Според американското правителство спонсорирани от държавата ирански хакери работят в тясно сътрудничество с групи, занимаващи се с изнудване, за да печелят от неоторизиран достъп до мрежите на организации в САЩ и на други места.

След компрометирането на организации в секторите на отбраната, образованието, финансите, правителството и здравеопазването хакерите, действащи от името на иранското правителство, предоставят на групите за откуп достъп до мрежите на жертвите, за да улеснят криптирането на данни и изнудването.

„Участието на иранските кибероператори в тези атаки с цел изнудване надхвърля осигуряването на достъп; те работят в тясно сътрудничество с групите за изнудване, за да блокират мрежите на жертвите и да изготвят стратегии за подходи за изнудване на жертвите“, отбелязват CISA, ФБР и Центърът за киберпрестъпност към Министерството на отбраната (DC3) в съвместна консултация (PDF).

Без да разкриват пред контактите си местонахождението си в Иран, тези хакери си сътрудничат пряко с филиали на ransomware, за да внедряват зловреден софтуер, криптиращ файлове, и да получават процент от плащанията на откупи.

Насочвайки се към базирани в САЩ организации поне от 2017 г., заплахите наричат себе си Br0k3r и Xplfinder. Общността за киберсигурност проследява клъстера от дейности като Lemon Sandstorm, Fox Kitten, Parisite, Pioneer Kitten, Rubidium и UNC757.

Колективът за усъвършенствани постоянни заплахи (APT) е наблюдаван да компрометира мрежите на финансови институции, общински администрации, училища и здравни заведения в САЩ, като същевременно е насочен и към организации в Азербайджан, Израел и Обединените арабски емирства.

Lemon Sandstorm, твърдят CISA, ФБР и DC3, е наблюдаван да си сътрудничи с групи за откуп, като NoEscape, RansomHouse и Alphv/BlackCat.

„Освен това ФБР оценява, че тези базирани в Иран киберорганизации са свързани с правителството на Иран (ПИ) и – отделно от дейността по откупуване на софтуер – извършват дейност по експлоатация на компютърни мрежи в подкрепа на ПИ (като например прониквания, позволяващи кражба на чувствителни технически данни срещу организации в Израел и Азербайджан)“, се казва в съвместната консултация.

Според ФБР Lemon Sandstorm е отговорен и за атаките Pay2Key през 2020 г., при които извършителят компрометира организации, открадва данните им, а след това посочва имената на жертвите в сайт за изтичане на информация, базиран на Tor, в очевиден опит да им повлияе да платят откуп.

„ФБР не вярва, че целта на Pay2Key е била да се получат плащания на откупи. По-скоро ФБР оценява, че Pay2Key е била информационна операция, насочена към подкопаване на сигурността на базираната в Израел киберинфраструктура“, се казва в консултацията.

Съвместната консултация на американското правителство излезе в същия ден, в който Mandiant публикува доклад за предполагаема контраразузнавателна операция на Иран, насочена срещу иранци и вътрешни заплахи, а Microsoft сподели подробности за използването от свързания с Иран Peach Sandstorm на нова персонализирана задна врата.