هدف، هک؛ فعالیت سایبری جمهوری اسلامی در ۶ ماه نخست امسال

در قسمت اول این گزارش، به دلایل ایدئولوژیک و استراتژیک جمهوری اسلامی برای راه‌​اندازی گروه‌​های هکری و حمله به کشورهای رقیب و دشمن پرداختیم و از سوابق و عملکرد گروه​‌های هکری «بچه​ گربه​‌های سیامی» (Siamesekitten)، «ترتس​شل» (Tortoiseshell)، «بچه گربه جذاب» (Charming Kitten) و «آگریوس» (Agrius) نوشتیم. در این قسمت، در خصوص نام، سوابق و عملکرد دیگر گروه‌​های هکری فعال جمهوری اسلامی در شش ماه نخست سال ۲۰۲۱ بحث خواهد شد. 

***

گروه هکری اویل‌​ریگ 

«اویل​‌ریگ» (OilRig) از جمله گروه‌​های هکری وابسته به جمهوری اسلامی است که مدتی از فعالیت​‌های خود کاسته بود. اما اوایل آوریل ۲۰۲۱، شرکت امنیت سایبری «چک‌​پوینت» (Checkpoin) گزارشی از یک دوره از حملات سایبری این گروه منتشر کرد که علیه اهدافی در کشور لبنان انجام شده بود.
چک‌​پوینت که نام این عملیات را «سایدتويیست» (SideTwist) نامیده، گفته است که هکرهای اویل​ریگ این بار با استفاده از تکنیک «در پشتی» (Backdoor) و ماکروهای مخرب جاسازی شده در محصولات «مایکروسافت»، تلاش کرده‌​اند ماندگاری خود را در کامپیوترهای قربانیان تثبیت و از آن‌ها جاسوسی کنند. 

مشابه این نوع حمله‌​های سایبری نیز در ماه‌​های ابتدایی سال جاری میلادی توسط شرکت چک‌​پوینت و گروه مطالعاتی «سیف‌بریچ» (Safebreach) گزارش شد. 

چک‌​پوینت و سیف‌بریچ در این گزارش با اشاره به نحوه به خدمت گرفتن هکرها و بهره‌​گیری از روش‌​ها​ و فناوری‌​های مدرن برای رصد تحرکات سایبری شهروندان ایرانی و مخالفان حکومت در داخل و خارج توسط جمهوری اسلامی، گفته‌​اند با رصد​های خود، بار دیگر بدافزار​های قدیمی «Tonnerre» ،«Foudre» و «اینفای» (Infy) که مدتی از آن‌ها بی‌خبر بودند را کشف کرده‌​اند. 

این سه بدافزار هر کدام در خلال حملات سایبری، وظیفه‌​ای را برعهده داشته و یکی پس از دیگری، فرایند نفوذ، آلودگی، سرقت اطلاعات و حذف ردپاها را انجام می‌داده‌اند؛ به عنوان مثال، اینفای وظیفه حمل و اجرای کد​های مخرب ماکرو را برعهده دارد. وظیفه پایداری حمله، کنترل و حذف اطلاعات بر عهده Tonnerre و هم‌چنین برقراری ارتباط هکرها با کامپیوتر قربانی با استفاده از سرورهای «HTTP»، «C2» و «FTP» بر عهده Foudre است. 

هم‌زمان با گزارش چک‌​پوینت و سیف‌بریچ، شرکت امنیتی «بیت‌دیفندر» (Bitdefender)، ارایه ​کننده آنتی‌​ویروس شناخته‌​ شده بیت‌​دیفندر نیز با همکاری برنامه رادیویی «آرگوس» (Argos) در «رادیو هلند»، گزارشی در خصوص نحوه عملکرد این سه بدافزار منتشر کرده و گفته است که چه‌طور جمهوری اسلامی با استفاده از این بدافزارها، به جاسوسی از مخالفان خود در سراسر دنیا می‌​پردازد. 

بیت‌دیفندر در گزارش خود تاکید کرده که رژیم ایران بدافزار Foudre را به شکل ویژه‌​ای توسعه داده و الگوریتم‌​ها، دامنه‌​ها و سرورهای مرتبط با امضاهای دیجیتال آن را به روز رسانی کرده و نام برخی از بخش‌​های آن، از جمله رشته‌​های «keylogging» آن را تغییر داده است تا شناسایی این بدافزار سخت‌تر شود. 

عملکرد گروه هکری اویل‌​ریگ را می‌​توان در جدول زیر خلاصه کرد:

اهداف:	سازمان‌​های دولتی موسسه‌های مالی و خدمات عمومی بخش‌​های انرژی مخابرات، نفت و گاز عمدتاً در خاورمیانه (به‌​ویژه لبنان و امارات)
تاکتیک، تکنیک و روش:	استفاده از اسناد مرتبط با فرصت‌​های شغلی برای  فریب و تزریق بدافزار استفاده گسترده از شبکه‌​های اجتماعی برای ارتباط با قربانی استخراج «DNS» با استفاده از هر دو ابزار نرم‌افزاری منبع باز استفاده گسترده از تونل DNS برای فرمان و کنترل C2 C2 مبتنی بر ایمیل با استفاده از سرویس​‌های وب «Exchange» و «steganography» برای درج داده​‌ها و دستورات در فایل‌​های تصویری پیوست شده به ایمیل​‌ها برداشت اعتبار و استفاده از حساب‌های در معرض خطر
نام‌​ها و عناوین:	APT34 GreenBug Helix Kitten IRN2 ITG13

مادی​​‌​واتر 

جرایم سایبری گروه هکری «مادی‌​​​واتر» (Muddywater) نیز از جمله فعالیت​‌های برجسته هکرهای وابسته به جمهوری اسلامی در نیمه اول سال ۲۰۲۱ بود. این گروه ابتدا در سال ۲۰۱۷، در پی حمله به برخی تاسیسات مخابراتی در خاورمیانه شناسایی شد. حملات سال ۲۰۱۸ و ۲۰۱۹ این گروه به برخی اهداف در آسیای مرکزی و اروپا نشان داد که هدف اصلی این گروه، جاسوسی و گردآوری اطلاعات است. 

در ماه آوریل سال گذشته میلادی، محققان امنیت سایبری کمپینی از مادی​‌​​واتر موسوم به «سراب تابستانی» کشف کردند که با تولید و ارایه محتوای مخرب از طریق ایمیل، اهدافی را در حوزه نفت و گاز کشور​های مختلف هدف قرار می‌​داد. 

ویژگی این کمپین، استفاده از یکی از تروجان‌​های مخرب شناخته شده به نام «POWERSTATS PowerShell» بود. این تروجان که پیش‌تر ارتباطش با گروه مادی‌​​​واتر به اثبات رسیده است، از جمله بدافزارهایی است که از طریق ایجاد مسیر نفوذ، موسوم به در پشتی، به هکرها کمک می‌​کند تا تسلط کامپیوتر قربانی را در دست بگیرند. 

در اکتبر سال ۲۰۲۰ نیز محققان شرکت امنیت سایبری «کلیر اسکای» (ClearSky) کمپین دیگری را از این گروه شناسایی کردند که هدف اصلی آن، شرکت‌​ها و سازمان​‌های اسرائیلی بود. هکرها در این کمپین از بدافزاری به نام «PowGoop» استفاده می​‌کردند که مدتی قبل از آن، در حملات باج‌​افزاری یک گروه هکری ناشناس، موسوم به باج‌​افزار «Thanos Ransomware»، به اهدافی در خاورمیانه استفاده شده بود. 

مادی​‌​​واتر مارچ امسال با نام جدید «بچه گربه استاتیک»، در کمپین فیشینگ دیگری به نام «Earth Vetala»، به مراکز دولتی، گردش‌گری و دانشگاهی و هم‌چنین زیرساخت​‌های تولید برق و آب آشامیدنی  کشورهای مختلفی، از جمله اسرائیل، عربستان سعودی، امارات متحده عربی، بحرین و آذربایجان حمله کرد. برخی شرکت‌​های سایبری، حمله سایبری سال جاری میلادی به شرکت ​بیمه «شیربیت» در اسرائیل را به این گروه نسبت می‌​دهند.  

عملکرد گروه هکری مادی‌​​​واتر را می‌​توان در جدول زیر خلاصه کرد:

اهداف:	صنایع مخاربراتی فناوری اطلاعات نفت و گاز سازمان‌های غیردولتی، گردش‌گری و دانشگاه‌ها به طور خاص در خاورمیانه و نهادهای مختلف امریکایی
تاکتیک، تکنیک و روش:	استفاده از حمله فیشینگ به عنوان روش اصلی استفاده ابزار و شیوه PowerShell backdoor و POWERSTATS  استفاده گسترده از ابزار و امکانات مخزن «GitHub» استفاده از سرویس اشتراک فایل «Onehub» و برای ارسال و توزیع بدافزار
نام​‌ها و عناوین:	Seedworm TEMP.Zagros Static Kitten

گروه هکری این​فای

آغاز فعالیت‌​های گروه هکری «این​فای» (Infy) به سال ۲۰۱۴ و تلاش برای هدف قرار دادن جامعه مدنی و فعالان سیاسی درگیر در رقابت‌​های انتخاباتی ایران باز می‌​گردد. این گروه هکری نیز یکی از زیرمجموعه​‌های «ای‌پی‌تی» (APT)، وابسته به رژیم ایران است که با تمرکز بر نهاد​های دولتی، جامعه مدنی و مطبوعاتی فعالیت می​‌کند. اقدامات این گروه را می‌​توان در حوزه «جنگ نرم» دسته‌بندی کرد که یکی از سیاست​‌های اصلی جمهوری اسلامی در سال‌​های اخیر است. این گروه هکری نیز مانند گروه اویل‌​ریگ، استفاده از بدافزار Foudre را در کارنامه خود دارد. 

این​فای این بدافزار را ابتدا در سال ۲۰۱۷ به کار گرفت که در نهایت توسط «واحد ۴۲ شبکه پالو آلتو» (Palo Alto Networks’ Unit 42) کشف و خنثی شد. 

این گروه پس از سرکوب‌​های مکرر جامعه مدنی ایران و فروکش کردن فعالیت‌​ها، مدتی ناپدید شد اما اندکی بعد با تمرکز بر اهدافی در خارج از ایران و رفع ایراد​های فنی خود و ابزارهایش، به فضای مجازی بازگشت. از جمله جرایم سایبری این گروه در خارج از مرزهای ایران، حملات فیشینگ موسوم به «پری دریایی» به وزارت امور خارجه دانمارک در سال ۲۰۱۶ میلادی بود. 

به اعتقاد کارشناسان، عملیات پری دریایی احتمالا شش سال به طول انجامیده بود و در آن هکرها تلاش کرده‌ بودند از قربانیان جاسوسی و داده​‌های آن‌ها را استخراج کنند. 

در سال ۲۰۲۰، نسخه‌های تکامل یافته​‌تری از بدافزار Foudre توسط شرکت​‌های امنیتی کشف شدند که نشان از تداوم تلاش هکرها برای بهینه​‌سازی ابزارها و شیوه​‌های آن‌ها داشتند. 

گروه این​فای در این سال​‌ها اهداف متعددی را در سوئد، هلند، ایالات متحده، عراق، هند و دیگر نقاط جهان مورد هدف قرار داده است. 

عملکرد گروه هکری این​فای را می‌​توان در جدول زیر خلاصه کرد:

اهداف:	جامعه مدنی فعالان و دگراندیشان مطبوعات ایران نهادهای دولتی و شرکت‌های خصوصی در چندین منطقه، از جمله کشورهایی در سراسر امریکای شمالی، اروپا و خاورمیانه
تاکتیک، تکنیک و روش:	استفاده از حمله فیشینگ به عنوان روش اصلی استفاده از بدافزار Keylogger و سیستم ارتباطی Failover C2 استفاده از الگوریتم تایید امضای «RSA» برای بررسی صحت دامنه C2 تله​‌گذاری و استفاده از وب‌سایت​‌ها و سرویس‌​های قانونی و مشروع برای انتقال بدافزار به قربانی
نام‌​ها و عناوین:	Operation Mermaid Foudre AKA Prince of Persia

گروه هکری چافر 

اولین نشانه​‌ها از فعالیت گروه هکری «چافر» (Chafer)، در حدود سال​‌های ۲۰۱۴ و  ۲۰۱۵ دیده شد. فعالیت‌​های این گروه هکری وابسته به «APT39» در سال ۲۰۱۷ با تمرکز بر اهدافی در خاورمیانه و ایالات متحده به اوج رسید. رصد فعالیت‌​های این گروه نشان می‌​دهد که هدف اصلی آن، تامین منافع جمهوری اسلامی و گردآوری اطلاعات و داده​‌های ژئوپلیتیک است که به رژیم حاکم بر ایران برای تصمیم‌​گیری بهتر کمک می‌​کند. 

چافر در ابتدا  کار خود را با حملات موسوم به «تزریق به دیتا​بیس» (SQL injection) آغاز کرد. سپس حملات فیشینگ از طریق ارسال فایل‌​های آلوده «اکسل» به ایمیل قربانیان را در دستور کار خود قرار داد. 

محققان امنیتی شواهد متعددی یافته​‌اند که نشان از هم‌پوشانی بالقوه فعالیت‌​های این گروه با گروه هکری اویل‌ریگ دارد؛ نظر آی‌پی‌های مشترک و استفاده از شیوه C2 برای ارتباط با دستگاه هدف. سال ۲۰۲۰، شرکت امنیتی بیت‌​دیفندر، سازنده آنتی ویروس بیت‌دیفندر گزارشی از رصد فعالیت‌​های گروه چافر منتشر کرد که در آن به تشریح حملات این گروه به صنعت حمل ​ونقل هوایی و نهادهای دولتی در عربستان سعودی و کویت در خلال سال‌​های ۲۰۱۸ تا ۲۰۱۹ پرداخته شده بود. 

سپتامبر۲۰۲۰، وزارت خزانه​‌داری امریکا تحریم​‌هایی را علیه گروه هکری چافر و ۴۵ تن از کارکنان «شرکت رایانش هوشمند رانا» اعمال کرد. این افراد به دلیل عملیات‌​های مکرر سایبری علیه مخالفان ایرانی، روزنامه‌​نگاران و شرکت​‌های بین‌المللی و غیره، در لیست تحریم​‌های ایالات متحده قرار گرفتند. هم‌زمان، پلیس فدرال امریکا (FBI) نیز در گزارشی هشداردهنده، به تشریح فعالیت‌​های مخرب گروه چافر پرداخت. 

عملکرد گروه هکری چافر را می‌​توان در جدول زیر خلاصه کرد:

اهداف:	بخش‌​های مخابرات هوانوردی فناوری اطلاعات  شرکت‌​های مسافرتی نهادهای دولتی در چندین منطقه با تمرکز بر خاورمیانه
تاکتیک، تکنیک و روش:	استفاده از حمله فیشینگ به عنوان روش اصلی حملات تزریق به دیتا​بیس (SQL injection) استفاده از بدافزار اختصاصی «رمکسی» (Remexi) بهره‌برداری از وب‌سرورهای آسیب‌پذیر نصب پوسته‌​های «ASPXSPY» و «ANTAK» سرقت اعتبارنامه‌​ها برای «OWA» (Outlook Web Access)
نام‌​ها و عناوین:	(APT39) (Remix Kitten)

گروه هکری بچه​‌گربه​‌های پیشرو

گروه هکری «بچه​‌گربه​‌های پیشرو» (Pioneer Kitten)، یکی دیگر از گروه‌​های وابسته به «APT39»، در پی گردآوری اطلاعات مورد علاقه جمهوری اسلامی است. 

این گروه به شیوه​ای فرصت​‌طلبانه عمل می کند و با استفاده از ضعف‌​های امنیتی، تا کنون اهداف متعددی در حوزه  فناوری، دفاعی، بهداشت، هوانوردی، مالی و مخابراتی در امریکای شمالی و اسرائیل را هدف قرار داده است. 

بچه​‌گربه​‌های پیشرو در بازه زمانی ۲۰۱۹ تا ۲۰۲۰، به صورت خزنده ضعف‌​های امنیتی سرویس‌​های محبوبی هم‌چون (Pulse Secure)، (Fortinet)، (GlobalProtect Palo Alto) را یافته و از آن برای نفوذ به کامپیوترها و شبکه​‌های اهداف خود بهره برده است. شرکت امنیتی کلیراسکای در گزارشی به نحوه عملکرد این گروه پرداخته و گفته است که به احتمال زیاد بچه​‌گربه​‌های پیشرو از سال ۲۰۱۷ تاکنون در حال فعالیت بوده‌اند. 

محققان امنیتی در خصوص این گروه نیز اسنادی یافته‌اند که نشان از هم‌پوشانی بالقوه عملکرد آن‌ها با دیگر گروه‌​های هکری ایرانی، هم‌چون «الفین» (Elfin)،  «فاکس کیتن» (Fox Kitten) و اویل‌ریگ (OilRig) دارد. 

در سال ۲۰۲۰ میلادی، پلیس فدرال امریکا در هشداری به سوء استفاده این گروه از ضعف​‌های امنیتی موجود در محصولات شرکت «F5 Networks Inc» پرداخته و نحوه حمله و نفوذ هکرها را تشریح کرده بود.

عملکرد گروه هکری بچه​‌گربه​‌های پیشرو را می‌​توان در جدول زیر خلاصه کرد:

اهداف:	بخش‌های فناوری اطلاعات مخابرات، بهداشت و درمان مالی رسانه نفت و گاز هوانوردی دولت و بخش‌های امنیتی در خاورمیانه و ایالات متحده
تاکتیک، تکنیک و روش:	بهره‌برداری از «وی‌پی‌ان» (VPN) و سایر ابزار شبکه  استفاده از تونل «اس‌اس‌اچ» (SSH) برای تسهیل دسترسی  «پروتکل دسکتاپ از راه دور» (RDP) به قربانیان  استفاده از بدافزار اختصاصی رمکسی استفاده از ابزارهای نرم‌افزاری بومی سفارشی، منبع باز و قانونی  فروش اطلاعات سیستم‌ها و شبکه‌های در معرض خطر در انجمن‌های زیرزمینی
نام​ها و عناوین:	Fox Kitten UNC757 PARISIT

نتیجه​‌گیری

جمهوری اسلامی هیچ گاه مسوولیت حمله​‌‌های سایبری انجام شده توسط هکرهای تحت فرمان خود را نپذیرفته و آن‌ها را شایعه و یا توطئه «دشمن» برای «سیاه‌​نمایی» چهره جمهوری اسلامی خوانده است. اما رصد و گزارش​‌های مجموعه‌​ای از محققان و شرکت​‌های امنیت سایبری معتبر جهان، نقش​ پشت پرده هکرهای مستقر در ایران را در بسیاری از جرایم سایبری تایید و اثبات کرده است. این فعالیت‌​های مخرب سایبری در سال​‌های اخیر و پس از تاکید رهبر جمهوری اسلامی مبنی بر لزوم بالا بردن توانمندی در حوزه سایبری، بیش از پیش افزایش یافته است. 

توانمندی‌​های سایبری جمهوری اسلامی با کمک گرفتن از چین و روسیه هر روز پیچیده و به روزتر شده و به قدرت تهاجمی آن افزوده می‌​شود. این رشد روز افزون، در کنار ایدئولوژی جمهوری اسلامی برای صدور انقلاب اسلامی به دیگر کشورها و ایدئولوژی مهدویت (زمینه‌سازی تسلط امام دوازدهم شیعیان بر دیگر کشورها برای برپایی یک حکومت جهانی)، زنگ خطری است برای جوامع متمدن که اساس تعامل و تقابل‌​شان با مشکلات این‌چنینی، اخلاق و قوانین حقوقی بین‌​المللی است. 

در آن سو نیز کسب و کارهای مختلف در سراسر جهان که به دلایل مختلف تولید کننده و یا نگه‌دارنده محصولات، اطلاعات و یا سرمایه​‌های معنوی هستند که مورد علاقه رژیم حاکم بر ایران است نیز باید مقوله امنیت سایبری را بیش از پیش جدی بگیرند و خود را برای هرگونه تهاجم غیراخلاقی مجازی به زیرساخت​‌ها و یا داشته​‌های معنوی امانی و یا متعلق به خود آمده کنند. 

جهان مجازی، دنیای بی‌انتها و بدون مرزی است که امروزه هیچ قانون مدون و توان​مندی بر آن حاکم نیست. از این رو باید به شکلی عمل کرد که فرصتی برای جولان مجرمان و اوباش سایبری نباشد.