مجموعة جديدة من القراصنة الإيرانيين المرتبطة بالبرامج الضارة المدمرة

على مدى أكثر من خمس سنوات، حافظت إيران على سمعتها باعتبارها واحدة من أكثر الدول العدوانية في الساحة العالمية للقرصنة التي ترعاها الدولة.

وسرقة البيانات من الشركات والشبكات الحكومية في جميع أنحاء العالم، وقصف البنوك الأمريكية مع الهجمات السيبرانية ، ومعظم قاسية من كل وإطلاق موجات متعددة من البرمجيات الخبيثة التي تعطل الكمبيوتر والتي ضربت عشرات الآلاف من أجهزة الكمبيوتر في جميع أنحاء الشرق الأوسط.
ولكن في خضم هذه الفوضى الصاخبة، تمكنت مجموعة إيرانية واحدة من اختراق سلسلة واسعة من الأهداف في جميع أنحاء العالم بهدوء، حتى الآن تهرب من نظر الجمهور. وبينما يبدو أن هذه المجموعة قد علقت على التجسس التقليدي حتى الآن، إلا أنها قد تمهد الطريق للجولة المقبلة من الهجمات المدمرة.
أصدرت شركة الأمن فيريي بحثا جديدا في مجموعة يطلق عليها "التهديد المستمر المتقدم" 33، عزا سلسلة غزيرة من انتهاكات الشركات في صناعة الطيران والدفاع والبتروكيماويات في بلدان واسعة مثل المملكة العربية السعودية وكوريا الجنوبية والولايات المتحدة .
في حين أن فيريي تعقبت عن كثب APT33 منذ مايو من العام الماضي، تعتقد الشركة الأمنية أن المجموعة كانت نشطة منذ عام 2013 على الأقل، مع أدلة دامغة على أنها تعمل نيابة عن الحكومة الإيرانية.
وعلى الرغم من أن فيري يصف أنشطة APT33 التي تركز بشكل كبير على التجسس الخفي، إلا أنها وجدت أيضا صلات بينه وبين قطعة غامضة من البرامج الضارة التي تدمر البيانات والتي كان المحللون الأمنيون في حيرة حولها منذ وقت سابق من هذا العام.
يقول جون هولتكيست، مدير تحليل الاستخبارات في فيريي: "يمكن أن تكون هذه فرصة لنا للاعتراف بدور فاعل بينما لا يزالون يركزون على التجسس الكلاسيكي، قبل أن تصبح مهمتهم أكثر عدوانية".
وهو يقارن APT33 إلى ساندورم، وهي عملية القرصنة فيريي اكتشفت في عام 2014، وتعادل لروسيا، التي بدأت مع التجسس
التجسس ضد الناتو والأوكرانية الأهداف قبل تصاعدها إلى هجمات مسح البيانات في عام 2015 وأخيرا هجومين التخريب ضد شبكة الكهرباء الأوكرانية. واضاف "لقد رأينا هذه القوات تستخدم أدوات مدمرة لم تستخدمها، ونحن ننظر الى فريق يمكن ان تتغير مهمته الى الاضطراب والدمار بين عشية وضحاها".
وتقول فيري إنها واجهت علامات APT33 في ستة من شبكات العملاء الخاصة بها، ولكن المشتبه بهم اقتحام أوسع بكثير.
وفي الوقت الراهن، تقول إن هجمات المجموعة ركزت على المصالح الإقليمية لإيران. حتى الأهداف في الولايات المتحدة وكوريا، على سبيل المثال، تضم شركات مع علاقات الشرق الأوسط، على الرغم من أن فيريي يرفض تسمية أي أهداف محددة. يقول هولتكيست: "إنهم يضربون الشركات التي يقع مقرها في جميع أنحاء العالم. واضاف "لكنهم يجتاحون هذا النشاط لانهم يعملون في الخليج".
بذور التدمير
وبعيدا عن التجسس الاقتصادي، فقد اكتشفت فيريي إصابات شبكات الضحايا بقطعة محددة من البرامج الضارة "دروبر"، وهي عبارة عن برنامج مصمم لتقديم حمولة واحدة أو عدة برامج ضارة أخرى، والتي تدعيها شركة الأمن دروبشوت.
وكان هذا القطارة في بعض الحالات تثبيت سلاح البرمجيات الخبيثة آخر، والذي دعا فيريي شيفشيفت، تهدف إلى مسح أجهزة الكمبيوتر الهدف عن طريق الكتابة على كل جزء من القرص الصلب للكمبيوتر مع الأصفار.
في حين لم تجد فيريي أن البرمجيات الخبيثة المدمرة في الشبكات حيث حددت قراصنة APT33، فإنه لم يجد نفس بالقطارة المستخدمة في التسلل APT33 لتثبيت قطعة من البرنامج مستتر يسمى تورنيدوب. كما أنه لم يسبق له مثيل قطارة دروبشوت المستخدمة من قبل مجموعة القراصنة متميزة أخرى، أو توزيعها علنا.
إن الفكرة القائلة بأن القراصنة الإيرانيين قد يستعدون لجولة أخرى من الهجمات المدمرة لن تكون مجرد انقطاع عن الشكل.
في عام 2012، استخدم القراصنة المرتبطون بإيران الذين يطلقون على أنفسهم اسم "قطع سيف العدل" قطعة من البرمجيات الخبيثة "ممسحة" مماثلة المعروفة باسم شامون للكتابة فوق محركات الأقراص الصلبة من 30،000 أجهزة الكمبيوتر في النفط السعودي أرامكو السعودية مع صورة العلم الأمريكي حرق. وفي العام نفسه، اعترفت جماعة تطلق على نفسها اسم مقاتلي "القسام" السيبرانيين على سلسلة من الهجمات الموزعة على مواقع مصرفية أمريكية تعرف باسم "عملية عبابيل"، وهو ما يقال إنه انتقام من شريط فيديو يوتوب المناهض للمسلمين " براءة المسلمين ".
هذه الهجمات، أيضا، كانت مثبتة في نهاية المطاف على إيران. وفي العام الماضي، اندلعت جولة أخرى من هجمات شامون في الشرق الأوسط، مما أدى إلى تدمير الآلاف من الآلات، وهذه المرة كانت تكتب فيها محركات الأقراص مع صورة جثة لاجئ سوري عمره 3 سنوات غرق في البحر الأبيض المتوسط.
شركة الأمن كاسبيرسكي رصدت لأول مرة شيبشيفت مارس من هذا العام ، واصفا إياه ستوندريل. وأشار كاسبيرسكي إلى أنه يشبه شامون، ولكن مع المزيد من التقنيات المصممة للتهرب من آليات الأمن، مثل "رمل" الحماية التي تحد من وصول تطبيق معين إلى بقية الكمبيوتر الهدف.
كتب كاسبيرسكي في ذلك الوقت أن واحدا من الهدفين اللذين وجدوا أن البرمجيات الخبيثة ستوندريل كانت أوروبية، في حين أن هجمات شمون كانت محصورة في الشرق الأوسط. "لماذا هذا القلق؟" طلب من مؤسس كاسبيرسكي يوجين كاسبيرسكي في مشاركة مدونة حول الاكتشاف .
"لأن هذه النتيجة تشير إلى أن بعض الجهات الخبيثة المسلحة مع الأدوات السيبرانية المدمرة واختبار المياه في المناطق التي كانت نادرا ما المهتمين سابقا من هذا النوع.
كما قامت شركة أمن البنية التحتية الحرجة دراغوس بتتبع APT33، وفقا لمؤسس الشركة روبرت م. لي، ووجدت أن المجموعة ركزت معظم اهتمامها على صناعة البتروكيماويات. نتائج دراغوس "
النسخ الاحتياطي تحذير فيريي أن المجموعة يبدو أن بذر العدوى للهجمات المدمرة. "هذا هو التجسس الاقتصادي مع القدرة المضافة لتكون مدمرة، ولكن ليس لدينا أي سبب للتفكير أنها قد ذهبت مدمرة بعد"، ويقول لي.
ويلاحظ أنه على الرغم من التركيز الصناعي للقراصنة، فإنها لم مصممة برامجها الخبيثة لأنظمة التحكم الصناعية.
وتعميم أنظمة التشغيل الكمبيوتر فقط. واضاف "ان ذلك لم يمنع القراصنة الايرانيين من القيام باضرار جسيمة الى ارامكو السعودية"
إن أدلة فيريي التي تربط APT33 مع إيران تتجاوز مجرد أوجه التشابه بين شيبشيفت والبرمجيات الخبيثة المدمرة في إيران، شامون.
كما وجدت آثار وفيرة من اللغة الإيرانية الوطنية الفارسية في شيبشيفت، وكذلك في قطارة دروبشوت تستخدم لتثبيته.
وبتحليل الساعات النشطة من مجموعة القراصنة، وجدوا أنها كانت مركزة بشكل كبير خلال ساعات عمل طهران، وتوقفت تماما تقريبا خلال عطلة نهاية الأسبوع الإيرانية يومي الخميس والجمعة.
أدوات القرصنة الأخرى للمجموعة هي تلك التي يستخدمها القراصنة الإيرانيون، كما يقول فيريي. وكان أحد القراصنة الذي كان اسمه المستعار "xman_1365_x"، مدرجا في أداة مستتر تورنيدوب مرتبطا بمعهد نصر الإيراني، وهو منظمة يشتبه في أنها تهتز الحكومة الإيرانية.
وقد بدأت هجمات APT33 في كثير من الحالات مع الرمح الرمح رسائل البريد الإلكتروني التي الطعم المستهدفة مع عروض العمل. يصف فيريي البولندية العامة وتفاصيل تلك الرسائل وصولا إلى طباعة دقيقة لبياناتهم "تكافؤ الفرص".
ولكن الشركة تلاحظ أيضا أن المجموعة في نقطة واحدة أطلقت بطريق الخطأ من رسائل البريد الإلكتروني دون تغيير الإعدادات الافتراضية لأداة البرمجيات التصيد، كاملة مع سطر الموضوع "موقعك اختراق من قبل لي" - نادرة لمرة واحدة، خطأ قذرة ل مجموعة القرصنة الدولة غزيرة على استعداد لضربة
وحتى في الوقت الذي تسبب فيه قراصنة إيران في فوضى لجيرانها، فإن البلاد لم ترتبط بأي هجمات قراصنة رفيعة المستوى ضد الولايات المتحدة منذ عام 2012، وربما يرجع ذلك جزئيا إلى اتفاق إدارة أوباما لعام 2015 مع طهران لإنهاء برنامجها النووي .
الا ان الرئيس الاميركي ترامب تحدث امس الثلاثاء امام الجمعية العامة للامم المتحدة متهما الحكومة الايرانية بمتابعة "الموت والدمار" ووصف اتفاق اوباما مع طهران بانه "حرج".
على الرغم من أن APT33 يركز على لحظة التجسس الإقليمي، إلا أنه ينفذ أيضا "استطلاع للهجوم"، ويقول هولتكيست فيريي. "مع تحول جيوسياسي مفاجئ، يمكن أن يتغير هذا السلوك".
إذا كان يفعل ذلك، قد يكون للمجموعة بالفعل قنابل البرمجيات الخبيثة زرعت في جميع أنحاء العالم، وعلى استعداد لتفجير.