Peretas Iran Mengeksploitasi VPN untuk Mengakses Sistem Perusahaan

Sebuah laporan keamanan baru menuduh bahwa peretas Iran telah mengakses data perusahaan swasta dengan mengeksploitasi perangkat lunak VPN yang dirancang untuk melindungi jaringan perusahaan.

Makalah ini, dari perusahaan Israel ClearSky Cyber ​​Security, telah menemukan bahwa kekurangan dalam VPN dapat berfungsi sebagai rute ke sistem yang dilindungi. Selain itu, eksploitasi ini dapat meninggalkan ruang belakang bagi peretas untuk terus menyusup ke sistem, bahkan setelah cacat telah ditambal.

Menurut ClearSky, kegiatan ini adalah "di antara kampanye paling berkelanjutan dan komprehensif Iran yang diungkapkan sampai sekarang." Kami melihat metode yang digunakan, dan bagaimana perusahaan dapat melindungi diri mereka sendiri.

Apa yang diinginkan Peretas?

Akses yang tidak terkekang ke sistem pribadi dapat menghancurkan bagi perusahaan yang diretas. Setelah masuk jauh ke dalam sistem perusahaan, peretas dapat menginstal ransomware, atau hanya membawa perusahaan berlutut dengan malware. Sementara ada kasus di masa lalu agen Iran menginstal jenis perangkat lunak ini ke sistem asing, ini tampaknya tidak menjadi tujuan untuk kelompok yang diidentifikasi dalam laporan.

Laporan dari ClearSky, yang menjuluki kegiatan "Fox Kitten", menunjukkan bahwa tujuan utamanya adalah untuk mengakses informasi, mencuri data, dan melakukan pengintaian.

"Selama analisis kami terhadap target yang berbeda, kami telah melihat bahwa para penyerang secara manual menyaring intelijen yang relevan sebelum mengirimnya kembali ke Iran. Setelah menandai semua file yang diinginkan, materi akan dikompresi menjadi file WinRAR atau 7-ZIP, dan hanya kemudian akan dikirim ke penyerang. " – Laporan ClearSky Cyber ​​Security

Adapun target, mereka sampai saat ini adalah perusahaan yang menyimpan informasi berharga kepada Iran, menyarankan niat spionase, bukan motif keuangan. Namun laporan tersebut menyimpulkan, bahwa metode ini dapat digunakan untuk menyebarkan malware yang merusak, jika diinginkan. Negara-negara termasuk Amerika Serikat, Israel, Prancis, Polandia, Jerman, dan lainnya telah menjadi sasaran, dan di sektor TI, pertahanan, listrik, minyak dan penerbangan. Peta di bawah ini menunjukkan bahwa kabupaten adalah aktivitas yang paling banyak terjadi, dengan negara-negara merah diidentifikasi sebagai yang paling sering diserang:

Lebih lanjut tentang ini – pelajari di mana Iran duduk dalam laporan Pemeringkatan Sensor Internet kami

Bagaimana Peretas Iran Mengeksploitasi VPN?

Menurut laporan dari ClearSky, ada beberapa metode yang diadopsi oleh para peretas, tetapi yang paling populer adalah memanfaatkan eksploitasi dalam perangkat lunak VPN yang digunakan oleh perusahaan. Sementara kerentanan seperti itu biasanya ditambal dengan sangat cepat untuk mencegah aktivitas jahat, ClearSky memiliki alasan untuk percaya bahwa peretas memanfaatkan bug ini segera setelah mereka dipublikasikan, di jendela sebelum perangkat lunak diperbaiki.

Meskipun ini mungkin tampak di permukaan hanya memberikan sejumlah kecil waktu untuk data perusahaan diakses, laporan menunjukkan bahwa peretas memasang pintu belakang, menggunakan alat yang dikembangkan sendiri, yang memungkinkan untuk akses berkelanjutan dan teratur, lama setelah yang asli kerentanan telah ditambal.

Beberapa eksploit yang dicentang dalam laporan menyebutkan solusi perangkat lunak VPN termasuk Pulse Secure, Fortinet FortiOS dan Palo Alto Networks. Dalam kasus Palo Alto Networks, kerentanan baru-baru ini digunakan untuk mengimplementasikan serangan malware pada perusahaan minyak nasional Bahrain oleh peretas yang disponsori negara Iran.

Begitu masuk, bisa jadi beberapa saat sebelum aktivitas diketahui. Infiltrasi bisa sedemikian rahasia sehingga ada kemungkinan perusahaan yang terpengaruh mungkin tidak pernah benar-benar menyadari serangan itu, atau penambangan data yang sedang berlangsung.

Menurut laporan itu, diyakini bahwa kelompok peretasan Iran telah menggunakan metode ini untuk berhasil selama tiga tahun terakhir, dan pada waktu itu telah mencuri informasi dari puluhan perusahaan di seluruh dunia.

Bagaimana Perusahaan Melindungi Diri Sendiri?

Mengingat para peretas menggunakan eksploit yang baru ditemukan dalam perangkat lunak VPN sebelum ini ditambal, mungkin tampak bahwa ada sedikit perusahaan yang dapat melakukannya untuk tetap aman. Namun, ClearSky Cyber ​​Security telah menawarkan beberapa kiat praktis bagi mereka yang berkepentingan:

• Tinjau platform VPN yang digunakan oleh organisasi Anda. Seberapa penting mereka, dan seberapa transparan pelaporan keamanan dan perbaikan tambalan?
• Menurut ClearSky, perusahaan memiliki waktu antara 24 jam dan seminggu sebelum eksploitasi yang terungkap secara publik menjadi masalah keamanan asli.
• Pemantauan konstan terhadap sistem VPN adalah suatu keharusan. Mereka harus secara teratur diperiksa untuk aktivitas yang tidak biasa, serta terus diperbarui segera setelah perangkat lunak terbaru tersedia.
• Setelah setiap pembaruan, setel ulang kata sandi untuk semua pengguna. Mengadopsi otentikasi dua faktor juga dianjurkan.
• Secara teratur memeriksa log untuk pengguna baru yang mungkin tidak sah. Dalam peretasan ini, akun pengguna baru dibuat untuk memungkinkan akses berkelanjutan ke sistem.

Lihat panduan kami untuk VPN yang paling aman untuk digunakan di rumah