LIVE UPDATES
Aktualitet

RAPORTI i FBI&CISA: Hakerët hynë në sistemet e Shqipërisë 14 muaj para sulmit kibernetik

Një hetim i FBI-së tregon se aktorët kibernetikë shtetërorë iranianë morën akses fillestar në rrjetin e viktimës afërsisht 14 muaj përpara se të fillonin sulmin shkatërrues kibernetik, i cili përfshinte një kodues skedarësh të stilit ransomware dhe një malware që fshinte disqet.

22 Shtator 2022, 08:24 Nga DOSJA
RAPORTI i FBI&CISA: Hakerët hynë në sistemet e
Hacker

TIRANË-Byroja Federale e Hetimit (FBI) dhe Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) kanë bërë publik një raport për Sigurinë Kibernetike, duke dhënë informacion mbi operacionet e fundit kibernetike kundër Qeverisë së Shqipërisë në korrik dhe shtator. Ky raport ofron një afat kohor të aktivitetit të vëzhguar, nga qasja fillestare deri te ekzekutimi i kriptimit dhe sulmeve. 

Raporti bën të ditur se në korrik 2022, aktorët kibernetikë shtetërorë iranianë, të identifikuar si “Drejtësia e Atdheut” nisën një sulm kibernetik shkatërrues kundër Qeverisë së Shqipërisë, i cili i bëri faqet e internetit dhe shërbimet të padisponueshme. Një hetim i FBI-së tregon se aktorët kibernetikë shtetërorë iranianë morën akses fillestar në rrjetin e viktimës afërsisht 14 muaj përpara se të fillonin sulmin shkatërrues kibernetik, i cili përfshinte një kodues skedarësh të stilit ransomware dhe një malware që fshinte disqet. Aktorët mbajtën akses të vazhdueshëm në rrjet për afërsisht një vit, duke aksesuar dhe shfrytëzuar periodikisht përmbajtjen e postës elektronike.

Midis majit dhe qershorit 2022, aktorët kibernetikë shtetërorë iranianë kryen lëvizje anësore, zbulimin e rrjetit dhe marrjen e kredencialeve nga rrjetet e qeverisë shqiptare. Në korrik 2022, aktorët lansuan ransomware në rrjete, duke lënë një mesazh anti-muxhahid E-Khalq (MEK) në desktop. Kur mbrojtësit e rrjetit identifikuan dhe filluan t'i përgjigjen aktivitetit të ransomware, aktorët kibernetikë vendosën një version të malware shkatërrues ZeroCleare.

Në qershor 2022, HomeLand Justice krijoi një faqe interneti dhe profile të shumta të mediave sociale që postonin mesazhe anti-MEK. Më 18 korrik 2022, Homeland Justice pretendoi meritën për sulmin kibernetik ndaj infrastrukturës së qeverisë shqiptare. 

Më 23 korrik 2022, Drejtësia e Atdheut postoi video të sulmit kibernetik në faqen e tyre të internetit. Nga fundi i korrikut deri në mesin e gushtit 2022, llogaritë e mediave sociale të lidhura me HomeLand Justice demonstruan një model të përsëritur të reklamimit të informacionit të Qeverisë Shqiptare për publikim, duke postuar një sondazh ku u kërkon të anketuarve të zgjidhnin informacionin e qeverisë që do të publikohej nga HomeLand Justice, dhe më pas duke e lëshuar atë informacion ose në një skedar zip ose në një video të një regjistrimi në ekran me dokumentet e shfaqura.

Në shtator 2022, aktorët kibernetikë iranianë nisën një valë tjetër sulmesh kibernetike kundër Qeverisë së Shqipërisë, duke përdorur TTP dhe malware të ngjashëm si sulmet kibernetike në korrik. Këto ka të ngjarë të jenë bërë si hakmarrje për atribuimin publik të sulmeve kibernetike në korrik dhe ndërprerjen e marrëdhënieve diplomatike midis Shqipërisë dhe Iranit.

RAPORTI I PLOTË KËTU

DETAJE TEKNIKE:

Qasja fillestare

Afati kohor: Përafërsisht 14 muaj para sulmeve të kriptimit dhe fshirësit.

Detaje: Qasja fillestare u mor nëpërmjet shfrytëzimit të një Microsoft SharePoint që përballet me internetin, duke shfrytëzuar CVE-2019-0604.

Qëndrueshmëria dhe lëvizja anësore

Afati kohor: Përafërsisht disa ditë deri në dy muaj pas kompromisit fillestar.

Detaje: Pas marrjes së aksesit në mjedisin e viktimës, aktorët përdorën disa .aspx webshells, pickers.aspx, error4.aspx, dhe ClientBin.aspx, për të ruajtur qëndrueshmërinë. Gjatë kësaj periudhe kohore, aktorët përdorën gjithashtu RDP (kryesisht), SMB dhe FTP për lëvizje anësore në të gjithë mjedisin e viktimës.

Kompromis me Exchange Server

Afati kohor: Përafërsisht 1-6 muaj pas kompromisit fillestar.

Detaje: Aktorët përdorën një llogari të komprometuar të Microsoft Exchange për të kryer kërkime (nëpërmjet CmdLets New-MailboxSearch dhe Get-Recipient) në kuti postare të ndryshme, duke përfshirë për llogaritë e administratorit. Në këtë afat kohor, aktorët përdorën llogarinë e komprometuar për të krijuar një llogari të re Exchange dhe për ta shtuar atë në grupin e roleve të Menaxhimit të Organizatës.

Eksfiltrimi i mundshëm i emailit

Afati kohor: Përafërsisht 8 muaj pas kompromisit fillestar.

Detaje: Aktorët bënë mijëra kërkesa HTTP POST në serverët Exchange të organizatës viktimë. FBI vëzhgoi klientin duke transferuar afërsisht 70-160 MB të dhëna dhe serveri që transferonte afërsisht 3-20 GB të dhëna.

Aktiviteti VPN

Afati kohor: Përafërsisht 12-14 muaj pas kompromisit fillestar.

Detaje: Përafërsisht dymbëdhjetë muaj pas hyrjes fillestare dhe dy muaj përpara nisjes së sulmit shkatërrues kibernetik, aktorët bënë lidhje me adresat IP që i përkisnin pajisjes Virtual Private Network (VPN) të organizatës së viktimës. Veprimtaria e aktorëve përfshinte kryesisht dy llogari të komprometuara. Aktorët ekzekutuan “Advanced Port Scanner” (advanced_port_scanner.exe). FBI gjeti gjithashtu prova të përdorimit të Mimikatz dhe hedhjes së LSASS.

File Cryptor (kriptori i skedarëve në stilin e ransomware)

Afati kohor: Përafërsisht 14 muaj pas kompromisit fillestar.

Detajet: Për komponentin e kriptimit të sulmit kibernetik, aktori u identifikua në një server printimi të organizatës së viktimës nëpërmjet RDP dhe nisi një proces (Mellona.exe) i cili do të përhapte enkriptuesin GoXml.exe në një listë makinerish të brendshme, së bashku me një skenar këmbënguljeje i quajtur win.bat. Siç ishte vendosur, GoXML.exe kodoi të gjithë skedarët (përveç atyre që kishin shtesa .exe, .dll, .sys, .lnk ose .lck) në sistemin e synuar, duke lënë pas një shënim shpërblesëje të titulluar How_To_Unlock_MyFiles.txt në çdo dosje të prekur.

Sulmi me fshirëse

Afati kohor: Përafërsisht 14 muaj pas kompromisit fillestar.

Detaje: Në të njëjtën periudhë kohore me sulmin e kriptimit, aktorët filluan veprimet që rezultuan në fshirjen e disqeve të papërpunuara të diskut me mjetin Disk Wiper (cl.exe) të përshkruar në Shtojcën A. Përafërsisht gjatë tetë orëve të ardhshme, u regjistruan lidhje të shumta RDP nga një server i identifikuar i viktimës te hostet e tjerë në rrjetin e viktimës. Ekzekutimi i linjës së komandës së cl.exe u vu re në skedarët bitmap të memorizuar nga këto sesione RDP në serverin e viktimës.

cia irani sulmon shqiperine cisa

Sondazh

Poll
MË SHUMË

Cili ishte shkaku i vdekjes së aktores së njohur turke Ece Irtem?

Cili ishte shkaku i vdekjes së aktores së njohur turke Ece Irtem?

Fëmijët e birësuar të Brad Pitt nisin procedurat për të mos mbajtur mbiemrin e të atit

Ish-drejtoresha e filialit të Postës së Durrësit u la në burg/ Avokati: Vendim absurd

Kuvendi Kombëtar i Protestës/ Folëses i merret mikrofoni nga dora: Edi Rama të japë dorëheqjen

Tentoi te merrte pjesë në Kuvendin Kombëtar të protestës/Selami Jenisherin nxirret jashtë

Berisha: Do bëjmë gjithçka për të paraqitur realitetin shqiptar pranë Komisionit Evropian

Falja e pronave publike në Dhërmi e Palasë/ Berisha: PD nuk do i njohë kurrë këto vendime të Ramës

Berisha: Rama nuk e dënon ministren monstër të Beogradit sepse është vasal i Vuçiçit

Berisha: Ftoj çdo demokrat që të marrë pjesë në protestë dhe të bëjë gjithçka për suksesin e saj

Berisha: Ky është procesi më i thellë i ripërtëritjes së PD që nga themelimi i saj!

“Neomalsorja” i bashkohet protestës së 49-të para Kryeministrisë: Rezistenca e qytetarëve nuk ndalet

Regjisori krijues i Star Wars mbështet Inteligjencën Artificiale

Rama: Deri në 1 mld euro mbështetje për bizneset, kredi deri në 2 milionë euro me interesa të ulëta

Rama i kthehet biznesmenit: Në Shqipëri ka para të pista, por s'mund t'i veshim këtë kostum vendit

Rama i përgjigjet komentuesve: Ka qeveri që bëjnë punë të mira, ka që bëjnë të këqija

Dyfisho sipërmarrjen tënde/ Rama: Cikël takimesh me bizneset e interesuara

Moment paniku në Theth! Guri bie mbi makinë, turistët shpëtojnë pa lëndime

Përfaqësuesi i Sindikatës së Punonjësve të Universiteteve:Dua të përcjell mbështetjen e profesoratit

Plagosja me thikë te Poliklinika e Shkodrës, dalin pamjet e rënda!

Si po ecën marrëdhënia mes Ariana Grande dhe ish të dashurit të saj pas ndarjes me Ethan Slater?

Nuk më pëlqen ta ekspozoj jetën time, Benny Blanco rrëfen si po mësohet me jetën e Selena Gomez

Edi Rama përmend vrasjen e Martin Canit: E kujtoj çdo ditë, ata që e përdorën për politikë e harruan

Rama: Kemi hyrë në zemër të problemit, djegia e makinës pas krimit nuk mund të ndodh më

Kush është modelja që u bë virale për ngjashmërinë me futbollistin Erling Haaland?

Kujtimet tona do të jetojnë gjithmonë, mesazhi i Donatella Versace për të vëllain Gianni Versace

Berisha: Dënoj heshtjen prej vasali të qeverisë shqiptare ndaj deklaratës së ministres së Vuçiçit

Berisha: Drejtimi i PD është ripërtërirë me personalitete ndër më të shquarit në fushat e tyre

Berisha uron drejtuesit e rinj të PD: Vota e lirë në themel të kësaj force politike

Çfarë detajesh tërhoqën vëmëndjen në festimet e ditëlindjes së Jennifer Lopez në Paris?

Salla: Fermeri do ta shohë prodhimin edhe si aset për financim

Përplasje e ashpër në Kuvend/ Bido: Populizëm që dëmton Kosovën

Tentoi të transportonte pistoleta! Kapet në tunelin e Skërficës, 31-vjeçari

Ndryshimet në "Ligjin për Turizmin", Balla: Pezullohen punimet në bregdet gjatë sezonit turistik

Balla mbron Ramën nga Redi Muçi: Lani gojën kur t'i përmendni emrin

Deklarata diskriminuese e ministres serbe/ Muçi akuzon Ramën për heshtje: Çfarë pret kryeministri?

Spiropali dërgon në Asamblenë e PS mocionin për hapjen e partisë

Kuvendi mblidhet sot në seancë plenare, ‘blindohet’ me autobotë uji dhe forca të shumta policore

Ilirjana Kuçana akuzon lidershipin për shkelje të Statutit dhe "Mulizim" të partisë

Protestuesja: Shqipëria nuk e përmban dot një koncert si të Kanye West, vendi ynë ka marrë fund

Thirrjet për Ramën, protestuesi: Traumë për fëmijët të thonë Rama jep dorëheqjen

Dita 46-të e protestës/ Protestuesi: Sali Berisha dhe Edi Rama të thyejnë qafën

Protesta qytetare bën bashkë shqipëtarë nga çdo krahinë, valëviten flamujt nga diaspora

Protesta e 46-të/ Mbyllen fjalimet para Kryeministrisë, nis marshimi rrugëve të Tiranës

PD ndërpret sinjalin për median/ Anëtarja e Këshillit Kombëtar përplaset me Berishën

Berisha prezanton emrat: PD do të ketë nënkryetar nga diaspora dhe rinia

Berisha: Gjenerata Z dhe qytetarët i hapën varrin narkodiktaturës dhe do ta marrin me vete

Berisha: Protesta 46-ditore që vazhdon është tërësisht antidiktatoriale

Berisha: Gjithçka zhvillohet sot në rrugë dhe sheshet e Tiranës është një betejë e kauzës

Këshilli Kombëtar/ Berisha prezanton emrat e propozuar për anëtarët e Këshillit të Diasporës

Dua Lipa: Frymëzuese të shoh qytetarët në protestë, ndërkohë që qeveria anashkalon ligjet

Shiko video te tjera