Kinesiske hackere forklædte sig som Iran for at angribe Israel

AP Foto/Ng Han Guan

Da hackere brød ind i computere på tværs af Israels regering og teknologivirksomheder i 2019 og 2020, ledte efterforskerne efter spor for at finde ud af, hvem der var ansvarlig. Det første bevis pegede direkte på Iran, Israels mest omstridte geopolitiske rival. Hackerne indsatte værktøjer, der normalt er forbundet med iranere, for eksempel, og skrev på farsi.

Men efter yderligere undersøgelse af beviserne – og information indsamlet fra andre cyberspionagesager i hele Mellemøsten – indså analytikere, at det ikke var en iransk operation. I stedet blev det udført af kinesiske agenter, der udgav sig for at være et team af hackere fra Teheran.

Hackerne målrettede med succes den israelske regering, teknologivirksomheder og telekommunikationsfirmaer - og ved at indsætte falske flag, ser det ud til, håbede de at vildlede analytikere til at tro, at angriberne var fra Israels regionale nemesis.

Ny forskning fra det amerikanske cybersikkerhedsfirma FireEye, der arbejder med det israelske militær, afslører det mislykkede bedrag og beskriver de teknikker, hackerne brugte i deres bestræbelser på at lægge skylden et andet sted hen.

Relateret historie

Kinesiske hackere, der udgiver sig for at være FN's Menneskerettighedsråd, angriber uigurer

Kinesisktalende hackere sigter mod uiguriske muslimer med falske FN-rapporter og falske støtteorganisationer, ifølge en ny rapport.

Mange af deres taktikker var ret direkte forsøg på at antyde, at de var iranske spioner, ifølge forskningspapiret, såsom at bruge filstier, der indeholdt ordet Iran. Men angriberne gjorde sig også umage for at beskytte deres sande identitet ved at minimere de retsmedicinske beviser, de efterlod på kompromitterede computere, og skjule den infrastruktur, de brugte til at bryde ind i israelske maskiner.

Men deres trick for at pege fingeren mod Iran mislykkedes. Hackerne, som FireEye omtaler som UNC215, lavede adskillige vigtige tekniske fejl, der sprængte deres dækning og kædede dem stærkt tilbage til deres tidligere arbejde. For eksempel brugte de lignende filer, infrastruktur og taktikker på tværs af flere operationer i Mellemøsten.

Der er stykker, der vil adskille operatøren eller deres sponsor, siger John Hultquist, vicepræsident for trusselsefterretning hos FireEye. De vil bløde gennem flere operationer uanset bedrag.

Ud over flere tekniske giveaways er et andet vigtigt fingerpeg, hvilken slags information eller ofre, som hackerne sigtede mod. UNC215 angriber gentagne gange de samme slags mål i Mellemøsten og Asien, alle direkte relateret til Kinas politiske og finansielle interesser. Gruppens mål overlapper med andre kinesiske hackergruppers mål, som ikke altid falder sammen med kendte iranske hackeres interesser.

Du kan skabe betydeligt bedrag, men i sidste ende skal du målrette det, der interesserer dig, siger Hultquist. Det vil give oplysninger om, hvem du er på grund af, hvor dine interesser er.

Det eneste åbenlyse modtræk til dette problem er at sætte efterforskere af sporet ved at gå efter mål, der ikke rigtig er af interesse. Men det forårsager sine egne problemer: at øge aktivitetsvolumen øger risikoen for at blive fanget markant.

De fingeraftryk, som angriberne efterlod, var nok til til sidst at overbevise israelske og amerikanske efterforskere om, at den kinesiske gruppe, ikke Iran, var ansvarlig. Den samme hackergruppe har tidligere brugt lignende vildledende taktikker. Faktisk kan det endda have hacket den iranske regering selv i 2019, hvilket tilføjede et ekstra lag til bedraget.

Det er det første eksempel på et storstilet kinesisk hack mod Israel, og kommer i kølvandet på en sæt kinesiske investeringer på flere milliarder dollar i den israelske teknologiindustri. De blev lavet som en del af Beijings Belt and Road Initiative, en økonomisk strategi beregnet til hurtigt udvide kinesisk indflydelse og nå klart over Eurasien til Atlanterhavet. USA advarede mod investeringerne med den begrundelse, at de ville være en sikkerhedstrussel.

Fejlretning og fejltilskrivning

UNC215s bedrag mod Israel var ikke særlig sofistikeret eller vellykket, men det viser, hvor vigtig tilskrivning - og fejltilskrivning - kan være i cyberspionagekampagner. Det giver ikke kun en potentiel syndebuk til angrebet, men det giver også diplomatisk dækning til angriberne: Når de konfronteres med beviser på spionage, argumenterer kinesiske embedsmænd regelmæssigt for, at det er svært eller endda umuligt at spore hackere. Da en talsmand for den kinesiske ambassade i Washington DC nåede frem til en kommentar, sagde landet 'fast imod og bekæmper alle former for cyberangreb.'

Og forsøget på at vildlede efterforskere rejser et endnu større spørgsmål: Hvor ofte narrer forsøg med falsk flag efterforskere og ofre? Ikke så tit, siger Hultquist.

Det der med disse bedrageribestræbelser er, at hvis man ser på hændelsen gennem en smal blænde, kan det være meget effektivt, siger han. Men selv hvis et individuelt angreb er succesfuldt fejltilskrevet, kan et individuelt angreb blive fejltilskrevet med succes, men i løbet af mange angreb bliver det sværere og sværere at opretholde charaden. Det er tilfældet for de kinesiske hackere, der retter sig mod Israel i hele 2019 og 2020.

'Det er meget svært at holde bedraget i gang over flere operationer.'

John Hultquist, FireEye

Når først man begynder at binde det til andre hændelser, mister bedraget sin effektivitet, forklarer Hultquist. Det er meget svært at holde bedraget i gang over flere operationer.

Det mest kendte forsøg på fejltilskrivning i cyberspace var et russisk cyberangreb mod åbningsceremonien for vinter-OL 2018 i Sydkorea, kaldet Olympisk Destroyer . Russerne forsøgte at efterlade spor, der pegede på nordkoreanske og kinesiske hackere - med modstridende beviser, der tilsyneladende var designet til at forhindre efterforskere i nogensinde at kunne komme til nogen klar konklusion.

Olympic Destroyer er et fantastisk eksempel på falske flag og tilskrivningsmareridt, Costin Raiu, direktør for det globale forsknings- og analyseteam hos Kaspersky Lab, tweeted dengang.

Til sidst lagde forskere og regeringer definitivt skylden for denne hændelse på den russiske regering, og sidste år USA tiltalt seks russiske efterretningsofficerer for angrebet.

De nordkoreanske hackere, der oprindeligt var mistænkt for hacket Olympic Destroyer, har sig selv faldet falske flag under deres egne operationer. Men de blev også i sidste ende fanget og identificeret af både private forskere og den amerikanske regering, som tiltalt tre nordkoreanske hackere tidligere på året.

Der har altid været en misforståelse af, at tilskrivning er mere umulig, end den er, siger Hultquist. Vi troede altid, at falske flag ville komme ind i samtalen og ødelægge hele vores argument om, at tilskrivning er mulig. Men vi er der ikke endnu. Disse er stadig sporbare forsøg på at forstyrre tilskrivning. Vi fanger stadig dette. De er ikke gået over stregen endnu.

skjule