Iranische Hacker nutzen VPN-Schwachstellen für langfristige Angriffe im Nahen Osten

MÜNCHEN (IT BOLTWISE) – Ein iranischer, staatlich unterstützter Bedrohungsakteur hat fast zwei Jahre lang unbemerkt auf kritische nationale Infrastrukturen im Nahen Osten zugegriffen. Diese Cyberangriffe, die von Mai 2023 bis Februar 2025 andauerten, wurden durch Schwachstellen in VPN-Systemen und den Einsatz von Malware ermöglicht.

Ein iranischer, staatlich unterstützter Bedrohungsakteur hat fast zwei Jahre lang unbemerkt auf kritische nationale Infrastrukturen im Nahen Osten zugegriffen. Diese Cyberangriffe, die von Mai 2023 bis Februar 2025 andauerten, wurden durch Schwachstellen in VPN-Systemen und den Einsatz von Malware ermöglicht. Laut dem FortiGuard Incident Response Team (FGIR) handelte es sich um umfangreiche Spionageoperationen und mutmaßliche Netzwerkvorbereitungen, um langfristigen Zugang für strategische Vorteile zu sichern.

Die Angriffe zeigen Ähnlichkeiten mit der Vorgehensweise einer bekannten iranischen Bedrohungsgruppe namens Lemon Sandstorm, die seit mindestens 2017 aktiv ist. Diese Gruppe hat bereits Sektoren wie Luft- und Raumfahrt, Öl und Gas, Wasser und Elektrizität in den USA, im Nahen Osten, in Europa und Australien ins Visier genommen. Laut dem Unternehmen Dragos nutzte der Angreifer bekannte Sicherheitslücken in VPN-Systemen von Fortinet, Pulse Secure und Palo Alto Networks, um sich initialen Zugang zu verschaffen.

Die Angriffe auf die kritische Infrastruktur im Nahen Osten erfolgten in vier Phasen. Zunächst verschafften sich die Angreifer im Mai 2023 Zugang durch gestohlene Anmeldedaten und installierten Web-Shells auf öffentlich zugänglichen Servern. In der zweiten Phase, von April bis November 2024, konsolidierten sie ihren Zugang durch den Einsatz weiterer Web-Shells und Backdoors wie NeoExpressRAT. Die dritte Phase umfasste die Reaktion auf Eindämmungsmaßnahmen des Opfers, indem zusätzliche Backdoors wie MeshCentral Agent und SystemBC eingesetzt wurden.

In der letzten Phase, die im Dezember 2024 begann, versuchten die Angreifer erneut, das Netzwerk zu infiltrieren, indem sie bekannte Schwachstellen in Biotime ausnutzten und gezielte Phishing-Angriffe auf Mitarbeiter durchführten, um Microsoft 365-Anmeldedaten zu erbeuten. Die eingesetzten Tools, darunter Havoc und MeshCentral, sind Open-Source-Software, die als Kommando- und Kontrollrahmen sowie für Fernüberwachung und -verwaltung genutzt werden.

Die Untersuchung ergab, dass die Angreifer möglicherweise bereits seit Mai 2021 Zugang zum Netzwerk hatten. Sie nutzten verkettete Proxys und maßgeschneiderte Implantate, um die Netzwerkssegmentierung zu umgehen und sich lateral im Netzwerk zu bewegen. Diese ausgeklügelte Vorgehensweise zeigt, wie wichtig es ist, Sicherheitsmaßnahmen kontinuierlich zu überprüfen und zu aktualisieren, um derartige Bedrohungen abzuwehren.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!