Die jüngste iranisch-israelische Eskalation hat zu einem Anstieg der Cyberoperationen staatlicher Akteure geführt , die es auf Identitäts-, cloud und Unternehmensnetzwerke abgesehen haben. Diese gut ausgerüsteten Gruppen kombinieren tiefgreifende Netzwerkeingriffe mit Identitätsmissbrauch, um herkömmliche Verteidigungsmaßnahmen zu überwinden.
Sie nutzen öffentlich zugängliche Anwendungen für den ersten Zugriff, sammeln Anmeldeinformationen über phishing oder Passwort-Spraying und bewegen sich dann seitlich mit RDP, PsExec oder Remote-Zugriffsdiensten. Die Persistenz wird durch geplante Aufgaben, DLL-Sideloading, versteckte Fenster und Protokoll-Tunneling erreicht. Daten werden unauffällig bereitgestellt, archiviert und über undurchsichtige Kanäle exfiltriert, ohne dass dies zu Warnmeldungen führt.
Gleichzeitig starten sie identitätsorientierte Kampagnen innerhalb von Microsoft 365, Azure und Google Workspace: Sie missbrauchen OAuth, umgehen MFA und nutzen Outlook, OneDrive und Teams als Waffe, um Zugang zu erhalten und Daten abzuschöpfen. Diese Taktiken zielen auf kritische Infrastrukturen, Regierungen, Wirtschaftsunternehmen und Nichtregierungsorganisationen im Nahen Osten und im Westen ab, wobei Spionage und destruktive Angriffe (Wiper, erzwungene Verschlüsselung) miteinander kombiniert werden.
Wenn Sie sich nur auf Endpunkte oder Perimeterkontrollen verlassen, sind Sie blind für die gesamte Angriffskette. Wenn Sie cloud , hybride Infrastruktur oder Fernzugriff nutzen, sind Sie bereits im Visier der Angreifer.
Wer steckt hinter den Angriffen: Iran-verbundene APT-Profile
Trotz unterschiedlicher Ziele (die von langfristiger Spionage bis hin zu offener Sabotage reichen) nutzt jede Gruppe sowohl Netzwerk- als auch Identitätskanäle, um in das System einzudringen, dort zu bleiben und die Daten zu extrahieren. Nachfolgend finden Sie eine Übersicht über den Erstzugang, die Netzwerk-TTPs und die cloud .
Fünf Identitäts- und Cloud , die SOC-Teams überwachen müssen
Bedrohungsakteure, die mit dem Iran in Verbindung stehen, gehen über traditionelle malware und Exploits hinaus. Ihre Kampagnen basieren nun auf dem Missbrauch von Identitätssystemen und der Nutzung von vertrauenswürdigen Tools, die Ihr Unternehmen bereits verwendet. Diese fünf Techniken sind entscheidend dafür, wie sie sich der Erkennung entziehen und in cloud bestehen bleiben. Jede stellt eine kritische Sichtbarkeitslücke wenn sich Ihr Team nur auf traditionelle EDR- oder SIEM-Tools verlässt.
- Diebstahl von Zugangsdaten über Spear Phishing
Gefälschte Anmeldeportale, die Office 365 oder Gmail imitieren, Passwort-Spraying und MFA-Umgehungstechniken. - Cloud Account Hijacks
Mit gestohlenen Anmeldeinformationen wird auf E-Mail, OneDrive, SharePoint oder Azure-Anwendungen zugegriffen. - Recon und Lateral Movement
Enumerating Entra ID (Azure AD), Erstellung von Rogue OAuth Apps oder Abonnements für Persistenz. - Datenexfiltration über legitime Tools
Verschieben von Daten über OneDrive, Outlook oder webbasierte APIs, um sie im normalen Datenverkehr zu verstecken. - Leben abseits von SaaS und Cloud
Integrierte SaaS-Clients wie Outlook oder Fernzugriffstools wie AnyDesk/TeamViewer zur Steuerung von cloud verwenden.
Warum iranische APTs auf Cloud und Identität abzielen
Für iranische Bedrohungsgruppen bieten cloud und Identitätssysteme Skalierbarkeit, Heimlichkeit und strategischen Wert. Diese Angreifer sind nicht nur opportunistisch, sondern passen sich an die heutige Arbeitsweise von Unternehmen an. Fernzugriff, föderierte Identitäten und cloud haben eine große Angriffsfläche geschaffen, die für viele Sicherheitsteams nur begrenzt sichtbar ist.
- Identität ist der neue Schutzwall. Sobald sich Angreifer gültige Anmeldedaten verschaffen, insbesondere solche, die an SaaS-Plattformen oder cloud gebunden sind, umgehen sie oft die Erkennung vollständig. Sicherheitstools, die sich auf Endpunkte oder Firewalls konzentrieren, erkennen nur selten authentifizierte API-Aufrufe oder abnormales Anmeldeverhalten, wenn die Sitzung legitim erscheint.
- Cloud bieten Deckung. Iranische APTs operieren häufig innerhalb genehmigter Anwendungen wie Microsoft 365, Azure und Google Workspace. Sie nutzen schwache OAuth-Richtlinien, falsch konfigurierte Zugangskontrollen und übermäßige Admin-Rechte aus. Dadurch können sie in Umgebungen überleben, in denen herkömmliche Kontrollen nicht dafür ausgelegt sind, Verhaltensanomalien bei Benutzern, Rollen und Anwendungen zu untersuchen.
- Hybride Netzwerke bieten Dreh- und Angelpunkte. In vielen Fällen kompromittieren Angreifer On-Premise-Systeme und nutzen diese Ausgangsposition, um auf verbundene cloud zuzugreifen. Microsoft hat Angriffe dokumentiert, bei denen iranische Akteure Entra Connect und Azure Arc missbraucht haben, um eine Brücke zwischen kompromittierten On-Premise-Umgebungen und cloud zu schlagen, einschließlich des Aufbaus einer neuen Infrastruktur in kompromittierten Tenants.
- Cloud Tools haben einen doppelten Nutzen. PowerShell, Microsoft Graph API, Teams Messaging und Mailbox-Delegation sollen die Zusammenarbeit erleichtern. Iranische Akteure nutzen dieselben Funktionen, um Umgebungen aufzuzählen, malware auszutauschen und Daten zu verschieben. Da sie nur selten neue Binärdateien oder externe Infrastrukturen einführen, vermeiden sie es, klassische Anzeichen einer Kompromittierung auszulösen.
Kurz gesagt, cloud und Identitätsangriffe ermöglichen es iranischen APTs, sich unauffällig und effektiv zu bewegen. Sie fügen sich in das Nutzerverhalten ein, umgehen herkömmliche Abwehrmaßnahmen und nutzen Lücken, die die meisten Unternehmen erst erkennen, wenn es zu spät ist.
Sicherheitskontrollen zur Unterbrechung iranischer APT-Methoden
Um Ihre Anfälligkeit für die oben beschriebenen Techniken zu verringern und Ihre Umgebung zu einem schwierigeren Ziel zu machen, empfehlen wir die folgenden Sofortmaßnahmen:
- Erzwingen Sie Multi-Faktor-Authentifizierung, um phishing und MFA-Umgehung zu verhindern.
- Aktivieren Sie Conditional Access und Geräterichtlinien für cloud.
- Überwachen Sie die Anmeldeaktivitäten auf verdächtige IPs, ungewöhnliche geografische Standorte und Anmeldungen über VPN.
- Sperren Sie OAuth-Apps und -Berechtigungen: Überprüfen Sie alle Einwilligungen und Dienstkonten in Microsoft 365/Azure.
- Überprüfen Sie privilegierte Konten regelmäßig, insbesondere solche mit Administratorrollen in Exchange/Azure.
- Implementierung von Benutzerschulungen: Erkennen Sie gefälschte Anmeldeportale und Social-Engineering-Taktiken.
- Überwachung der Datenexfiltration: Einrichtung von DLP-Regeln und CASB-Richtlinien (Cloud Access Security Broker).
- Überprüfen Sie das MFA-Push-Verhalten: Schränken Sie Benachrichtigungen nach wiederholten Fehlversuchen ein oder verwenden Sie phishing MFA-Optionen wie FIDO2.
Diese Kontrollen härten Ihre Umgebung ab, aber die Erkennung von Missbrauch von Anmeldeinformationen und Netzwerken erfordert eine aktive, verhaltensgesteuerte Transparenz.
Wie die Vectra AI erkennt, was andere übersehen
Die meisten Sicherheitstools können iranische APT-Aktivitäten nicht erkennen, weil sie nicht darauf ausgelegt sind, zu überwachen, wie Angreifer in cloud und Identitätsumgebungen agieren. Die Vectra AI wurde speziell dafür entwickelt, diese Lücke zu schließen.
Anstatt sich auf statische Indikatoren oder manipulierbare Protokolle zu verlassen, nutzt Vectra AI eine KI-gesteuerte Verhaltenserkennung, um abnormale Aktivitäten in Netzwerken, Active Directory, Microsoft 365, Entra ID, Copilot für M365, AWS und Azure Cloud zu identifizieren. Es überwacht kontinuierlich, wie Benutzer mit Anwendungen, Anmeldeinformationen, Token und Daten interagieren, und zeigt Signale auf, die auf eine Gefährdung hinweisen, ohne dass Bedrohungsakteure offensichtliche Alarme auslösen müssen.
Aber Erkennung allein ist nicht genug. Die Vectra AI schafft auch Klarheit darüber, welche Alarme wirklich wichtig sind. So werden Störgeräusche eliminiert und SOC-Teams können sich auf die Signale konzentrieren, die auf echte Bedrohungen hinweisen. Mit den integrierten Reaktionsmaßnahmen können Analysten sofort Maßnahmen ergreifen, um einen Angriff einzudämmen - sei es durch den Entzug von Sitzungen oder die Sperrung von Konten - bevor sich der Schaden ausbreitet. Diese Kombination aus Erkennung, Klarheit und Kontrolle gibt Sicherheitsteams das Vertrauen, auf ausgefeilte moderne Angriffe entschlossen zu reagieren. Laut IDC erkennen Unternehmen, die Vectra AI einsetzen, 52 % mehr Bedrohungen in mindestens 50 % weniger Zeit.
Im Folgenden erfahren Sie, wie Vectra AI AI jede der fünf von iranischen APTs verwendeten Kerntechniken erkennt:
Die Vectra AI benötigt keine Agenten. Sie lässt sich nativ in Microsoft integrieren und wendet eine Echtzeit-Erkennungslogik an, die auf identitätsgesteuerte Angriffe zugeschnitten ist. Dieser Ansatz liefert präzise, detailgetreue Warnungen und automatisierte Reaktionsmöglichkeiten, die SOC-Teams in die Lage versetzen, entschlossen zu handeln, ohne in Fehlalarmen zu ertrinken.
Sie sind bereits Kunde von Vectra AI NDR?
Um sich gegen diese neue Welle von identitäts- und cloud Angriffen zu schützen, empfehlen wir dringend, Ihre bestehende Bereitstellung um eine Identitäts- und Cloud zu erweitern. Dies gewährleistet eine einheitliche Sichtbarkeit und Schutz in hybriden Umgebungen, in denen diese Bedrohungsakteure gedeihen.
Jetzt ist es an der Zeit zu sehen, was andere nicht sehen können.
- Sehen Sie sich die selbstgeführte Demo der Vectra AI an und erfahren Sie, wie wir SOC-Teams dabei helfen, Bedrohungen zu erkennen, die andere nicht erkennen können.
- Lesen Sie die Meinung unseres VP of Product Mark Wojtasiak, warum Vectra AI AI im Gartner® Magic Quadrant™ für Network Detection and Response (NDR) 2025 ganz oben steht.
- Erfahren Sie mehr darüber, warum Vectra AI im GigaOm Radar Report 2025 für Identity Threat Detection and Response (ITDR) führend und überragend ist