La recente escalation Iran-Israele ha dato il via a un'impennata di operazioni informatiche da parte di attori legati allo Stato che si concentrano su identità, cloud e reti aziendali. Questi gruppi, dotati di risorse adeguate, combinano intrusioni profonde nelle reti con l'abuso di identità per eludere le difese tradizionali.
Sfruttano le applicazioni rivolte al pubblico per l'accesso iniziale, raccolgono le credenziali tramite phishing o spruzzatura di password, quindi si spostano lateralmente con RDP, PsExec o servizi di accesso remoto. La persistenza avviene tramite attività pianificate, sideloading di DLL, finestre nascoste e tunneling di protocollo. I dati sono conservati, archiviati ed esfiltrati in modo silenzioso attraverso canali oscuri, spesso senza che si attivino gli avvisi tradizionali.
Contemporaneamente, lanciano campagne incentrate sull'identità all'interno di Microsoft 365, Azure e Google Workspace: abusano di OAuth, aggirano l'MFA e utilizzano Outlook, OneDrive e Teams per mantenere l'accesso e sottrarre dati. Queste tattiche prendono di mira le infrastrutture critiche, il governo, le imprese commerciali e le ONG in Medio Oriente e in Occidente, combinando spionaggio e attacchi distruttivi (wipers, crittografia forzata).
Affidarsi solo agli endpoint o ai controlli perimetrali rende ciechi di fronte all'intera catena di attacchi. Se utilizzate la collaborazione cloud , l'infrastruttura ibrida o l'accesso remoto, siete già nel loro mirino.
Chi c'è dietro gli attacchi: Profili di APT legate all'Iran
Nonostante i diversi obiettivi (che vanno dallo spionaggio a lungo termine al sabotaggio vero e proprio), ogni gruppo sfrutta i canali di rete e di identità per penetrare, persistere ed estrarre. Di seguito è riportata una panoramica di alto livello del loro accesso iniziale, dei TTP di rete e dei TTP di cloud .
Cinque tecniche di identità e Cloud che i team SOC devono monitorare
Gli attori delle minacce affiliati all'Iran stanno andando oltre il malware e gli exploit tradizionali. Le loro campagne si basano ora sull'abuso dei sistemi di identità e sugli strumenti affidabili già utilizzati dall'organizzazione. Queste cinque tecniche sono fondamentali per eludere il rilevamento e mantenere la persistenza negli ambienti cloud . Ognuna di esse rappresenta una una lacuna di visibilità critica se il vostro team si affida solo a strumenti EDR o SIEM tradizionali.
- Furto di credenziali tramite Spear Phishing
Falsi portali di login che imitano Office 365 o Gmail, spruzzatura di password e tecniche di MFA-bypass. - Hijack dell'accountCloud
Utilizzo di credenziali rubate per accedere a e-mail, OneDrive, SharePoint o applicazioni Azure. - Recon e Movimento laterale
Enumerazione di Entra ID (Azure AD), creazione di app o sottoscrizioni OAuth non autorizzate per la persistenza. - Esfiltrazione dei dati tramite strumenti legittimi
Spostamento dei dati attraverso OneDrive, Outlook o API basate sul Web per nascondersi all'interno del normale traffico. - Vivere alla giornata in SaaS e Cloud
Usare i client SaaS integrati come Outlook o strumenti di accesso remoto come AnyDesk/TeamViewer per controllare gli account cloud .
Perché le minacce costanti evolutive iraniane prendono di mira il Cloud e l'identità
Per i gruppi di minaccia iraniani, il cloud e i sistemi di identità offrono scala, furtività e valore strategico. Questi aggressori non sono solo opportunisti, ma si stanno adattando al modo in cui le organizzazioni operano oggi. L'accesso remoto, l'identità federata e l'infrastruttura cloud hanno creato un'ampia superficie di attacco con visibilità limitata per molti team di sicurezza.
- L'identità è il nuovo perimetro. Una volta che gli aggressori ottengono credenziali valide, in particolare quelle legate alle piattaforme SaaS o ai ruoli di amministratore cloud , spesso eludono completamente il rilevamento. Gli strumenti di sicurezza incentrati sugli endpoint o sui firewall raramente segnalano le chiamate API autenticate o i comportamenti di login anomali se la sessione appare legittima.
- Gli ambientiCloud forniscono una copertura. Le APT iraniane spesso operano all'interno di applicazioni autorizzate come Microsoft 365, Azure e Google Workspace. Sfruttano politiche OAuth deboli, accessi condizionati mal configurati e privilegi di amministrazione eccessivi. Ciò consente loro di persistere in ambienti in cui i controlli tradizionali non sono stati progettati per ispezionare le anomalie comportamentali di utenti, ruoli e app.
- Le reti ibride offrono punti di snodo. In molti casi, gli aggressori compromettono i sistemi on-prem e utilizzano questo punto di appoggio per accedere alle risorse cloud connesse. Microsoft ha documentato attacchi in cui attori iraniani hanno abusato di Entra Connect e Azure Arc per fare da ponte tra ambienti on-prem compromessi e risorse cloud , compreso lo spinning di nuove infrastrutture all'interno di tenant compromessi.
- Gli strumentiCloud sono a doppio uso. PowerShell, Microsoft Graph API, la messaggistica di Teams e la delega delle caselle di posta elettronica hanno lo scopo di facilitare la collaborazione. Gli attori iraniani utilizzano queste stesse funzionalità per censire ambienti, condividere malware e spostare dati. Poiché introducono raramente nuovi binari o infrastrutture esterne, evitano di attivare i classici indicatori di compromissione.
In breve, gli attacchi cloud e all'identità consentono alle minacce costanti evolutive iraniane di muoversi in modo silenzioso ed efficace. Si confondono con il comportamento degli utenti, evitano le difese tradizionali e sfruttano lacune che la maggior parte delle organizzazioni non vede finché non è troppo tardi.
Controlli di sicurezza per interrompere l'attività delle APT iraniane
Per ridurre l'esposizione alle tecniche sopra descritte e rendere il vostro ambiente un bersaglio più difficile, vi consigliamo le seguenti azioni immediate:
- Applicare l'autenticazione a più fattori per impedire il phishing e l'elusione dell'MFA.
- Abilitare l'accesso condizionato e i criteri dei dispositivi sugli account cloud.
- Monitorare l'attività di login per individuare IP sospetti, geografie insolite e login originati da VPN.
- Bloccare le app e le autorizzazioni OAuth: rivedere tutti i consensi delle app e gli account di servizio in Microsoft 365/Azure.
- Verificate regolarmente gli account privilegiati, in particolare quelli con ruoli di amministrazione in Exchange/Azure.
- Implementare la formazione degli utenti: riconoscere i portali di login fasulli e le tattiche di social engineering.
- Monitoraggio dell'esfiltrazione dei dati: impostare le regole DLP e i criteri del Cloud Access Security Broker (CASB).
- Controllare il comportamento push dell'MFA: limitare le notifiche dopo ripetuti tentativi falliti o utilizzare opzioni MFA phishing come FIDO2.
Questi controlli rafforzano l'ambiente, ma per rilevare l'uso improprio delle credenziali e lo stealth della rete è necessaria una visibilità attiva e guidata dal comportamento.
Come la piattaforma Vectra AI di Vectra AI rileva ciò che gli altri non vedono
La maggior parte degli strumenti di sicurezza non riesce a rilevare le attività delle minacce costanti evolutive iraniane perché non sono progettati per monitorare il modo in cui gli aggressori operano negli ambienti cloud e di identità. La Vectra AI Platform è stata creata appositamente per colmare questa lacuna.
Invece di affidarsi a indicatori statici o a registri che possono essere manipolati, Vectra AI utilizza il rilevamento comportamentale guidato dall'intelligenza artificiale per identificare attività anomale in rete, Active Directory, Microsoft 365, Entra ID, Copilot per M365, AWS e Azure Cloud. Monitora continuamente il modo in cui gli utenti interagiscono con applicazioni, credenziali, token e dati, facendo emergere i segnali che indicano una compromissione senza richiedere agli attori delle minacce di far scattare allarmi evidenti.
Ma il rilevamento da solo non basta. La Vectra AI Platform fornisce anche chiarezza su quali avvisi sono veramente importanti, eliminando il rumore e consentendo ai team SOC di concentrarsi sui segnali che indicano minacce reali. Grazie alle azioni di risposta integrate, gli analisti possono prendere provvedimenti immediati per contenere un attacco - che si tratti di revocare le sessioni o bloccare gli account - prima che il danno si diffonda. Questa combinazione di rilevamento, chiarezza e controllo dà ai team di sicurezza la fiducia necessaria per rispondere con decisione agli attacchi moderni e sofisticati. Secondo IDC, le organizzazioni che utilizzano Vectra AI identificano il 52% di minacce in più in almeno il 50% di tempo in meno.
Ecco come Vectra AI rileva ciascuna delle cinque tecniche principali utilizzate dalle minacce costanti iraniane:
La PiattaformaVectra AI non richiede agenti. Si integra in modo nativo con Microsoft e applica una logica di rilevamento in tempo reale, adattata agli attacchi basati sull'identità. Questo approccio offre avvisi precisi e ad alta fedeltà e funzionalità di risposta automatizzate che consentono ai team SOC di agire con decisione senza annegare nei falsi positivi.
Siete già clienti di Vectra AI NDR?
Per difendersi da questa nuova ondata di attacchi cloud'identità e sul cloud, consigliamo vivamente di ampliare l'implementazione esistente con la copertura di Identity and Cloud . Ciò garantisce una visibilità e una protezione unificate negli ambienti ibridi in cui prosperano questi attori delle minacce.
È il momento di vedere ciò che gli altri non possono vedere.
- Guardate la demo autoguidata della Vectra AI Platform per vedere come aiutiamo i team SOC a rilevare le minacce che altri non riescono a individuare.
- Leggete il commento del nostro vicepresidente di prodotto Mark Wojtasiak sul motivo per cui Vectra AI si trova al primo posto nel Magic Quadrant™ Gartner® 2025 per il rilevamento e la risposta di rete (NDR).
- Per saperne di più sul motivo per cui Vectra AI è leader e superatore nel rapporto GigaOm Radar 2025 per il rilevamento e la risposta alle minacce all'identità (ITDR)