La récente escalade entre l'Iran et Israël a déclenché une recrudescence des opérations cybernétiques menées par des acteurs liés à des États, qui s'attaquent aux réseaux d'identité, aux réseaux cloud et aux réseaux d'entreprise. Ces groupes bien dotés en ressources combinent des intrusions profondes dans les réseaux et des abus d'identité pour déjouer les défenses traditionnelles.
Ils exploitent les applications publiques pour l'accès initial, collectent les informations d'identification par phishing ou par pulvérisation de mot de passe, puis se déplacent latéralement avec RDP, PsExec ou des services d'accès à distance. La persistance est assurée par des tâches planifiées, le chargement latéral de DLL, des fenêtres cachées et des tunnels de protocole. Les données sont discrètement stockées, archivées et exfiltrées par des canaux obscurs, souvent sans déclencher d'alertes.
Simultanément, ils lancent des campagnes axées sur l'identité au sein de Microsoft 365, Azure et Google Workspace : ils abusent d'OAuth, contournent le MFA et utilisent Outlook, OneDrive et Teams pour maintenir l'accès et siphonner les données. Ces tactiques ciblent les infrastructures critiques, les gouvernements, les entreprises commerciales et les ONG au Moyen-Orient et en Occident, mêlant espionnage et attaques destructrices (wipers, chiffrement forcé).
S'appuyer uniquement sur les points d'extrémité ou les contrôles périmétriques vous rend aveugle à l'ensemble de la chaîne d'attaque. Si vous utilisez la collaboration cloud , l'infrastructure hybride ou l'accès à distance, vous êtes déjà dans leur ligne de mire.
Qui se cache derrière les attaques ? Profils APT liés à l'Iran
Malgré des objectifs variés (allant de l'espionnage à long terme au sabotage pur et simple) , chaque groupe exploite à la fois le réseau et les canaux d'identité pour s'introduire, persister et extraire. Voici une vue d'ensemble de leur accès initial, de leurs TTP de réseau et de leurs TTP d'cloud .
Cinq techniques d'identité et d'Cloud que les équipes SOC doivent surveiller
Les cybercriminels affiliés à l'Iran vont au-delà des malware et des exploits traditionnels. Leurs campagnes s'appuient désormais sur l'utilisation abusive des systèmes d'identité et sur les outils de confiance déjà utilisés par votre organisation. Ces cinq techniques sont essentielles pour échapper à la détection et maintenir la persistance dans les environnements cloud . Chacune d'entre elles représente un manque de visibilité critique si votre équipe s'appuie uniquement sur des outils EDR ou SIEM traditionnels.
- Vol de données d'identification via le Spear Phishing
Faux portails de connexion imitant Office 365 ou Gmail, pulvérisation de mots de passe et techniques de contournement du MFA. - Détournement de comptesCloud
Utilisation d'informations d'identification volées pour accéder au courrier électronique, à OneDrive, SharePoint ou aux applications Azure. - Recon et mouvement latéral
Enumération d'Entra ID (Azure AD), création d'applications OAuth ou d'abonnements pour la persistance. - Exfiltration de données via des outils légitimes
Déplacement de données via OneDrive, Outlook ou des API basées sur le web pour se dissimuler dans le trafic normal. - Vivre hors des sentiers battus dans le SaaS et le Cloud
Utiliser des clients SaaS intégrés comme Outlook ou des outils d'accès à distance comme AnyDesk/TeamViewer pour contrôler les comptes cloud .
Pourquoi les APT iraniens s'attaquent-ils à l'Cloud et à l'identité ?
Pour les groupes de menace iraniens, les systèmes d'identité et d'cloud offrent une échelle, une furtivité et une valeur stratégique. Ces attaquants ne sont pas seulement opportunistes, ils s'adaptent au mode de fonctionnement actuel des organisations. L'accès à distance, l'identité fédérée et l'infrastructure cloud ont créé une large surface d'attaque avec une visibilité limitée pour de nombreuses équipes de sécurité.
- L'identité est le nouveau périmètre. Une fois que les attaquants obtiennent des informations d'identification valides, en particulier celles liées aux plates-formes SaaS ou aux rôles d'administrateur du cloud , ils contournent souvent complètement la détection. Les outils de sécurité axés sur les points d'extrémité ou les pare-feu signalent rarement les appels d'API authentifiés ou les comportements de connexion anormaux si la session semble légitime.
- Les environnementsCloud offrent une couverture. Les APT iraniens opèrent souvent dans des applications approuvées comme Microsoft 365, Azure et Google Workspace. Elles tirent parti de politiques OAuth faibles, d'un accès conditionnel mal configuré et de privilèges d'administration excessifs. Cela leur permet de persister dans des environnements où les contrôles traditionnels n'ont pas été conçus pour inspecter les anomalies comportementales entre les utilisateurs, les rôles et les applications.
- Les réseaux hybrides offrent des points d'appui. Dans de nombreux cas, les attaquants compromettent les systèmes sur site et utilisent ce point d'ancrage pour accéder aux ressources cloud connectées. Microsoft a documenté des attaques dans lesquelles des acteurs iraniens ont utilisé Entra Connect et Azure Arc pour faire le lien entre des environnements sur site compromis et des ressources en cloud , y compris la mise en place d'une nouvelle infrastructure au sein de locataires compromis.
- Les outilsCloud sont à double usage. PowerShell, Microsoft Graph API, la messagerie Teams et la délégation de boîtes aux lettres sont censés faciliter la collaboration. Les acteurs iraniens utilisent ces mêmes capacités pour recenser les environnements, partager des malware et déplacer des données. Comme ils introduisent rarement de nouveaux binaires ou une infrastructure externe, ils évitent de déclencher les indicateurs classiques de compromission.
En bref, les attaques contre cloud et l'identité permettent aux APT iraniens de se déplacer discrètement et efficacement. Elles se fondent dans le comportement des utilisateurs, évitent les défenses traditionnelles et exploitent les failles que la plupart des organisations ne voient que lorsqu'il est trop tard.
Contrôles de sécurité visant à perturber les techniques APT iraniennes
Pour réduire votre exposition aux techniques décrites ci-dessus et faire de votre environnement une cible plus difficile, nous vous recommandons de prendre les mesures immédiates suivantes :
- Appliquer l'authentification multifactorielle pour empêcher le phishing et le contournement de l'authentification multifactorielle.
- Activer l'accès conditionnel et les politiques d'appareils sur les comptes cloud.
- Surveillez l'activité de connexion pour détecter les IP suspectes, les zones géographiques inhabituelles et les connexions provenant d'un VPN.
- Verrouillez les applications et les autorisations OAuth: passez en revue toutes les autorisations et tous les comptes de service dans Microsoft 365/Azure.
- Auditer régulièrement les comptes privilégiés, en particulier ceux qui ont un rôle d'administrateur dans Exchange/Azure.
- Mettre en œuvre la formation des utilisateurs: reconnaître les faux portails de connexion et les tactiques d'ingénierie sociale.
- Surveillez l'exfiltration des données: mettez en place des règles DLP et des politiques CASB (Cloud Access Security Broker).
- Vérifier le comportement MFA push: restreindre les notifications après plusieurs tentatives infructueuses ou utiliser des options MFA phishing comme FIDO2.
Ces contrôles renforcent votre environnement, mais la détection de l'utilisation abusive des informations d'identification et de la furtivité du réseau nécessite une visibilité active et axée sur le comportement.
Comment la plateforme Vectra AI détecte ce que les autres ne voient pas
La plupart des outils de sécurité ne parviennent pas à détecter les activités des APT iraniens car ils ne sont pas conçus pour surveiller la façon dont les attaquants opèrent dans les environnements de cloud et d'identité. La plateforme Vectra AI a été conçue pour combler cette lacune.
Plutôt que de s'appuyer sur des indicateurs statiques ou des journaux qui peuvent être manipulés, Vectra AI utilise la détection comportementale pilotée par l'IA pour identifier les activités anormales à travers Network, Active Directory, Microsoft 365, Entra ID, Copilot for M365, AWS et Azure Cloud. Il surveille en permanence la façon dont les utilisateurs interagissent avec les applications, les informations d'identification, les jetons et les données, et met en évidence les signaux indiquant une compromission sans que les cybercriminels aient besoin de déclencher des alarmes évidentes.
Mais la détection seule ne suffit pas. La plateforme d'Vectra AI de Vectra AI permet également de savoir quelles alertes sont vraiment importantes, en éliminant le bruit et en permettant aux équipes SOC de se concentrer sur les signaux qui indiquent de vraies menaces. Grâce aux actions de réponse intégrées, les analystes peuvent prendre des mesures immédiates pour contenir une attaque - qu'il s'agisse de révoquer des sessions ou de verrouiller des comptes - avant que les dommages ne s'étendent. Cette combinaison de détection, de clarté et de contrôle donne aux équipes de sécurité la confiance nécessaire pour répondre de manière décisive aux attaques modernes sophistiquées. Selon IDC, les entreprises qui utilisent Vectra AI identifient 52 % de menaces supplémentaires en au moins 50 % de temps en moins.
Voici comment Vectra AI détecte chacune des cinq techniques de base utilisées par les APT iraniennes :
La plateforme plateformeVectra AI ne nécessite pas d'agents. Elle s'intègre nativement à Microsoft et applique une logique de détection en temps réel adaptée aux attaques basées sur l'identité. Cette approche fournit des alertes précises et fiables ainsi que des capacités de réponse automatisées qui permettent aux équipes SOC d'agir de manière décisive sans se noyer dans les faux positifs.
Vous êtes déjà client de Vectra AI NDR ?
Pour se défendre contre cette nouvelle vague d'attaques cloudidentité et le cloud, nous recommandons vivement d'étendre votre déploiement existant avec une couverture de l'identité et du Cloud . Cela garantit une visibilité et une protection unifiées dans les environnements hybrides où ces cybercriminels prospèrent.
Le moment est venu de voir ce que les autres ne peuvent pas voir.
- Regardez la démonstration autoguidée de la plateforme Vectra AI pour voir comment nous aidons les équipes SOC à détecter des menaces que d'autres ne peuvent pas détecter.
- Lisez le point de vue de notre vice-président produit Mark Wojtasiak sur les raisons pour lesquelles Vectra AI fait bonne figure dans le Gartner® Magic Quadrant™ 2025 pour la détection et réponse aux incidents (NDR).
- Découvrez pourquoi Vectra AI est leader et surperformant dans le rapport Radar 2025 de GigaOm pour la détection et la réponse aux menaces identitaires (ITDR).