng)。調(diào)查人員在其中發(fā)現(xiàn)了多個(gè)后門程序，以及將竊得數(shù)據(jù)向商用云存儲(chǔ)桶轉(zhuǎn)移的痕跡。同時(shí)，該組織長(zhǎng)期濫用合法簽名軟件的伎倆，也暴露了其對(duì)長(zhǎng)期駐留目標(biāo)的執(zhí)著。

另一組被追蹤的"Screening Serpens"活動(dòng)，則專門利用精心設(shè)計(jì)的招聘誘餌，將遠(yuǎn)程訪問(wèn)木馬投遞給美國(guó)、以色列、阿聯(lián)酋及其他中東國(guó)家的目標(biāo)。這些釣魚誘餌通常瞄準(zhǔn)手握信任權(quán)限的角色，因?yàn)橐坏┠孟麓祟愘~號(hào)，攻擊者就能馬上掌握內(nèi)部對(duì)話、重要聯(lián)系人以及海量云端資源。

IT服務(wù)供應(yīng)商因此成為其突破防線的重要跳板。攻擊者能直接濫用管理員、技術(shù)支持、身份認(rèn)證方或遠(yuǎn)程管理平臺(tái)本身所擁有的合法權(quán)限。對(duì)于大量依賴外部IT外包的公司而言，強(qiáng)化遠(yuǎn)程訪問(wèn)的權(quán)限管控與安全基線，已不再是可選項(xiàng)，而是必須守住的生命線。

更嚴(yán)峻的后果發(fā)生在攻擊觸角伸向運(yùn)營(yíng)技術(shù)層面之時(shí)。報(bào)告提及，伊朗背景的攻擊者已直接掃描和攻擊暴露在公網(wǎng)的羅克韋爾自動(dòng)化和艾倫-布拉德利的可編程邏輯控制器，覆蓋對(duì)象包括水處理設(shè)施、能源供應(yīng)商、工廠乃至政府機(jī)構(gòu)。部分事件已切實(shí)造成運(yùn)營(yíng)中斷與財(cái)務(wù)損失。

這種威脅的實(shí)質(zhì)，并不在于每塊公網(wǎng)暴露的工業(yè)儀表盤都已被完全控制，也不在于黑客公開宣傳的每一次聲明都確鑿無(wú)誤。真正的長(zhǎng)期風(fēng)險(xiǎn)，在于對(duì)手握有隨時(shí)可用的后手，能在關(guān)鍵時(shí)刻選擇癱瘓最脆弱的關(guān)鍵領(lǐng)域。