Các thành viên của Viện Mabna, một tổ chức có trụ sở tại Iran, đã bị cáo buộc thực hiện một chiến dịch tin tức bảo mật kéo dài, đánh cắp ít nhất 31,5 TB dữ liệu nghiên cứu và tài sản trí tuệ. Bộ Tư pháp Hoa Kỳ đã công bố bản cáo trạng gồm 14 tội danh đối với 17 cá nhân bị cáo buộc là thành viên của tổ chức này.
Chiến dịch tấn công mạng của Viện Mabna
Chiến dịch này được cho là bắt đầu vào khoảng năm 2013 và tiếp tục cho đến ít nhất tháng 12 năm 2017. Các công tố viên cáo buộc nhóm này làm việc cho các cơ quan chính phủ và trường đại học của Iran, bao gồm cả Lực lượng Vệ binh Cách mạng Hồi giáo (IRGC).
Chiến dịch đã nhắm mục tiêu vào các trường đại học, công ty tư nhân, cơ quan chính phủ và các tổ chức phi chính phủ tại Hoa Kỳ và các quốc gia khác. Gholamreza Rafatnejad và Ehsan Mohammadi được cho là đã thành lập Viện Mabna để cung cấp cho các tổ chức Iran quyền truy cập vào các nguồn tài nguyên khoa học nước ngoài.
Phương thức tấn công
Viện này được cho là đã sử dụng hoặc làm việc với các hacker thuê ngoài thực hiện các hoạt động lừa đảo (phishing), trinh sát, đánh cắp thông tin đăng nhập, tấn công vét cạn mật khẩu (password spraying) và trích xuất dữ liệu. Nhóm này đã nhắm mục tiêu vào hơn 100.000 tài khoản giáo sư trên toàn cầu và được cho là đã xâm phạm khoảng 8.000 tài khoản email học thuật.
Các nạn nhân bao gồm 144 trường đại học tại Hoa Kỳ và 178 trường đại học bên ngoài Hoa Kỳ. Các cơ sở bị ảnh hưởng nằm trên khắp Úc, Canada, Trung Quốc, Châu Âu, Trung Đông, Châu Á và Vương quốc Anh. Những kẻ tấn công được báo cáo là đã sử dụng các email lừa đảo tinh vi (spearphishing) để đánh cắp thông tin đăng nhập của giáo sư.
Sau khi truy cập vào mạng lưới của trường đại học và các cổng thư viện trực tuyến, chúng đã truy cập vào các tạp chí khoa học, luận văn, luận án, sách điện tử, bài báo nghiên cứu và các tài nguyên được bảo vệ khác. Việc đánh cắp bao gồm các lĩnh vực nghiên cứu khoa học, kỹ thuật, y tế, khoa học xã hội, công nghệ và chuyên môn.
Dữ liệu bị đánh cắp đã được chuyển đến hạ tầng do các bị cáo kiểm soát bên ngoài Hoa Kỳ. Các công tố viên cho biết các trường đại học Hoa Kỳ đã chi hơn 3,4 tỷ đô la để có quyền truy cập vào nghiên cứu và tài sản trí tuệ bị nhắm mục tiêu bởi chiến dịch này.
Hoạt động kiếm tiền từ dữ liệu đánh cắp
Chiến dịch còn được cho là đã kiếm tiền từ việc bán quyền truy cập học thuật bị đánh cắp. Hai trang web có trụ sở tại Iran, Megapaper.ir và Gigapaper.ir, đã được sử dụng để bán các tài nguyên bị đánh cắp và quyền truy cập vào các tài khoản đại học bị xâm phạm. Megapaper được cho là đã bán nội dung học thuật bị đánh cắp cho khách hàng ở Iran.
Cùng lúc đó, Gigapaper cung cấp cho người mua quyền truy cập trực tiếp vào các hệ thống thư viện đại học trực tuyến thông qua các tài khoản giáo sư bị chiếm đoạt. Hoạt động này cho thấy một hình thức đánh cắp dữ liệu mới và nguy hiểm, tận dụng các tài nguyên học thuật có giá trị.
Mở rộng phạm vi tấn công
Ngoài lĩnh vực học thuật, bản cáo trạng còn cáo buộc rằng các nhà điều hành của Viện Mabna đã nhắm mục tiêu vào ít nhất 42 công ty thuộc khu vực tư nhân Hoa Kỳ, 11 công ty nước ngoài, năm cơ quan chính phủ liên bang và tiểu bang của Hoa Kỳ, và một số tổ chức quốc tế. Các nạn nhân được nêu tên bao gồm Bộ Lao động Hoa Kỳ, Ủy ban Quy hoạch Năng lượng Liên bang, các bang Hawaii và Indiana, Liên Hợp Quốc và UNICEF.
Bản cáo trạng mở rộng bổ sung thêm tám bị cáo vào vụ án ban đầu được công bố vào năm 2018. Một số bị cáo còn bị cáo buộc có liên quan đến vụ xâm nhập HBO năm 2017, trong đó dữ liệu bị đánh cắp được sử dụng trong một âm mưu tống tiền nhắm vào khoảng 6 triệu đô la bằng Bitcoin. Các cáo buộc bao gồm âm mưu thực hiện hành vi xâm phạm máy tính, gian lận điện tử, truy cập trái phép để thu lợi tài chính cá nhân và hành vi trộm cắp danh tính nghiêm trọng.
Bộ Tư pháp Hoa Kỳ cho biết các nạn nhân đã phải gánh chịu hơn 20 triệu đô la chi phí điều tra và khắc phục hậu quả do một số vụ xâm nhập vào khu vực tư nhân và chính phủ. Chương trình Phần thưởng vì Công lý của Bộ Ngoại giao Hoa Kỳ đang treo thưởng tới 10 triệu đô la cho thông tin dẫn đến việc xác định vị trí của năm bị cáo: Behzad Mesri, Mojtaba Galekuhi, Arman Kahzadian, Keyvan Fayaz và Saber Shahbazi Ballojeh.
Bản cáo trạng vẫn chỉ là một cáo buộc, và tất cả các bị cáo đều được coi là vô tội cho đến khi được chứng minh có tội tại tòa. Vụ việc này nhấn mạnh mối đe dọa từ các chiến dịch gián điệp mạng do các quốc gia bảo trợ, nhắm vào các tài sản trí tuệ và thông tin nhạy cảm.
Để phòng ngừa các sự cố tương tự, việc tích hợp threat intelligence vào quy trình điều tra của các Trung tâm Điều hành An ninh mạng (SOC) là vô cùng cần thiết. Điều này giúp các đội ngũ an ninh phản ứng nhanh chóng và hiệu quả hơn trước các cuộc tấn công tiềm ẩn.
