FireEye: Zunehmende Angriffe auf US-Rüstungsunternehmen aus dem Iran

FireEye hat einen Untersuchungsbericht mit dem Titel "Operation Saffron Rose" zu den Aktivitäten der iranischen Cyber-Spionagegruppe "Ajax Security Team" veröffentlicht. [...]

Die Gruppe, die FireEye-Mitarbeiter als Ajax Security Team bezeichnen, hat ihre Vorgehensweise vom vorrangigen Hacken von Internetseiten im Jahr 2009 zu ausgewachsenem Ausspionieren von iranischen Dissidenten und US-Rüstungsunternehmen weiterentwickelt. Indizien im Bericht legen nahe, dass sich die Methodik von Ajax der Vorgehensweise anderer Advanced Persistent Threat-Akteure aus dem Iran und seinen Nachbarländern infolge von Cyber-Angriffen auf den Iran in den späten 2000er Jahren zunehmend angenähert hat.

„Es vollzieht sich derzeit eine Entwicklung innerhalb im Iran beheimateter Hacker-Gruppen. Diese steht mit den Versuchen des Irans in Einklang, politische Dissidenten zu kontrollieren und offensive Cyber-Fähigkeiten zu erweitern“, sagt Nart Villeneuve, Senior Threat Intelligence Researcher bei FireEye. „Wir haben nicht nur eine zunehmende Aktivität seitens im Iran beheimateter Bedrohungsurheber, sondern auch einen Übergang zu Cyber-Spionagetaktiken, beobachtet. Die Akteure führen nicht länger Angriffe aus, um schlicht ihre Botschaft zu verbreiten. Sie entscheiden sich stattdessen dazu, detailliert auszuspähen und die Systeme des Zielobjekts für längerfristige Aktionen zu kontrollieren.“

Die Ziele von Operation Saffron Rose sind iranische Dissidenten und US-Rüstungsunternehmen. FireEye Labs haben jüngst beobachtet, dass das Ajax Security Team mehrere Cyber-Spionage-Operationen gegen Unternehmen der Rüstungsindustrie in den USA durchgeführt hat. Die Gruppe richtet ihre Aktionen ebenso gegen iranische Nutzer von Profixier oder Psiphon. Beides sind Anti-Zensur-Technologien, die das Internet-Zensursystem des Irans umgehen.

Es ist unklar, ob das Ajax Security Team isoliert arbeitet oder Teil größerer, staatlich gesteuerter Bemühungen ist. Das Team nutzt Malware-Tools, die nicht frei erhältlich zu sein oder von keiner anderen Gruppierung genutzt zu werden scheinen. Zudem nutzt die Gruppe verschiedene Social-Engineering-Taktiken, um Ziele zu ködern und ihre Systeme mit Malware zu infizieren. Obwohl FireEye Labs nicht beobachtet hat, dass das Ajax Security Team Zero-Day-Angriffe zur Infizierung einsetzt, haben vormals Mitglieder des Teams Exploit-Codes verwendet, um Internetseiten im Rahmen ihrer Aktionen zu hacken.

FireEye hat Informationen zu 77 Zielen eines Command-and-Control-Servers aufgedeckt. Sie wurden bei der Analyse von Malware-Proben entdeckt, die als Proxifier und Psiphon getarnt waren. Bei der Analyse der Ziel-Daten hat FireEye eine besondere Häufigkeit von Einstellungen in der Zeitzone des Iran und in persischer Sprache festgestellt.

Folgend eine Aufschlüsselung der Zieldaten:

• 44 Ziele hatten die Zeitzone „Iran Standard Time“ eingestellt und 37 von diesen hatten zudem die Einstellung auf die persische Sprache
• Von den 33 Zielen, bei denen nicht die iranische Zeitzone eingestellt war, waren 10 auf die persische Sprache eingestellt
• 12 der Ziele hatte entweder Proxifier oder Psiphon installiert oder in Betrieb (alle 12 hatten persische Spracheinstellungen, nur eine war nicht auf „Iran Standard Time“ eingestellt)

Der Iran wird bereits seit 2009 mit fortschrittlichen Cyber-Angriffen identifiziert, als die Pläne für einen neuen Marine Corps One-Helikopter des US-Präsidenten in einem Filesharing-Netzwerk im Iran gefunden wurden. 2010 brachte die „Iranian Cyber Army“ Twitter und die chinesische Suchmaschine Baidu zum Erliegen, wobei Letztere auf politische Botschaften des Iran weiterleitete. 2013 berichtete das „Wall Street Journal“, dass iranische Akteure ihre Bemühungen verstärkt hätten, wichtige Infrastruktureinrichtungen der USA zu beeinträchtigen. Schließlich hat in den letzten Jahren eine andere Gruppierung, namens Izz ad-Din al-Qassam, die „Operation Ababil“ gestartet, die eine Reihe von DDoS-Angriffen gegen viele US-Geldinstitute samt der New Yorker Börse in Gang setzte.

Der Report ist als PDF erhältlich. (pi)