Χάκερς, που συνδέονται με το Ιράν, κατάφεραν να παραβιάσουν τον προσωπικό λογαριασμό email του Kash Patel, διευθυντή του Ομοσπονδιακού Γραφείου Ερευνών (FBI) των Ηνωμένων Πολιτειών. Μάλιστα, φέρεται να διέρρευσαν μια σειρά από φωτογραφίες και άλλα έγγραφα στο διαδίκτυο.
Η ομάδα Handala Hack, η οποία πραγματοποίησε την παραβίαση, δήλωσε ότι ο Patel “θα βρει τώρα το όνομά του στη λίστα των επιτυχημένων θυμάτων hacking“. Σε δήλωση που κοινοποιήθηκε στο Reuters, το FBI επιβεβαίωσε ότι τα emails του Patel είχαν στοχοποιηθεί και σημείωσε ότι έχουν ληφθεί τα απαραίτητα μέτρα για να “μετριάσουν τους πιθανούς κινδύνους που σχετίζονται με αυτή τη δραστηριότητα“.
Η υπηρεσία ανέφερε, επίσης, ότι τα δημοσιευμένα δεδομένα είναι “δεν περιλαμβάνουν κυβερνητικές πληροφορίες“. Η διαρροή περιλαμβάνει emails από το 2010 και το 2019 που φέρεται να έχουν σταλεί από τον Patel.
Ιράν – Handala Hack
Η Handala Hack εκτιμάται ότι είναι μια φιλοϊρανική, φιλοπαλαιστινιακή χακτιβιστική περσόνα που υιοθετήθηκε από το Υπουργείο Πληροφοριών και Ασφάλειας του Ιράν (MOIS). Παρακολουθείται από την κοινότητα της κυβερνοασφάλειας με διάφορα ψευδώνυμα, όπως Banished Kitten, Cobalt Mystique, Red Sandstorm και Void Manticore. Η ομάδα λειτουργεί, επίσης, μια άλλη περσόνα που ονομάζεται Homeland Justice, στοχεύοντας αλβανικές οντότητες από τα μέσα του 2022.
Δείτε επίσης: Ολλανδική Αστυνομία: Παραβίαση μέσω phishing επίθεσης
Μια τρίτη περσόνα που σχετίζεται με το MOIS είναι η Karma, η οποία πιστεύεται ότι έχει αντικατασταθεί πλήρως από την Handala Hack από τα τέλη του 2023.
Δεδομένα που συγκεντρώθηκαν από την StealthMole αποκάλυψαν ότι η διαδικτυακή παρουσία της Handala εκτείνεται πέρα από τις πλατφόρμες ανταλλαγής μηνυμάτων και τα φόρουμ κυβερνοεγκλήματος, όπως το BreachForums, για τη δημοσιοποίηση των δραστηριοτήτων της. Η ομάδα διατηρεί μια πολυεπίπεδη υποδομή που περιλαμβάνει surface web domains, υπηρεσίες φιλοξενούμενες στο Tor και εξωτερικές πλατφόρμες φιλοξενίας αρχείων, όπως η MEGA.
“Η Handala έχει στοχεύσει συστηματικά παρόχους IT και υπηρεσίες σε μια προσπάθεια να αποκτήσει διαπιστευτήρια, βασιζόμενη κυρίως σε παραβιασμένους λογαριασμούς VPN για αρχική πρόσβαση“, ανέφερε η Check Point σε μια έκθεση που δημοσιεύθηκε αυτόν τον μήνα. “Τους τελευταίους μήνες, εντοπίσαμε εκατοντάδες προσπάθειες σύνδεσης και brute-force κατά της υποδομής VPN οργανισμών που συνδέονται με την υποδομή της Handala“.
Οι επιθέσεις που πραγματοποιούνται από την ομάδα αξιοποιούν το RDP για πλευρική κίνηση και ξεκινούν καταστροφικές επιχειρήσεις εγκαθιστώντας malware, όπως το Handala Wiper και το Handala PowerShell Wiper (μέσω Group Policy logon scripts). Χρησιμοποιούνται, επίσης, νόμιμα εργαλεία disk encryption, όπως το VeraCrypt, για να περιπλέξουν τις προσπάθειες ανάκτησης.
“Σε αντίθεση με τις ομάδες κυβερνοεγκληματιών που έχουν οικονομικά κίνητρα, η δραστηριότητα που συνδέεται με την Handala έχει ιστορικά δώσει έμφαση στη διακοπή υπηρεσιών, τον ψυχολογικό αντίκτυπο και τη γεωπολιτική σύγκρουση“, σημείωσε η Flashpoint. “Οι επιχειρήσεις που αποδίδονται στην περσόνα συχνά ευθυγραμμίζονται με περιόδους αυξημένης γεωπολιτικής έντασης και συχνά στοχεύουν οργανισμούς με συμβολική ή στρατηγική αξία“.
Σύγκρουση ΗΠΑ-Ισραήλ-Ιράν
Αυτή η εξέλιξη έρχεται στο πλαίσιο της σύγκρουσης ΗΠΑ-Ισραήλ-Ιράν, προκαλώντας το Ιράν να ξεκινήσει μια αντεπίθεση στον κυβερνοχώρο κατά δυτικών στόχων. Η Handala Hack ανέλαβε την ευθύνη για την κατάρρευση των δικτύων του παρόχου ιατρικών συσκευών και υπηρεσιών Stryker, διαγράφοντας ένα σημαντικό μέρος εταιρικών δεδομένων και χιλιάδες συσκευές υπαλλήλων. Αυτή η επίθεση είναι η πρώτη επιβεβαιωμένη καταστροφική επιχείρηση wiper που στοχεύει μια εταιρεία Fortune 500 των ΗΠΑ.
Δείτε επίσης: Η Ευρωπαϊκή Επιτροπή ερευνά παραβίαση που σχετίζεται με υποδομή cloud
Σε μια ενημέρωση που εκδόθηκε στην ιστοσελίδα της, η Stryker δήλωσε ότι “το περιστατικό έχει περιοριστεί“, προσθέτοντας ότι “αντέδρασε γρήγορα για να ανακτήσει την πρόσβαση αλλά και να αφαιρέσει το μη εξουσιοδοτημένο μέρος από το περιβάλλον της“. Η παραβίαση περιορίστηκε στο εσωτερικό περιβάλλον της Microsoft.
Οι δράστες έχουν βρεθεί να χρησιμοποιούν ένα κακόβουλο αρχείο για να εκτελούν εντολές που τους επιτρέπουν να αποκρύπτουν τις ενέργειές τους. Ωστόσο, το αρχείο δεν διαθέτει καμία δυνατότητα να εξαπλωθεί σε ολόκληρο το δίκτυο, επεσήμανε η Stryker.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η Palo Alto Networks Unit 42 υπέδειξε ότι οι πρόσφατες καταστροφικές επιχειρήσεις από την Handala Hack πιθανότατα περιλαμβάνουν την “εκμετάλλευση της ταυτότητας μέσω phishing και τη διοικητική πρόσβαση μέσω του Microsoft Intune“. Η Hudson Rock έχει βρει αποδείξεις ότι χρησιμοποιήθηκαν παραβιασμένα διαπιστευτήρια σε αυτές τις επιχειρήσεις.
Στόχευση διευθυντή FBI
Η πρόσφατη διαρροή προσωπικών email του Patel από την ομάδα Handala Hack έρχεται να εντείνει μια ήδη τεταμένη κυβερνογεωπολιτική αντιπαράθεση. Το περιστατικό φαίνεται να αποτελεί άμεση απάντηση σε επιχείρηση των αμερικανικών αρχών, η οποία, κατόπιν δικαστικής εντολής, οδήγησε στην κατάσχεση τεσσάρων domain που συνδέονται με δραστηριότητες του ιρανικού Υπουργείου Πληροφοριών (MOIS). Παράλληλα, οι Ηνωμένες Πολιτείες έχουν προχωρήσει στην ανακοίνωση αμοιβής ύψους 10 εκατομμυρίων δολαρίων για πληροφορίες που θα μπορούσαν να οδηγήσουν στον εντοπισμό μελών της ομάδας.
Τα domain που κατασχέθηκαν φέρεται να χρησιμοποιούνταν ως εργαλεία ψυχολογικών επιχειρήσεων, με στόχο την προπαγάνδα και την επιρροή. Σύμφωνα με το Υπουργείο Δικαιοσύνης των ΗΠΑ, οι πλατφόρμες αυτές αξιοποιήθηκαν για την ανάληψη ευθύνης κυβερνοεπιθέσεων, τη δημοσιοποίηση κλεμμένων δεδομένων, ακόμη και την υποκίνηση βίας κατά δημοσιογράφων και αντιφρονούντων. Η στρατηγική αυτή αποκαλύπτει μια πιο επιθετική προσέγγιση στον κυβερνοχώρο, όπου η πληροφορία μετατρέπεται σε όπλο.
Δείτε επίσης: Το Λιμάνι του Vigo “χτυπήθηκε” από επίθεση ransomware
Διαρροές δεδομένων και στοχευμένες απειλές
Στο πλαίσιο των επιθέσεων, δημοσιοποιήθηκαν ευαίσθητα στοιχεία περίπου 190 ατόμων που συνδέονται με τις Ισραηλινές Ένοπλες Δυνάμεις και την κυβέρνηση, καθώς και τεράστιος όγκος δεδομένων (851 GB) από μέλη της κοινότητας Sanzer Hasidic. Επιπλέον, χρησιμοποιήθηκαν email για την αποστολή απειλών θανάτου σε Ιρανούς αντιφρονούντες και δημοσιογράφους διεθνώς. Η στοχευμένη αυτή δραστηριότητα καταδεικνύει τη μετάβαση από απλή κατασκοπεία σε επιθετικές επιχειρήσεις εκφοβισμού.
Το FBI αποκάλυψε ότι η ομάδα αξιοποιεί τεχνικές κοινωνικής μηχανικής, προσεγγίζοντας τα θύματα μέσω εφαρμογών ανταλλαγής μηνυμάτων. Οι επιθέσεις περιλαμβάνουν τη διανομή κακόβουλου λογισμικού για Windows, το οποίο μεταμφιέζεται σε δημοφιλείς εφαρμογές όπως KeePass ή WhatsApp. Μέσω αυτών, οι επιτιθέμενοι αποκτούν μόνιμη απομακρυσμένη πρόσβαση στις συσκευές των θυμάτων, συχνά με τη βοήθεια bots στο Telegram.
Η χρήση υπηρεσιών όπως το Telegram ως υποδομή διοίκησης και ελέγχου (C2) αποτελεί μια ιδιαίτερα ανησυχητική τακτική. Με αυτόν τον τρόπο, η κακόβουλη δραστηριότητα «κρύβεται» μέσα σε κανονική δικτυακή κίνηση, καθιστώντας τον εντοπισμό της εξαιρετικά δύσκολο. Αναλύσεις σε παραβιασμένες συσκευές αποκάλυψαν δυνατότητες καταγραφής ήχου και οθόνης, ειδικά κατά τη διάρκεια συνεδριών Zoom, γεγονός που ενισχύει τον κίνδυνο κατασκοπείας σε πραγματικό χρόνο.
Η υπόθεση Handala Hack αποτελεί χαρακτηριστικό παράδειγμα του πώς ο κυβερνοχώρος μετατρέπεται σε πεδίο γεωπολιτικής αντιπαράθεσης, όπου η τεχνολογία, η πληροφορία και η προπαγάνδα συνδυάζονται σε ένα σύνθετο και διαρκώς εξελισσόμενο τοπίο απειλών.
