Anfang dieses Jahres veröffentlichte Recorded Future Insikt Group eine Studie mit dem Titel "Iranian Bedrohungsakteur Amasses Large Infrastructure Network to Target Saudi Organizations", die die Netzwerkinfrastruktur des mutmaßlich iranisch staatlich geförderten CNO Bedrohungsakteuranalysierte. Wir überwachten die Aktivitäten bis Ende Juli 2019 weiterhin mit proprietären TTPs , darunter Recorded Future Netzwerkverkehrsanalyse und Recorded Future Domänenanalyse.

Zu den Datenquellen gehörten die Recorded Future®-Plattform, Farsight Securitys DNSDB, ReversingLabs, VirusTotal, Shodan und gängige OSINT-Tools.

Die Zielgruppe dieser Forschung sind Sicherheitsfachmann und Bedrohungsinformationen Fachleute, die Interesse an den operationellen Aktivitäten russischer und iranischer nationalstaatlicher Computernetzwerke zeigen.

Executive Summary

Im Laufe des Jahres 2019 gab es mehrere dokumentierte Fälle, in denen russische Bedrohungsakteur -Gruppen die Infrastruktur iranischer Gruppen kaperten. Zuletzt veröffentlichten das britische National Cyber Security Center (NCSC) und die US-amerikanische National Security Agency (NSA) gemeinsam eine Warnung, in der sie darlegten, wie die russisch zugeschriebene Bedrohungsgruppe Turla zwei iranische Malware-Familien übernommen hatte, wahrscheinlich ohne Wissen der Iraner.

In unserer Analyse entdeckten wir Hinweise auf eine Überschneidung in der operativen Infrastruktur zwischen einem Bedrohungsakteur, den die Insikt Group als BlueAlpha verfolgt, und mutmaßlichen Aktivitäten iranischer Nationalstaaten. Es gibt eine starke Überschneidung zwischen BlueAlpha und Gamaredon Group Malware und Infrastruktur-TTPs; daher schätzen wir mit mäßiger Zuversicht, dass BlueAlpha ein staatlich geförderter russischer Bedrohungsakteur ist. Bemerkenswert ist, dass der Sicherheitsdienst der Ukraine (SBU) die Gamaredon-Gruppe den FSB-Divisionen 16. und 18. zugeordnet hat.

Außerdem fanden wir weitere Überschneidungen zwischen Infrastrukturen, die mit mehreren gut dokumentierten iranischen Bedrohungsakteur -Gruppen in Verbindung stehen, darunter APT33 (Elfin), APT35 (Charming Kitten) und MUDDYWATER. Sowohl APT33 als auch APT35 sollen im Einklang mit den strategischen Prioritäten der iranischen Revolutionsgarde (IRGC) operieren; die organisatorische Zuordnung für MUDDYWATER ist derzeit weniger klar. Zur Verständlichkeit werden wir in diesem Bericht die Clusterung von APT33, APT35 und MUDDYWATER-Infrastruktur als "Iran-Nexus" bezeichnen. Bitte beachten Sie, dass wir in diesem Stadium nicht beurteilen, dass diese Gruppen ein einziger homogener iranischer Bedrohungsakteur sind, sondern vielmehr, dass sie alle bemerkenswerte überlappende TTPs haben.

Wichtige Urteile

Wir entdecken weiterhin Überschneidungen in der Infrastruktur mehrerer iranischer Bedrohungsakteur -Gruppen. In Verbindung mit unseren früheren Forschungen zum gestaffelten Ansatz der iranischen Cyber-Operationsverwaltung kommen wir zu dem Schluss, dass die Unterscheidungen zwischen diesen Bedrohungsakteur -Gruppen weiterhin verschwimmen, was uns zu den folgenden, sich nicht gegenseitig ausschließenden Hypothesen führt:

• Es gibt eine Art organisatorische Überschneidung bei der Verwaltung der operativen Ressourcen zwischen iranischen Gruppen.
• Die Überschneidungen deuten darauf hin, dass die Gruppen eng miteinander verbunden sind, Ressourcen teilen und möglicherweise alle für dieselbe Organisation arbeiten, die wir als IRGC für das APT33-, APT35- und MUDDYWATER-Netzwerk einschätzen.
• Die Überschneidungen in der Infrastruktur deuten auf eine mögliche Fehlklassifizierung iranischer Bedrohungsakteur Gruppen hin oder deuten darauf hin, dass sich die Gruppen so entwickelt haben, dass frühere Klassifikationen möglicherweise unzureichend sind.

In zwei separaten Fällen identifizierten wir einzigartige Domänenmerkmale, die eine Domäne, die die Saudi International Petrochemical Company imitierte und von der mit dem Iran verbundenen Bedrohungsakteur -Gruppe genutzt wurde, mit der operativen Infrastruktur der mutmaßlich vom russischen Staat unterstützten Bedrohungsakteur BlueAlpha in Verbindung brachten. Wir sind sehr zuversichtlich, dass diese Bereiche und die damit verbundenen operativen Aktivitäten im Jahr 2019 mit BlueAlpha in Verbindung stehen, woraus sich folgende mögliche Hypothesen ergeben:

• BlueAlpha ahmte die TTPs der mit dem Iran verbundenen Gruppen nach. Wir halten dieses Szenario für wahrscheinlich, angesichts der beiden (1, 2) sehr bemerkenswerten jüngsten Beispiele, bei denen mit dem FSB verbundene Bedrohungsakteur die iranische APT-Infrastruktur gekapert haben.
• BlueAlpha hat die alte Infrastruktur einer Iran-nahen Gruppe übernommen. Insikt Group hält dies ebenfalls für ein wahrscheinliches Szenario, da andere dem FSB nahestehende Bedrohungsakteur wie Turla eine effektive Fähigkeit zum Einsatz von False Flags bewiesen haben.
• Die Iran-nexus-Gruppe ahmte die Gamaredon Group TTPs nach. Insikt Group hält dies für ein unwahrscheinliches Szenario, da es ein sehr hohes Maß an technischer und operativer Einsatzbereitschaft erfordern würde und ein riskantes Manöver der Iran-Nexus-Gruppe wäre, um ukrainische Interessen ins Visier zu nehmen.
• Eine operative Zusammenarbeit besteht zwischen der Iran-nexus-Gruppe und BlueAlpha. Obwohl Zusammenarbeit bei Schulungen und Teilen von TTPs plausibel ist, würde die tatsächliche Nutzung der operativen Infrastruktur nicht triviale Deconflictionsmaßnahmen erfordern, um gezielte Operationen effektiv zu gewährleisten. Wir halten dies für ein unwahrscheinliches Szenario.

Ausblick

Am 21. Oktober veröffentlichten das britische Nationale Zentrum für Cybersicherheit (NCSC) und die US-amerikanische Nationale Sicherheitsbehörde (NSA) gemeinsam eine Mitteilung, in der sie darlegten, wie die russisch mutmaßliche Bedrohungsgruppe Turla zwei iranische Werkzeuge übernommen hatte, wahrscheinlich ohne Wissen des Irans. NCSC und NSA konnten anhand von drei Faktoren zwischen den iranischen Aktivitäten, bei denen diese Instrumente zum Einsatz kamen, und den Aktivitäten von Turla unterscheiden:

1. Verwaltung der Infrastruktur entweder von Turla- oder iranisch assoziierten IP-Adressen
2. Turla-Gruppe sucht nach iranisch verbundenen Hintertüren
3. Turla-Kompromisse: Iranische Infrastruktur durch den Einsatz eigener Implantate

Turla wird von estnischen Geheimdiensten und der tschechischen Regierung dem russischen Inlandsgeheimdienst FSB zugeschrieben. Auch die Sicherheitsdienste der Ukraine sowie die Forscher Bedrohungsinformationen haben die Gamaredon-Gruppe dem FSB zugeordnet.

In unserer Forschung beobachteten wir erhebliche Überlappungen der operativen Infrastruktur zwischen den iranischen Gruppen APT33, APT35 und MUDDYWATER. Wir schätzen mit mäßiger Zuversicht, dass alle drei Gruppen wahrscheinlich an die IRGC gebunden sind und dass die fortgesetzte Unschärfe der TTPs zwischen den drei Gruppen die Clusterbildung von IRGC-initiierten Bedrohungsaktivitäten weiterhin hemmen wird.

Wir haben außerdem erhebliche Überschneidungen zwischen der operativen Infrastruktur der Iran-Nexus-Gruppe und der Gamaredon-Gruppe aufgedeckt. Die Anzahl der sich überlappenden Domänen zeigt, dass unsere Beobachtungen eine entscheidende Abweichung von zuvor berichteter Gamaredon-Aktivität darstellen. Dieser Abschied war das offensichtliche Ziel für den Nahen Osten, da Gamaredon in der Vergangenheit typischerweise ukrainische Interessen ins Visier genommen haben. Aus diesem Grund entschieden wir uns für die BlueAlpha-Bezeichnung für den mutmaßlich staatlich unterstützten russischen Bedrohungsakteur. Wir bewerten, dass BlueAlpha und die Gamaredon Group eng verbundene Gruppen mit ähnlichen TTPs sind und wahrscheinlich beide mit Russlands FSB verbunden sind. Insikt Group bewertet, dass russische staatlich geförderte Gruppen weiterhin Cyberoperationen durchführen werden, die TTPs wie False-Flags nutzen oder verletzliche operative Infrastrukturen anderer Bedrohungsakteur nutzen, um Aktivitäten zu verschleiern und Attributionsbemühungen zu behindern.