Forskere demonterer årtiers iransk cyberspionageoperation

Infrastrukturen fra en iransk cyberespionagruppe til at kontrollere inficerede computere rundt om i verden er blevet kapret af sikkerhedsforskere.

Forskere fra Palo Alto Networks kom på tværs af koncernens aktiviteter tidligere i år, men fandt bevis for, at den har fungeret siden mindst 2007. Dets hovedværktøj er et brugerdefineret malwareprogram, der hedder Infy, som gentagne gange blev forbedret. Forskerne har arbejdet med domæneregistratorer for at gribe de domæner, som angriberne bruger til at kontrollere Infy-inficerede computere og at lede ofre 'trafik til en sinkhole-server - en server forskerne kontrollerede.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Kontrol af serveren blev derefter overført til Shadowserver Foundation, en industrigruppe, der sporer botnets og arbejder med internetudbydere og andre parter til at underrette ofre.

Sinkholing kommando- og kontrol-infrastrukturen fjernede hackerne 'evne til at stjæle data fra ofre, noget, som de mislykkedes forsøgte at korrigere, da de forstod noget, er noget.'

Palo Alto-forskerne observerede 326 Infy-inficerede computere i 35 lande, hvor næsten halvdelen af ​​dem er beliggende i Iran. Dette tyder på, at hacker-gruppen var fokuseret på iranske borgere, muligvis til overvågningsformål.

Det totale antal ofre er forholdsvis lavt i forhold til cyberkrimine-kampagner, men ikke usædvanligt for cyberspionage-operationer, som pr. Definition er målrettede. > Omkring 50 procent af ofrene var inficeret med både Infy og Infy M, en nyere og i stand til variant af malware, hvilket tyder på, at disse ofre kunne have været værdifulde mål, der var mere opmærksomme.

Det er sandsynligt, at Infy-gruppen vil vende tilbage med nye angrebskampagner i fremtiden, men det vil ikke være nemt at genopbygge deres infrastruktur. At kompromittere de samme mål igen vil også sandsynligvis vise sig vanskeligt, især fordi Shadowserver har arbejdet for at underrette ofre.

Palo Alto Networks har delte indikatorer for kompromis og Infly prøvespil, så angriberne bliver nødt til at forny deres hele operationen, hvis de vil forblive uopdaget i fremtiden.