Προφίλ Απειλής: HEXANE

Με βάση τα δημόσια στοιχεία threat intelligence, ο HEXANE είναι APT actor με δραστηριότητα που αποδίδεται στη χώρα: Ιράν. Αντιστοιχίζεται στο MITRE ATT&CK ως G1001. Κίνητρο: κατασκοπεία. Κύριοι στόχοι: Αεροδιαστημική, Ενέργεια, Τηλεπικοινωνίες. Στις δημόσιες πηγές αναφέρεται επίσης ως Lyceum, Siamesekitten, Spirlin. Επίπεδο πολυπλοκότητας: κρατικά υποστηριζόμενο. Σχετίζεται με 12 γνωστά CVEs (εκ των οποίων 4 κρίσιμα).

Τεχνική συμπεριφορά και TTPs

Με βάση τη δημόσια καταγραφή στο MITRE ATT&CK (G1001), στις κυριότερες τεχνικές του HEXANE περιλαμβάνονται:

• T1583 – Acquire Infrastructure: Domains
• T1010 – Application Window Discovery
• T1110 – brute-force και password spraying
• T1059 – εκτέλεση εντολών και scripts (PowerShell, cmd, bash)
• T1586 – Compromise Accounts: Email Accounts
• T1555 – συγκέντρωση credentials (memory dumps, scraping)
• T1585 – Establish Accounts: Social Media Accounts
• T1546 – Event Triggered Execution: Windows Management Instrumentation Event Subscription

Συνδεδεμένα εργαλεία και malware

• BITSAdmin (S0190)
• DanBot (S1014)
• DnsSystem (S1021)
• Empire (S0363)
• ipconfig (S0100)
• Kevin (S1020)
• Milan
• Ping

Γιατί αφορά ελληνικούς και ευρωπαϊκούς οργανισμούς

Σε οργανισμούς με υποχρεώσεις NIS2, DORA και GDPR, η ύπαρξη ενός actor όπως ο HEXANE καθιστά αναγκαία τη συγκεκριμένη χαρτογράφηση αμυντικών ελέγχων σε ATT&CK techniques. Η ελληνική αγορά —ιδίως τράπεζες, ενέργεια, ναυτιλία, τηλεπικοινωνίες και κρίσιμες υποδομές— παραμένει στόχος ευρύτερων εκστρατειών που τέμνουν τους τομείς Αεροδιαστημική, Ενέργεια, Τηλεπικοινωνίες. Η αλυσίδα εφοδιασμού (supply chain) αυξάνει την έκθεση ακόμα και όταν η οργάνωση δεν είναι στον αρχικό κύκλο στόχευσης του actor.

Από το προφίλ στην πράξη

Τα στοιχεία για κάθε adversary group συγκεντρώνονται από εκατοντάδες πηγές threat intelligence και περνούν από διασταύρωση και επιβεβαίωση πριν καταγραφούν ώστε κάθε τεχνική, εργαλείο και δείκτης που αποδίδεται στον actor να αντικατοπτρίζει επιβεβαιωμένη συμπεριφορά και όχι μεμονωμένες ή ανεπιβεβαίωτες αναφορές.

Γιατί διατηρούμε αυτά τα επιβεβαιωμένα προφίλ σε αποκλειστική βάση δεδομένων APT της Audax; Για να ελέγχουμε στην πράξη αν οι άμυνές σας βλέπουν τους πραγματικούς αντιπάλους. Στην Επικύρωση Μηχανισμών Άμυνας εκτελούμε σε ελεγχόμενες συνθήκες τις τεχνικές που χρησιμοποιεί αυτός ο actor και μετράμε αν το EDR, το SIEM και η ομάδα σας τις καταγράφουν, τις ανιχνεύουν και τις σταματούν. Έτσι δεν ελέγχουμε αφηρημένα «αν είστε ασφαλείς», αλλά αν θα βλέπατε αυτόν τον συγκεκριμένο αντίπαλο.

Δείτε τη βιβλιοθήκη APT της Audax