La recente escalation tra Iran e Israele ha provocato un picco nelle operazioni informatiche da parte di attori legati allo Stato che prendono di mira identità, cloud e reti aziendali. Questi gruppi, dotati di risorse considerevoli , combinano intrusioni profonde nella rete con l'abuso di identità per eludere le difese tradizionali.
Sfruttano le app rivolte al pubblico per ottenere l'accesso iniziale, raccolgono le credenziali tramite phishing password spraying, quindi si spostano lateralmente con RDP, PsExec o servizi di accesso remoto. La persistenza è garantita da attività pianificate, sideloading di DLL, finestre nascoste e tunneling di protocollo. I dati vengono silenziosamente preparati, archiviati ed esfiltrati attraverso canali oscuri, spesso senza attivare gli avvisi legacy.
Contemporaneamente, lanciano campagne incentrate sull'identità all'interno di Microsoft 365, Azure e Google Workspace: abusando di OAuth, aggirando l'autenticazione a più fattori (MFA) e sfruttando Outlook, OneDrive e Teams per mantenere l'accesso e sottrarre dati. Queste tattiche prendono di mira infrastrutture critiche, governi, imprese commerciali e ONG in Medio Oriente e in Occidente, combinando spionaggio e attacchi distruttivi (wiper, crittografia forzata).
Affidarsi esclusivamente agli endpoint o ai controlli perimetrali significa non avere una visione completa della catena di attacco. Se utilizzi cloud , un'infrastruttura ibrida o l'accesso remoto, sei già nel mirino degli hacker.
Chi c'è dietro gli attacchi: profili APT collegati all'Iran
Nonostante gli obiettivi diversi (che vanno dallo spionaggio a lungo termine al sabotaggio vero e proprio), ogni gruppo sfrutta sia i canali di rete che quelli di identità per violare, persistere ed estrarre. Di seguito è riportata una panoramica di alto livello del loro accesso iniziale, delle TTP di rete ecloud .
Cinque Cloud relative all'identità e Cloud che i team SOC devono monitorare
Gli autori delle minacce affiliati all'Iran stanno andando oltre malware gli exploit tradizionali. Le loro campagne ora si basano sull'abuso dei sistemi di identità e sulla presenza all'interno degli strumenti affidabili già utilizzati dalla vostra organizzazione. Queste cinque tecniche sono fondamentali per eludere il rilevamento e mantenere la persistenza negli cloud . Ciascuna di esse rappresenta un lacuna critica nella visibilità se il vostro team si affida esclusivamente agli strumenti EDR o SIEM tradizionali.
- Furto di credenziali tramite spear Phishing
Portali di accesso falsi che imitano Office 365 o Gmail, password spraying e tecniche di bypass MFA. - DirottamentoCloud
Utilizzo di credenziali rubate per accedere a e-mail, OneDrive, SharePoint o app Azure. - Ricognizione e movimento laterale
Enumerazione di Entra ID (Azure AD), creazione di app OAuth non autorizzate o sottoscrizioni per la persistenza. - Esfiltrazione dei dati tramite strumenti legittimi
Trasferimento dei dati tramite OneDrive, Outlook o API basate sul web per nasconderli nel traffico normale. - Vivere della terra nel SaaS e Cloud
Utilizzo di client SaaS integrati come Outlook o strumenti di accesso remoto come AnyDesk/TeamViewer per controllare cloud .
Perché gli APT iraniani prendono di mira Cloud l'identità
Per i gruppi di hacker iraniani, i sistemi cloud di identità offrono scalabilità, invisibilità e valore strategico. Questi aggressori non sono solo opportunisti, ma si stanno adattando al modo in cui operano oggi le organizzazioni. L'accesso remoto, l'identità federata e l'infrastruttura cloud hanno creato un'ampia superficie di attacco con visibilità limitata per molti team di sicurezza.
- L'identità è il nuovo perimetro. Una volta ottenute credenziali valide, in particolare quelle legate alle piattaforme SaaS o ai ruoli cloud , gli aggressori spesso riescono a eludere completamente i sistemi di rilevamento. Gli strumenti di sicurezza incentrati sugli endpoint o sui firewall raramente segnalano le chiamate API autenticate o i comportamenti di accesso anomali se la sessione appare legittima.
- Cloud offrono copertura. Gli APT iraniani operano spesso all'interno di app soggette a sanzioni come Microsoft 365, Azure e Google Workspace. Approfittano delle politiche OAuth deboli, dell'accesso condizionale configurato in modo errato e dei privilegi amministrativi eccessivi. Ciò consente loro di persistere in ambienti in cui i controlli tradizionali non sono stati progettati per ispezionare anomalie comportamentali tra utenti, ruoli e app.
- Le reti ibride offrono punti di snodo. In molti casi, gli aggressori compromettono i sistemi on-premise e utilizzano tale punto d'appoggio per accedere cloud connesse. Microsoft ha documentato attacchi in cui attori iraniani hanno abusato di Entra Connect e Azure Arc per collegare ambienti on-premise compromessi e cloud , compresa la creazione di nuove infrastrutture all'interno di tenant compromessi.
- Gli strumentiCloud hanno un duplice utilizzo. PowerShell, Microsoft Graph API, la messaggistica Teams e la delega delle caselle di posta elettronica hanno lo scopo di facilitare la collaborazione. Gli attori iraniani stanno utilizzando queste stesse funzionalità per enumerare gli ambienti, condividere malware e spostare dati. Poiché raramente introducono nuovi file binari o infrastrutture esterne, evitano di attivare i classici indicatori di compromissione.
In breve, gli attacchi cloud all'identità consentono agli APT iraniani di muoversi in modo silenzioso ed efficace. Si mimetizzano con il comportamento degli utenti, aggirano le difese tradizionali e sfruttano le lacune che la maggior parte delle organizzazioni non vede fino a quando non è troppo tardi.
Controlli di sicurezza per contrastare le tecniche APT iraniane
Per ridurre l'esposizione alle tecniche sopra descritte e rendere il tuo ambiente un bersaglio più difficile, ti consigliamo di adottare immediatamente le seguenti misure:
- Applica l'autenticazione a più fattori per impedire phishing l'aggiramento dell'autenticazione a più fattori.
- Abilita l'accesso condizionale e i criteri dei dispositivi sugli account cloud.
- Monitorare l'attività di accesso per individuare IP sospetti, posizioni geografiche insolite e accessi provenienti da VPN.
- Blocca le app e le autorizzazioni OAuth: controlla tutti i consensi delle app e gli account di servizio in Microsoft 365/Azure.
- Controllare regolarmente gli account con privilegi, in particolare quelli con ruoli amministrativi all'interno di Exchange/Azure.
- Implementare la formazione degli utenti: riconoscere i portali di accesso falsi e le tattiche di ingegneria sociale.
- Monitoraggio dell'esfiltrazione dei dati: impostazione delle regole DLP e delle politiche CASB (Cloud Security Broker).
- Controlla il comportamento della MFA push: limita le notifiche dopo ripetuti tentativi falliti o utilizza opzioni MFA phishing come FIDO2.
Questi controlli rafforzano la sicurezza del tuo ambiente, ma per rilevare l'uso improprio delle credenziali e le attività nascoste nella rete è necessaria una visibilità attiva e basata sul comportamento.
Come la Vectra AI rileva ciò che altri non riescono a individuare
La maggior parte degli strumenti di sicurezza non riesce a rilevare le attività APT iraniane perché non sono progettati per monitorare il modo in cui gli aggressori operano negli ambienti cloud di identità. La Vectra AI è stata appositamente progettata per colmare questa lacuna.
Anziché affidarsi a indicatori statici o registri che possono essere manipolati, Vectra AI il rilevamento comportamentale basato sull'intelligenza artificiale per identificare attività anomale su rete, Active Directory, Microsoft 365, Entra ID, Copilot per M365, AWS e Azure Cloud. Monitora continuamente il modo in cui gli utenti interagiscono con applicazioni, credenziali, token e dati, rilevando segnali che indicano una compromissione senza che gli autori delle minacce facciano scattare allarmi evidenti.
Ma il rilevamento da solo non basta. La Vectra AI fornisce anche chiarezza su quali avvisi siano realmente importanti, eliminando il rumore e consentendo ai team SOC di concentrarsi sui segnali che indicano minacce reali. Grazie alle azioni di risposta integrate, gli analisti possono adottare misure immediate per contenere un attacco, che si tratti di revocare sessioni o bloccare account, prima che il danno si diffonda. Questa combinazione di rilevamento, chiarezza e controllo offre ai team di sicurezza la sicurezza necessaria per rispondere in modo deciso agli attacchi moderni e sofisticati. Secondo IDC, le organizzazioni che utilizzano Vectra AI il 52% in più di minacce in almeno il 50% di tempo in meno.
Ecco come Vectra AI ciascuna delle cinque tecniche principali utilizzate dagli APT iraniani:
La Vectra AI non richiede agenti. Si integra in modo nativo con Microsoft e applica una logica di rilevamento in tempo reale su misura per gli attacchi basati sull'identità. Questo approccio fornisce avvisi precisi e altamente affidabili e capacità di risposta automatizzate che consentono ai team SOC di agire in modo deciso senza essere sommersi da falsi positivi.
Sei già cliente Vectra AI ?
Per difendersi da questa nuova ondata di attacchi cloud sull'identità e cloud, consigliamo vivamente di ampliare la vostra implementazione esistente con Cloud Identity and Cloud . Ciò garantisce visibilità e protezione unificate in tutti gli ambienti ibridi in cui prosperano questi autori di minacce.
È giunto il momento di vedere ciò che gli altri non riescono a vedere.
- Guarda la demo autoguidata della Vectra AI per scoprire come aiutiamo i team SOC a rilevare minacce che altri non sono in grado di individuare.
- Leggi il parere del nostro vicepresidente del reparto Prodotti, Mark Wojtasiak, sul motivo per cui Vectra AI di rilievo nel Magic Quadrant™ 2025 di Gartner® per il rilevamento e la risposta di rete (NDR).
- Scopri perché Vectra AI leader e supera le prestazioni nel rapporto GigaOm Radar 2025 per l'identificazione e la risposta alle minacce all'identità (ITDR).