Κυβερνοδραστηριότητα με Στόχο τη Ναυτιλιακή Καρδιά της Ευρώπης από το Ιράν

Στις 4 Μαρτίου 2026 δημοσιοποιήθηκε από την Audax Cybersecurity μια ιδιαίτερα ανησυχητική προειδοποίηση απειλής (Threat Advisory) με τίτλο «Επιχείρηση Aegean Anchor». Η ανακοίνωση, με χαρακτηρισμό TLP: CLEAR, αφορά ύποπτη ιρανική κυβερνοδραστηριότητα που στοχεύει κρίσιμες υποδομές της ευρωπαϊκής ναυτιλιακής εφοδιαστικής αλυσίδας, με επίκεντρο την Ανατολική Μεσόγειο. Το περιστατικό δεν συνιστά μια μεμονωμένη τεχνική ανωμαλίας· εντάσσεται σε ένα ευρύτερο γεωπολιτικό περιβάλλον, όπου ο κυβερνοχώρος λειτουργεί ως βασικό πεδίο άσκησης ασύμμετρης ισχύος.

Η συγκεκριμένη δραστηριότητα εντοπίστηκε την 1η Μαρτίου 2026 από το ιδιόκτητο Global Deception Grid της Audax, ένα δίκτυο προηγμένων honeypots υψηλής αλληλεπίδρασης (high-interaction honeypots) που προσομοιώνουν ρεαλιστικά κρίσιμες υποδομές. Ο επιτιθέμενος δεν προχώρησε σε αδιάκριτη, μαζική σάρωση δικτύων, αλλά επέδειξε σαφή πρόθεση στοχοποίησης ενός συστήματος που μιμήθηκε με ακρίβεια έναν κρίσιμο κόμβο logistics στην Ελλάδα. Το στοιχείο αυτό υποδηλώνει μεθοδικότητα, προπαρασκευαστική έρευνα και πιθανή κρατική υποστήριξη ή εναλλακτικά, δράση Initial Access Brokers με γεωπολιτικά κίνητρα.
Το Γεωστρατηγικό Διακύβευμα της Ανατολικής Μεσογείου

Το Λιμάνι του Πειραιά είναι ένας από τους μεγαλύτερους και στρατηγικότερους ναυτιλιακούς κόμβους της Ευρώπης. Πέραν της εμπορικής του σημασίας, λειτουργεί ως κρίσιμος διάδρομος εφοδιασμού για την Ευρωπαϊκή Ένωση και για επιχειρησιακές ανάγκες του ΝΑΤΟ. Σε περιόδους περιφερειακής αστάθειας στη Μέση Ανατολή, τέτοιοι κόμβοι καθίστανται στόχοι υψηλής προτεραιότητας για κυβερνοκατασκοπεία, χαρτογράφηση εφοδιαστικών ροών και ενδεχόμενη προετοιμασία προϊόντων δολιοφθοράς.

Οι ομάδες Προηγμένων Επίμονων Απειλών (APT) που έχουν αποδοθεί στο Ιράν στο παρελθόν έχουν επιδείξει ιδιαίτερο ενδιαφέρον για ενεργειακές, λιμενικές και βιομηχανικές υποδομές. Στην παρούσα περίπτωση, η στοχοποίηση ενός περιβάλλοντος που προσομοιώνει logistics node στην Ελλάδα υποδηλώνει προσπάθεια χαρτογράφησης εκτεθειμένων διεπαφών διαχείρισης, με πιθανό τελικό στόχο την παραβίαση συστημάτων ERP, container orchestration ή custom API που συνδέονται με τη διαχείριση φορτίων.
Τεχνική Διάσταση της Επίθεσης

Η επίθεση καταγράφηκε ακριβώς στις 02:00:05 UTC και αποδόθηκε σε δίκτυο που εδρεύει στην Τεχεράνη, μέσω του ASN 213790 (Limited Network LTD). Η δραστηριότητα δεν περιορίστηκε σε απλή σάρωση θυρών. Αντιθέτως, παρατηρήθηκε πολυεπίπεδη προσέγγιση, συνδυάζοντας ενεργή εκμετάλλευση, παράκαμψη ανίχνευσης και παράλληλη αναγνώριση.

Ο κύριος δρών στόχευε τις TCP θύρες 9000 και 9001, καθώς και την 4444. Σε εταιρικά και ναυτιλιακά περιβάλλοντα, οι συγκεκριμένες θύρες αναφέρονται συχνά για πλατφόρμες διαχείρισης κοντέινερ (όπως Docker/Portainer), SonarQube ή προσαρμοσμένες διεπαφές διαχείρισης. Η επιλογή τους δεν ήταν τυχαία· πρόκειται για θύρες που, εάν παραμείνουν εκτεθειμένες, προσφέρουν άμεση πρόσβαση σε κρίσιμες λειτουργίες διαχείρισης.

Η επιτιθέμενη υποδομή προχώρησε σε πλήρη TCP 3-way handshake και απέστειλε payload ακριβώς 451 bytes με χρήση του TCP PSH flag. Οι αισθητήρες Deep Packet Inspection της Audax κατέγραψαν ένδειξη app_layer_error, γεγονός που υποδηλώνει ότι το ωφέλιμο φορτίο δεν αντιστοιχούσε σε αναγνώριση HTTP ή TLS κίνηση. Πρόκειται πιθανότατα για obfuscated exploit ή custom binary πρωτόκολλο, σχεδιασμένο να παρακάμπτει παραδοσιακά Web Application Firewalls και μηχανισμούς Layer-7 ανίχνευσης.

Ταυτόχρονα, άλλοι κόμβοι από το ίδιο ASN προέβησαν σε στοχευμένες προσπάθειες εκμετάλλευσης στις θύρες 80 και 443, καθώς και σε bruteforce επιθέσεις στη θύρα 22 (SSH). Η παράλληλη αυτή δραστηριότητα υποδηλώνει αναζήτηση εναλλακτικών διαύλων αρχικής πρόσβασης, σε περίπτωση αποτυχίας του κύριου exploit.

Ιδιαίτερη σημασία έχει το γεγονός ότι το honeypot της Audax λειτούργησε ως “digital twin”, επιστρέφοντας 339 bytes παραπλανητικών δεδομένων και προσομοιώνοντας ευάλωτη υπηρεσία. Η τεχνική αυτή επέτρεψε τη διατήρηση της σύνδεσης και την πλήρη καταγραφή του ψηφιακού αποτυπώματος του επιτιθέμενου, πριν η συνεδρία λήξει λόγω timeout.
Απόδοση Ευθύνης και Σενάρια

Η χρήση IP διευθύνσεων από ιρανικό ASN δεν επαρκεί μόνη της για οριστική ταυτοποίηση συγκεκριμένης κρατικής ομάδας. Ωστόσο, βάσει προτύπων Threat Intelligence, η δραστηριότητα αξιολογείται με υψηλή βεβαιότητα ως ιρανική προέλευση. Η τακτική επιλογή θυρών, η χρήση ασαφούς ωφέλιμου φορτίου και η συντονισμένη παράλληλη αναγνώριση συνάδουν με γνωστά μοτίβα κρατικά υποστηρικτικά προϊόντα.

Δύο βασικά σενάρια προκύπτουν: είτε πρόκειται για δράση Initial Access Brokers που επιδιώκουν τη μετατροπή πρόσβασης σε κρατικούς φορείς, είτε για προπαρασκευαστική κατασκοπευτική επιχείρηση με στόχο τη συλλογή πληροφοριών για ροές εμπορευμάτων και στρατιωτικού ενδιαφέροντος υλικού. Η τελική απόδοση της αντίστροφης μηχανικής του ωφέλιμου φορτίου και πιθανών Command & Control servers.
Επιχειρησιακές Επιπτώσεις

Η στοχοποίηση ναυτιλιακών υποδομών στην Ανατολική Μεσόγειο ενδέχεται να έχει μεγαλύτερες συνέπειες. Μια επιτυχής παραβίαση θα μπορούσε να επιτρέψει:Παρακολούθηση στρατιωτικών ή διπλής χρήσης φορτίων.
Διαταραχή εφοδιαστικών ροών μέσω ransomware ή data wipers.
Δημιουργία συνθηκών πίεσης σε περιόδους κρίσης.

Σε ένα περιβάλλον όπου η φυσική ισχύς συμπληρώνεται από κυβερνοεπιχειρήσεις, η προστασία λιμενικών και συστημάτων logistics αποκτά χαρακτήρα εθνικής ασφάλειας.
Συστάσεις Άμέσης Αντίδρασης

Οι οργανισμοί που δραστηριοποιούνται στη ναυτιλία και την εφοδιαστική αλυσίδα οφείλουν να διασφαλίσουν ότι οι διεπαφές διαχείρισης (ιδίως στις θύρες 9000, 9001 και 4444) δεν είναι εκτεθειμένες στο διαδίκτυο. Η υιοθέτηση αρχιτεκτονικής Zero Trust και η πρόσβαση μέσω ασφαλών VPN με πολυπαραγοντικό έλεγχο ταυτότητας αποτελεί ελάχιστη προϋπόθεση.

Παράλληλα, συνιστά ενεργό απειλή κυνήγι για TCP PSH κίνηση μεγέθους 451 bytes προς μη τυπικές θύρες, ιδίως εάν προέρχεται από δίκτυα που σχετίζονται με το ASN 213790. Σε περιπτώσεις όπου δεν υπάρχει επιχειρησιακή ανάγκη επικοινωνίας με συγκεκριμένα γεωγραφικά δίκτυα, η εφαρμογή geo-blocking ή ASN blocking μπορεί να μειώσει τον κίνδυνο.
Συμπέρασμα

Η «Επιχείρηση Aegean Anchor» δεν αποτελεί απλώς ένα ακόμη περιστατικό σάρωσης ή τυχαίας επίθεσης. Η στοχευμένη επιλογή υποδομών, η χρήση ασαφούς ωφέλιμου φορτίου και η γεωπολιτική συγκυρία υποδεικνύουν συντονισμένη και στρατηγική κατευθυνόμενη δραστηριότητα. Η ναυτιλιακή εφοδιαστική αλυσίδα της Ευρώπης, και ιδιαίτερα οι κόμβοι της Ανατολικής Μεσογείου, βρίσκονται πλέον στο επίκεντρο ενός αόρατου, αλλά εξαιρετικά πραγματικού, πεδίου σύγκρουσης.

Η έγκαιρη ανίχνευση και η συλλογική αντιπαράθεση δεικτών συνιστούν κρίσιμο παράγοντα αποτροπής. Στον σύγχρονο κυβερνοπόλεμο, η διαφορά μεταξύ μιας αποτυχημένης απόπειρας και μιας στρατηγικής κρίσης συχνά κρίνεται σε λίγα bytes δεδομένα — και στην ικανότητα των αμυντικών μηχανισμών να αναγνωρίσουν εγκαίρως.

Πηγή: enoplos.gr