دستگاه‌های امنیتی بریتانیا، آمریکا و هلند در یک هشدار مشترک از یک بدافزار جاسوسی جدید به نام CHOSEN BRICK رونمایی کرده‌اند که دستگاه‌های اطلاعاتی جمهوری اسلامی از آن برای جلب اعتماد، نفوذ و جاسوسی گسترده از روزنامه‌نگاران، فعالان سیاسی و مخالفان حکومت در خارج از کشور استفاده می‌کنند.

افشای اطلاعات حاصل از این کارزار در وب‌سایت‌های افشاگر حامی حکومت ایران، خطر نفوذ دیجیتال را به تهدیدات جانی و فیزیکی در دنیای واقعی تبدیل کرده است.

ماجرا: نهادهای امنیتی NCSC بریتانیا، اف‌بی‌آی آمریکا و سرویس اطلاعات و امنیت عمومی هلند این بدافزار تحت سیستم‌عامل ویندوز را به وزارت اطلاعات جمهوری اسلامی منتسب کرده‌اند. این کارزار دست‌کم از پاییز ۲۰۲۳ فعال بوده و هدف اصلی آن ردگیری، ثبت مکالمات و نظارت بر فعالان مدنی در بریتانیا، آمریکا، هلند و سایر کشورها است.

اف‌بی‌آی این بدافزار را با نام HEAVYGRAM نیز ردگیری می‌کند.

سازوکار: مهاجمان به‌جای ارسال ایمیل‌های ناشناس، ابتدا در پلتفرم‌های واتس‌اپ و تلگرام با هویت جعلی یا جعل هویت آشنایان قربانی، رابطه و اعتماد ایجاد می‌کنند.

فایل‌های آلوده در قالب برنامه‌های کاربردی مثل تلگرام، آنتی‌ویروس نورتون یا ابزارهای هوش مصنوعی مانند Pictory و RunwayML ارسال می‌شوند. در مواردی نادر و هدفمند، فایل‌های مخرب در پوشش نتایج آزمایش‌های پزشکی و اسکن ام‌آرآی برای قربانی فرستاده شده‌اند.

ردپای ایران: اطلاعات ربوده‌شده از قربانیان این بدافزار متعاقبا در وب‌سایت‌های افشاگر و کانال‌های سایبری حامی حکومت انتشار یافته است. نهادهای امنیتی غربی هشدار داده‌اند که این داده‌ربایی‌ها بخشی از زنجیره‌ای است که در مواردی به طرح‌های ربایش یا ترور مخالفان در خارج از کشور متصل می‌شود.

جاسوس‌افزار CHOSEN BRICK پس از اجرا، کنترل کاملی از دستگاه به مهاجم می‌دهد. هکرها پس از کنترل دستگاه به موارد زیر دسترسی پیدا می‌کنند:

• دسترسی به پیام‌های تلگرام و واتس‌اپ، ایمیل‌ها، تصویر صفحه نمایش و ضبط صدای محیط از طریق میکروفون.
• استفاده از بات‌های مجزای تلگرام برای هر قربانی به‌منظور پنهان‌سازی زیرساخت فرماندهی و کنترل.
• دور زدن آنتی‌ویروس مایکروسافت و ایجاد مسیرهای جعلی برای دور زدن قواعد امنیتی ویندوز.

اگر نفوذ به سیستم کاری یا سازمانی قربانی ناموفق باشد، مهاجمان بلافاصله تلاش می‌کنند کاربر را متقاعد کنند فایل را روی رایانه یا تلفن همراه شخصی خود باز کند. اکثر نهادها تنها از رایانه‌های سازمانی محافظت می‌کنند، در حالی که دستگاه‌های شخصی افراد متصل به شبکه فاقد این لایه‌های امنیتی هستند.

دیدگاه سرتفا: ارزیابی ما نشان می‌دهد جاسوس‌افزار مورد اشاره تکامل خط‌مشی سنتی مهندسی اجتماعی وزارت اطلاعات است که این‌بار با زیرساخت بات‌های تلگرام و پوشش‌های کاملا سفارشی‌سازی‌شده ترکیب شده است. خطرات این بدافزار از یک رخنه اطلاعاتی ساده فراتر رفته و مستقیما امنیت جانی روزنامه‌نگاران و فعالان را هدف می‌گیرد. توصیه اکید ما به روزنامه‌نگاران و کنشگران ایرانی این است که از دریافت هرگونه فایل اجرایی یا سند در پیام‌رسان‌ها (حتی از سوی مخاطبان آشنا) بدون تایید هویت آنها از یک کانال ارتباطی مجزا و مستقل، خودداری کنند.

شرکت آنتروپیک سه حساب کاربری وابسته به حکومت ایران را که با سوءاستفاده از مدل هوش مصنوعی کلود (Claude) در حال پیش‌بردن کارزارهای جنگ سایبری و نفوذ اطلاعاتی بودند، شناسایی و مسدود کرد. این اپراتورها که زیر نظر نهادهای رسمی تبلیغاتی و اطلاعاتی ایران فعالیت می‌کردند، از کلود به‌عنوان زیرساخت اصلی مدیریتی برای تولید انبوه محتوا، سندسازی سازمانی و پنهان‌سازی ردپای حکومت در شبکه توزیع خود استفاده می‌کردند.

ماجرا: گروه تهدید GTG-34001 سه حساب کاربری را برای پیشبرد طرح موسوم به «جهاد تبیین» یا جنگ نرم به‌کار گرفته بود. پژوهشگران آنتروپیک این فعالیت‌ها را به سه نهاد مشخص دولتی و امنیتی ایران متصل کرده‌اند:

• سازمان فرهنگ و ارتباطات اسلامی: وابسته به وزارت فرهنگ و ارشاد اسلامی که از هوش مصنوعی برای تنظیم اسناد برنامه‌ریزی بین‌المللی و حتی تدوین طرح‌های سازمانی مراسم تشییع علی خامنه‌ای، رهبر پیشین جمهوری اسلامی استفاده می‌کرد.
• دفتر تبلیغات اسلامی خراسان رضوی: مدیریت یک اتاق فرمان جنگ شناختی در حوزه علمیه مشهد که کدهای پروژه «منجنیق» (تولید انبوه محتوا توسط ده‌ها فعال و توزیع آن در بیش از ۱۰۰ کانال ایرانی) را پیش می‌برد.
• دیدبان فرهنگی بینا: وابسته به سازمان تبلیغات اسلامی که مدیر آن بیانیه‌های رسمی به زبان سخنگوی سپاه پاسداران تولید می‌کرد.

این گروه از کلود به‌عنوان یک پلتفرم اداری و عملیاتی بهره می‌برد تا وظایف یک تیم برنامه‌ریزی کامل را شبیه‌سازی کند:

• تولید اسناد راهبردی: ساخت راهنماهای عملیاتی، پرسونا یا سیستم‌های شخصیت‌سازی، پروتکل‌های هشدار سریع و زمان‌بندی انتشار محتوا.
• ساخت بولتن‌های اطلاعاتی: تبدیل دست‌اول بولتن‌های امنیتی به محتوای تبلیغاتی به زبان‌های فارسی، عربی، اردو، مالایی، اسپانیایی و انگلیسی (با هدف‌گذاری ۲۰ زبان).
• تطهیر منبع (Attribution Laundering): ساخت دست‌کاری‌شده کدهای محتوایی، هشتگ‌های ساختگی و مقالاتی که وانمود می‌کردند از سوی روزنامه‌نگاران خارجی یا شهروندان عادی تولید شده‌اند.

در عمل: این شبکه در جریان جنگ اخیر آمریکا، اسرائیل و جمهوری اسلامی برای معتبر جلوه دادن ادعاهای خود، تحلیلهای ساختگی و مواضع ادعایی را به اندیشکده‌های برجسته غربی مانند CSIS، Brookings و RAND نسبت می‌داد. همچنین پروپاگاندای تندی علیه جامعه بهائیان تولید شده و پایگاه‌های داده‌ای از چهره‌های اپوزیسیون و مقامات بین‌المللی جمع‌آوری شده بود.

با وجود ممنوعیت دسترسی به کلود از داخل ایران و استفاده مهاجمان از وی‌پی‌ان و شماره‌های خارجی، عوامل این شبکه در گفتگوهای خود با مدل، بارها به موقعیت مکانی، ارگان متبوع و نقش‌های خود اشاره کرده‌اند. علاوه بر این، پاورقی اسناد تولید شده حاوی نشان‌های رسمی نهادهای ایرانی بود.

شبکه توزیع: محتوای تولید شده از طریق پلتفرم‌های داخلی مانند ایتا، بله و روبیکا و همچنین پلتفرم‌های خارجی از جمله شبکه اجتماعی ایکس، اینستاگرام، تلگرام، تیک‌تاک و یوتیوب پخش می‌شد.

دیدگاه سرتفا: تمرکز گروه GTG-34001 بر ابزارسازی از مدل‌های زبانی مانند کلود، نشان می‌دهد گروه‌های سایبری وابسته به جمهوری اسلامی از هوش مصنوعی نه تنها برای حملات پیچیده فنی، بلکه برای جبران ضعف نیروی انسانی و افزایش مقیاس تاثیرگذاری خود در جنگ نرم استفاده می‌کند. این عملیات نشان می‌دهد که نهادهای امنیتی ایران چگونه این ابزار را به عنوان یک شتاب‌دهنده ساختاری برای نهادینه کردن فریب دیجیتال و مستندسازی پروپاگاندا به‌کار می‌گیرند.

گروه جاسوسی سایبری Mirage Kitten که با نام‌های UNC1549 و Smoke Sandstorm نیز شناخته می‌شود، با انتشار پیشنهادهای شغلی ساختگی در پلتفرم‌هایی مانند لینکدین، متخصصان را فریب می‌دهد تا بدافزارهای مختلف را روی رایانه‌های خود اجرا کنند.

ماجرا: مهاجمان با هویت‌های جعلی متقاضیان استخدام در صنایع حساس مصر، اتيوپی و افغانستان را هدف قرار داده‌اند. فرایند حمله با ارسال پروژه‌های آزمایشی برنامه‌نویسی آغاز می‌شود که بدافزار در دل آن‌ها پنهان شده است.

مهاجمان برای متقاضیان ضرب‌الاجل ۱ تا ۳ ساعته تعیین می‌کنند تا فرصت تحلیل امنیتی کدها را از آن‌ها بگیرند. در یکی از موارد، استفاده از ابزارهای هوش مصنوعی در آزمون استخدام ممنوع شده بود تا ابزارهای هوش مصنوعی کد مخفی بدافزار را شناسایی نکنند.

سازوکار: دو بدافزار جدید شناسایی‌شده دسترسی کامل و پایدار به دستگاه‌های قربانی ایجاد می‌کنند.

• NodeRabbit: یک تروجان دسترسی از راه دور است که سیستم‌عامل‌های ویندوز، لینوکس و مک‌اواس را آلوده کرده و امکان اجرای دستورات و سرقت فایل‌ها را فراهم می‌سازد.
• PollCat: ابزاری برای حفظ دسترسی پایدار و دریافت دستورات جدید از سرور فرماندهی است.

پشت‌صحنه: مهاجمان برای پنهان کردن ردپای خود از زیرساخت‌های ابری مایکروسافت آژور و کلادفلر استفاده کرده‌اند. آن‌ها در مواردی نام سازمان هدف را در زیردامنه‌های آژور گنجانده‌اند تا ترافیک مخفی بدافزار کاملا شبیه به ترافیک عادی شبکه شرکت به نظر برسد.

ردپای ایران: این کارزار توسط گروه Mirage Kitten هدایت می‌شود که دست‌کم از سال ۲۰۲۲ تحت حمایت دولت جمهوری اسلامی فعالیت می‌کند و تمرکز اصلی آن جاسوسی از زیرساخت‌های فناوری، هوانوردی و مالی در خاورمیانه و آفریقا است.

تغییر تاکتیک هکرهای ایرانی به سمت ایجاد بدافزارهای چندپلتفرمی، نشان‌دهنده ارتقای سطح فنی کارزارهای جاسوسی جمهوری اسلامی است. هدف قرار دادن متخصصان فنی از طریق آزمون‌های استخدامی نشان می‌دهد هکرها مستقیما آسیب‌پذیری‌های انسانی را هدف گرفته‌اند و الزام به محدودیت زمانی، ابزاری برای دور زدن مکانیزم‌های دفاعی و هوش مصنوعی بوده است.

پلیس فدرال آمریکا تحقیقات درباره رخنه امنیتی به شرکت Micro-Comm، سازنده تجهیزات کنترل صنعتی تصفیه‌خانه‌های آب را آغاز کرده است. این رویداد که دقیقا هم‌زمان با موج تازه حملات سایبری منتسب به ایران علیه زیرساخت‌های حیاتی آمریکا رخ داده، ابعاد تازه‌ای از آسیب‌پذیری زنجیره تامین صنعتی این کشور را برملا کرده است.

ماجرا: گروه باج‌افزاری Barracuda با ادعای انگیزه‌های مالی، مسئولیت حمله به شرکت مایکرو کام در ایالت کانزاس را بر عهده گرفته و نزدیک به ۸۵۰ هزار فایل شامل ۶۴۴ گیگابایت داده داخلی این شرکت را افشا کرده است.

• شرکت مایکرو کام نفوذ را در ۳۱ ژوئیه ۲۰۲۶ کشف و گروه مهاجم ۶ اوت فایل‌ها را منتشر کرد.
• داده‌های افشاشده شامل نقشه‌های فنی، فایل‌های مربوط به مشتریان دولتی و مراکز نظامی آمریکا و اطلاعات کارکنان است.
• حدود ۲۰۰ دستگاه کنترل از راه دور این شرکت مستقیما از طریق اینترنت قابل دسترس بوده‌اند.

زمینه بحران: این رخنه در حالی فاش می‌شود که نهادهای امنیتی آمریکا پیش‌تر درباره حملات گسترده و فعال به کنترل‌کننده‌های برنامه‌پذیر ساخت شرکت‌های Siemens، Rockwell Automation و Schneider Electric در حداقل هفت ایالت آمریکا هشدار داده بودند؛ کارزاری که کارشناسان امنیتی آن را به گروه‌های هکری وابسته به حکومت ایران نسبت می‌دهند.

سازوکار: مهاجمان با سوءاستفاده از هوش مصنوعی روند اجرای عملیات علیه تجهیزات صنعتی از جمله سامانه‌های ساخت زیمنس را تسهیل کرده‌اند.

هشدار ۳۰ ژوئیه اف‌بی‌آی نشان داد هکرها مستقیما تجهیزات کنترل صنعتی متصل به اینترنت را هدف گرفته‌اند. افشای اسناد و فایل‌های فنی مایکرو کام عملیات فیزیکی تصفیه‌خانه‌ها را متوقف نکرده اما داده‌های لازم برای حملات هدفمندتر و تخریبی‌تر در آینده را در اختیار گروه‌های دیگر قرار می‌دهد.

شرکت مایکرو کام مدعی است این رخنه یک حمله فرصت‌طلبانه بوده و ارتباط مستقیم با کارزار سایبری جمهوری اسلامی ندارد. همچنین اعتبارنامه‌های حساس مشتریان یا کلمات عبور افشا نشده‌اند، اما افشای مستندات فنی خط‌مشی ایمنی مشتریان را با چالش جدی مواجه کرده است.

ردپای ایران: اگرچه مسئولیت این حمله خاص را یک گروه باج‌افزاری بر عهده گرفته، هم‌زمانی آن با کارزار گسترده هکرهای وابسته به دستگاه‌های اطلاعاتی جمهوری اسلامی علیه زیرساخت‌های آب در ایالت‌هایی نظیر مینه‌سوتا، نگرانی‌ها را از تقاطع تهدیدات باج‌افزاری و جاسوسی دولتی افزایش داده است.

هکرهای مرتبط با حکومت ایران در حمله‌ای کم‌سابقه موفق شدند فعالیت یک نیروگاه برق در بریتانیا را به مدت چهار روز کاملا متوقف کنند؛ حادثه‌ای که اگرچه شبکه‌ای سراسری را مختل نکرد، اما هشدارها را درباره عواقب احتمالی سهل‌انگاری علیه جمهوری اسلامی را به صدا درآورده است.

ماجرا: هکرهای منتسب به سپاه پاسداران با نفوذ به سیستم‌های کنترلی یک نیروگاه کوچک گازی در بریتانیا، آن را برای چهار روز از مدار خارج کردند. این حادثه هم‌زمان با حملات سایبری گسترده به تاسیسات آب در ۱۲ ایالت آمریکا رخ داده است.

مقام‌های امنیتی بریتانیا نام و موقعیت دقیق نیروگاه را به دلایل امنیتی فاش نکرده‌اند.

دامنه آسیب: به گفته مقام‌های دولت بریتانیا، این نیروگاه کوچک بوده و قطع آن خللی در شبکه سراسری برق ایجاد نکرده است. ظرفیت کم این نیروگاه باعث شده الزام قانونی برای گزارش فوری حادثه به مرکز ملی امنیت سایبری بریتانیا (NCSC) را نداشته است.

تاسیسات مورد حمله از نوع نیروگاه‌های پشتیبان بوده که تنها در زمان اوج مصرف یا کاهش تولید انرژی‌های تجدیدپذیر وارد مدار می‌شوند.

این حمله نشان‌دهنده جسارت بیشتر گروه‌های هکری وابسته‌به حکومت ایران در استقرار بدافزار و دستکاری سیستم‌های کنترلی صنعتی در خاک اروپا است. انگیزه اصلی نه ایجاد قطعی گسترده، بلکه اثبات قابلیت نفوذ و ارسال پیام تهدیدآمیز به بریتانیا در پی تنش‌های منطقه‌ای اخیر بوده است.

سازوکار: هکرهای وابسته به حکومت ایران معمولا با هدف قرار دادن سامانه‌های آسیب‌پذیر متصل به اینترنت و سوءاستفاده از تنظیمات ضعیف امنیتی (مانند گذرواژه‌های پیش‌فرض) در تجهیزات کنترل صنعتی نفوذ می‌کنند.

دیدگاه سرتفا: ارزیابی ما نشان می‌دهد گروه‌های منتسب به سپاه پاسداران از فاز جاسوسی، تخریب داده‌ها و عملیات روانی (مانند حملات باج‌افزاری نمایشی یا هک سامانه‌های آب) عبور کرده و وارد مرحله دستکاری عملیاتی در زیرساخت‌های انرژی اروپا شده‌اند. هدف جمهوری اسلامی نبرد تمام‌عیار سایبری نیست، بلکه ثبت قابلیت قطع برق در خاک متحدان آمریکا به‌عنوان ابزار بازدارندگی ناهمگون است؛ سیگنالی مستقیم مبنی بر اینکه سامانه‌های صنعتی کم‌اهمیت‌تر، پاشنه آشیل زیرساخت‌های حیاتی غرب هستند.

وزارت دادگستری ایالات متحده ۱۷ عضو موسسه مبنا را به اتهام هدایت یک کارزار هک چندساله برای سرقت اطلاعات پژوهشی و باج‌گیری از شرکت‌های غربی تحت پیگرد قضایی قرار داد. این اقدام ابعاد تازه‌ای از تلاش‌های سازمان‌یافته برای دور زدن تحریم‌ها و تامین منابع مالی و اطلاعاتی از طریق جرایم سایبری را فاش می‌کند.

ماجرا: یک دادگاه فدرال در نیویورک با انتشار کیفرخواستی ۱۴ ماده‌ای، هشت متهم جدید را به پرونده سال ۲۰۱۸ موسسه مبنا اضافه کرد تا تعداد کل متهمان به ۱۷ نفر برسد. هکرهای این مجموعه بیش از ۳۱.۵ ترابایت داده علمی، مقاله، پایان‌نامه و کتب الکترونیکی را به سرقت برده‌اند.

شش نفر از متهمان مستقیما در نفوذ به شرکت اچ‌بی‌او و تلاش برای باج‌گیری ۶ میلیون دلاری به وسیله بیت‌کوین دست داشته‌اند.

دامنه آسیب: این شبکه هکری با هدف قرار دادن بیش از ۱۰۰ هزار حساب کاربری استادان دانشگاه در سراسر جهان، خسارات زیر را بر جای گذاشته است:

• دانشگاه‌ها: سرقت حدود ۸ هزار حساب کاربری در ۱۴۴ دانشگاه آمریکایی و ۱۷۸ مرکز علمی بین‌المللی.
• نهادهای دولتی و بخش خصوصی: نفوذ به حساب‌های ایمیل در ۴۲ شرکت آمریکایی، ۱۱ شرکت خارجی، سازمان ملل متحد، یونیسف و وزارت کار آمریکا.

اعضای موسسه مبنا با استفاده از حملات فیشینگ و سرقت اعتبارنامه‌های ورود، به اهداف خود نفوذ می‌کردند. داده‌های مسروقه بعدا از طریق دو وب‌سایت داخلی به مشتریان ایرانی یا سازمان‌های دولتی فروخته می‌شد.

به گفته مقامات قضایی آمریکا، این موسسه به عنوان یک پیمانکار سایبری برای سپاه پاسداران و سایر نهادهای حکومتی فعالیت می‌کرده است. وزارت امور خارجه آمریکا برای دریافت اطلاعات منجر به دستگیری پنج تن از متهمان اصلی، تا ۱۰ میلیون دلار جایزه تعیین کرده است.

دیدگاه سرتفا: حملات موسسه مبنا نمونه‌ای روشن از مدل اجاره هکرها در ساختار سایبری ایران است. حکومت ایران با بهره‌گیری از موسسات بخش خصوصی به عنوان پوشش، زیرساخت‌های پژوهشی را هدف قرار می‌دهد تا هزینه تحریم‌ها و عقب‌ماندگی‌های فناوری را جبران کند. ادغام این عملیات با باج‌گیری‌های رمزارزی نشان می‌دهد که مرز میان جاسوسی دولتی و جرایم مالی سایبری در کارزارهای منتسب به ایران از بین رفته است.

کیفرخواست صادر شده نشان می‌دهد پیگردهای قضایی بین‌المللی با گذشت زمان متوقف نمی‌شوند؛ اما تا زمانی که متهمان در خاک ایران حضور دارند، فشار اصلی بر شبکه مالی و زیرساخت‌های رمزارزی وابسته به نهادهای نظامی ایران متمرکز خواهد بود.

یادداشتی افشا‌شده از مرکز تحلیل و اشتراک‌گذاری اطلاعات صنعت آب آمریکا (WaterISAC) تایید می‌کند که موج بی‌سابقه حملات سایبری به اختلال در عملکرد بیش از ۳۰ مرکز تامین و تصفیه آب در ایالت مینه‌سوتا منجر شده است. این حملات که در آن ردپای هکرهای مرتبط با سپاه پاسداران دیده می‌شود، ابعاد تازه‌ای از تقابل سایبری میان تهران و واشنگتن را برملا می‌کند.

ماجرا: یادداشت افشا شده نشان می‌دهد مرکز همگرایی اطلاعاتی مینه‌سوتا، حملات گسترده ماه ژوئیه ۲۰۲۶ به کنترلرهای برنامه‌پذیر (PLC) در تاسیسات آب این ایالت را کاملا همسو با کارزار سایبری قبلی هکرهای وابسته به جمهوری اسلامی ارزیابی کرده است.

این حملات سایبری سامانه کنترل خودکار آب و فاضلاب را در بیش از ۳۰ شهر مختل کرده است. علاوه بر این، در شهر برَهم، هک سرورها باعث خاموشی چند ساعته ایستگاه تصفیه و کنترل چاه‌ها شد.

مهاجمان همچنین با تغییر رمزهای عبور و آدرس‌های آی‌پی، اپراتورها را از دسترسی به سامانه‌ها محروم کردند و برخی مناطق را مجبور به صدور هشدار جوشاندن آب و اجرای دستی فرایندها کردند.

سازوکار: هکرها دسترسی از راه دور به کنترلرهای صنعتی ساخت شرکت‌هایی مانند Rockwell را هدف قرار داده‌اند. آن‌ها فایل‌های پروژه‌ای که فرمان‌های اتوماسیون صنعتی را هدایت می‌کنند را استخراج یا دستکاری کردند. این تکنیک پیش‌تر توسط گروه سایبری CyberAv3ngers (منتسب به سپاه) علیه تجهیزات شرکت Unitronics در آمریکا و اروپا استفاده شده بود.

با دستکاری این تجهیزات، احتمال افت فشار در شبکه و اختلال در سلامت آب آشامیدنی به وجود آمده است.

زیر ذره‌بین: کارشناسان برجسته امنیت سایبری این حمله را نقطه عطفی در رفتارهای سایبری ایران می‌دانند. جو اسلوویک، پژوهشگر سابق آزمایشگاه ملی لوس‌آلاموس، هشدار داد که دستکاری پارامترهای حفاظتی در زیرساخت‌های حیاتی آمریکا تاکنون بیشتر الگویی متمرکز در حملات روسیه (مانند جنگ اوکراین) بوده اما اکنون سرایت این الگوی عملیاتی به ایران و تکرار آن در چندین مرکز، زنگ خطری جدی برای امنیت ملی آمریکا به شمار می‌رود.

ردپای ایران: اگرچه گروه جدیدی هنوز مسئولیت این حملات را بر عهده نگرفته، اما شرکت‌های امنیتی Tenable و Claroty کدهای مخرب و الگوی حمله را با گروه‌های CyberAv3ngers و حنظله منطبق می‌دانند.

دیدگاه سرتفا: ارزیابی ما نشان می‌دهد که حملات اخیر نشان‌دهنده تغییر استراتژی بخشی از کارزارهای سایبری وابسته به حکومت ایران از تخریب و دستکاری بصری به سمت تخریب عملیاتی و ایجاد اختلال در زیرساخت‌های حیاتی است. هدف قرار دادن تجهیزات اتوماسیون صنعتی به جای شبکه‌های اداری، حاکی از افزایش توانمندی‌های عملیاتی این گروه‌ها در حوزه فناوری‌های عملیاتی و تمایل شدیدتر آن‌ها به پذیرش مخاطرات حملات فیزیکی‌سایبری در بحران‌های ژئوپلیتیک است.

دورنما: هشدار اضطراری آژانس امنیت زیرساخت و امنیت سایبری آمریکا (CISA) به کلیه تاسیسات حیاتی برای قطعی کامل دسترسی اینترنت تجهیزات PLC نشان می‌دهد ابعاد این تهدید محلی نیست و احتمال گسترش این دست حملات به زیرساخت‌های آب و انرژی در ایالت‌های دیگر آمریکا طی هفته‌های آینده بسیار بالا است.

هکرهای وابسته به حکومت ایران با نفوذ به تجهیزات کنترل صنعتی متصل به اینترنت در زیرساخت‌های حیاتی ایالات متحده، کدهای ایمنی را دستکاری کرده و هشدارهای امنیتی را از دید اپراتورها پنهان می‌کنند. این کارزار تهاجمی که بخش‌های آب، انرژی و مراکز دولتی را هدف قرار داده، احتمال خطر اختلالات فیزیکی و خسارات مالی جدی را افزایش داده است.

ماجرا: ارزیابی‌های تازه آژانس امنیت ملی و امنیت زیرساخت آمریکا (CISA) نشان می‌دهد هکرها با هدف قرار دادن سخت‌افزارهای صنعتی فاقد امنیت کافی، عملکرد تجهیزات حساس را دستکاری می‌کنند:

• نفوذ از طریق سامانه برنامه‌نویسی صنعتی و زیرساخت‌های واسط انجام شده است.
• این کارزار از یک سازنده فراتر رفته و اکنون تجهیزات شرکت‌های بزرگ مانند Allen-Bradley، اشنایدر الکتریک و زیمنس را در بر گرفته است.

سازوکار: مهاجمان ابتدا کنترل‌های PLC متصل به اینترنت را شناسایی و دسترسی از راه دور ایجاد می‌کنند.

• پس از ورود، فایل‌های پروژه را استخراج کرده و منطق آن‌ها را تغییر می‌دهند.
• کدهای مخرب به‌گونه‌ای طراحی می‌شوند که با حفظ عملکرد ظاهری تجهیزات، کدهای ایمنی و هشدارهای حیاتی را خنثی کنند.
• هم‌زمان، داده‌های نمایشی در صفحات نظارتی دستکاری می‌شوند؛ در نتیجه، اپراتور داده‌های عادی را می‌بیند در حالی که تجهیزات خارج از بازه ایمن در حال کار هستند.

ردپای ایران: گروه‌های وابسته به جمهوری اسلامی ایران مسئول این کارزار شناخته شده‌اند. آن‌ها با تحلیل کدهای عملیاتی هر قربانی، دستکاری‌های سفارشی‌سازی‌شده‌ای را علیه زیرساخت‌های هدف اعمال می‌کنند.

دامنه آسیب: اختلال در عملکرد واقعی تجهیزات می‌تواند منجر به از کار افتادن ناگهانی، آسیب دیدن سخت‌افزارهای گران‌قیمت، حوادث زیست‌محیطی و خسارات مالی گسترده شود.

دیدگاه سرتفا: تمرکز هکرهای حکومتی ایرانی بر دستکاری کنترلرهای صنعتی و خنثی‌سازی هشدارهای ایمنی، نشان‌دهنده جهش توانمندی‌های هکرهای وابسته به جمهوری اسلامی در حوزه عملیات تخریبی است. این تهدید تنها متوجه زیرساخت‌های خارجی نیست. بهره‌گیری از تجهیزات صنعتی بدون تغییر تنظیمات پیش‌فرض یا متصل به اینترنت ناامن، خطر مشابهی را متوجه بخش‌های صنعتی داخلی نیز می‌کند.

اتصال مستقیم تجهیزات OT و کنترلرهای صنعتی به اینترنت عمومی یک خطای حیاتی است؛ تا زمانی که این تجهیزات پشت شبکه‌های ایزوله یا درگاه‌های امن قرار نگیرند، هر PLC متصل به شبکه یک هدف آسان برای عملیات تخریبی خواهد بود.

گروه هکری APT42 (وابسته به سپاه پاسداران) با ارتقای مدل‌های عملیاتی پیشین خود، شناسایی اقداماتش را دشوارتر و مقیاس حملاتش را گسترده‌تر کرده است. این گروه با تلفیق هوش مصنوعی، ارتباطات جعلی و بدافزار تازه‌ای به نام TAMECAT، ابعاد جدیدی به قابلیت‌های جاسوسی سایبری خود افزوده است.

ماجرا: گروه APT42 در جدیدترین کارزار خود در اوایل ۲۰۲۶، با دقت بیشتری استراتژی عملیاتی خود را اجرا کرده است:

• استفاده از هوش مصنوعی: آن‌ها برای شناسایی اهداف، ساخت هویت‌های جعلی، ترجمه، توسعه، رفع اشکال کد و پژوهش روی روش‌های نفوذ از هوش مصنوعی بهره می‌برند.
• پلتفرم جدید TAMECAT: تبدیل بدافزار TAMECAT از یک بارگذار ساده به یک زیرساخت جاسوسی و جمع‌آوری داده‌ ماژولار.
• عملیات هم‌زمان با مناقشات منطقه‌ای: در ماه مارس ۲۰۲۶ (هم‌زمان با جنگ ایالات متحده، اسرائیل و جمهوری اسلامی)، شاخه‌ای مرتبط با این گروه با نام TA453 یک اندیشکده آمریکایی را هدف حملات فیشینگ قرار داد.

سازوکار: مراحل نفوذ در کارزارهای اخیر APT42 از الگوی پیچیده و چندلایه‌ای پیروی می‌کند:

• برقراری ارتباط طولانی‌مدت: مهاجمان با حساب‌های جعلی، هفته‌ها از طریق ایمیل و سپس واتس‌اپ اعتماد هدف را جلب می‌کنند.
• سوءاستفاده از مکانیزم‌های داخلی ویندوز: ارسال دعوت‌نامه‌های ساختگی که پروتکل search-ms در ویندوز را فراخوانی کرده و سیستم کاربر را به یک سرویس‌دهنده WebDAV تحت کنترل مهاجم متصل می‌کند.
• استخراج اطلاعات حساس بدون نیاز به فایل: استفاده از فایل‌های میانبر LNK ظاهرشده در پوشه‌های اشتراکی، اجرای دستورات curl از طریق cmd.exe و بارگیری ماژول‌های PowerShell در حافظه.

زیر ذره‌بین: ماژول‌های جدید TAMECAT به مهاجم اجازه می‌دهند فراتر از آلوده‌سازی ساده عمل کنند:

• مهاجم مرورگر Edge را با دستور --remote-debugging-port=9222 به‌صورت مخفی اجرا کرده و از طریق پروتکل DevTools، کوکی‌های رمزگشایی‌شده را استخراج می‌کند.
• با ابزار PsSuspend فعالیت مرورگر کروم را متوقف می‌کند تا قفل دیتابیس‌ها باز شده و تمام گذرواژه‌ها و اطلاعات حساس ذخیره‌شده به‌سرعت منتقل شوند.
• اطلاعات نرم‌افزارها، فایل‌های متنی، تصاویر لاگین، فریم‌ورک‌های ثبت‌شده و حتی فایل‌های .ost اوت‌لوک جمع‌آوری شده و از طریق ای‌پی‌آی‌های دیسکورد، تلگرام یا زیردامنه‌های Netlify خارج می‌شوند.

ردپای ایران: شواهد فنی، زیرساختی و زمینه‌ای ارتباط کامل این کارزار با نهادهای اطلاعاتی ایران را تایید می‌کند:

• در مارس ۲۰۲۶، یکی از دفاتر مرتبط با اپراتورهای سایبری سپاه (واقع در خیابان ملک‌لو در شرق تهران) که پیش‌تر توسط مقامات قضایی آمریکا تحریم شده بودند، هدف حملات نظامی قرار گرفت. این مرکز از زیرساخت‌های کلیدی پشتیبانی از فیشینگ علیه مقامات و اندیشکده‌های آمریکایی بود.

دیدگاه سرتفا: ارزیابی ما نشان می‌دهد که ارتقای ابزارهای APT42، لزوم تغییر در استراتژی‌های دفاعی را اجتناب‌ناپذیر کرده است:

• تکیه بر کیفیت نگارش متن یا غلط‌های املایی، حالا دیگر سنجه معتبری برای تشخیص فیشینگ نیست؛ هوش مصنوعی روان‌نویسی متون فیشینگ را بی‌نقص کرده است.
• تغییر رمز عبور پس از آلودگی به TAMECAT به‌هیچ‌وجه کافی نیست؛ چرا که نشست‌های فعال و کوکی‌های مرورگر به سرقت می‌روند. تیم‌های امنیتی باید بلافاصله تمام توکن‌ها و نشست‌های فعال کاربر را ابطال کنند.
• مسدود کردن ساده دامنه‌ها کاربرد چندانی ندارد. تحلیل الگوی رفتار مانند فراخوانی search-ms توسط مرورگر و متعاقبا ارتباط rundll32.exe با سرویس‌های WebDAV، دقیق‌ترین مسیر شناسایی این بدافزار است.

حرف آخر: خطر اصلی APT42 نه در یک بدافزار ساختارشکن، بلکه در ترکیب صبورانه فریب‌های انسانی با ابزارهای داخلی سیستم‌عامل و زیرساخت‌های ابری معتبر نهفته است؛ روندی که مقابله با آن نیازمند پایش هم‌زمان هویت، ایمیل و رفتارها در مرحله پایانی است.

پژوهشگران آزمایشگاه چک‌پوینت از کشف یک فریم‌وورک جدید، ماژولار و پیشرفته فرماندهی و کنترل به نام Cavern خبر داده‌اند که توسط گروه هکری وابسته به جمهوری اسلامی معروف به Cavern Manticore علیه اهدافی در اسرائیل استفاده می‌شود. این کارزار که بخش‌های دولتی و تامین‌کنندگان فناوری اطلاعات را هدف قرار داده، با بهره‌گیری از تکنیک‌های خلاقانه کامپایل و معماری ماژولار، توانسته است نرخ شناسایی خود را در ویروس‌توتال به صفر یا نزدیک به صفر برساند.

ماجرا: طبق بررسی‌ها، این گروه هکری از اوایل سال ۲۰۲۶ میلادی با سوءاستفاده از ویژگی به‌روزرسانی نرم‌افزار مدیریت خدمات فناوری اطلاعات SysAid، اقدام به تزریق فایل‌های مخرب خود در سیستم‌های هدف کرده است.

سازوکار: فریم‌وورک Cavern کاملا بر پایه بستر دات‌نت توسعه یافته، اما توسعه‌دهندگان آن برای دشوار کردن فرآیند تحلیل و مهندسی معکوس، ابزارهای خود را به سه فرمت کامپایل متفاوت تبدیل کرده‌اند:

• Pure .NET Framework: برای ماژول‌هایی که نیاز به لود شدن از طریق Reflection دارند و متادیتاهای آن‌ها به راحتی قابل خواندن است.
• Mixed-Mode C++/CLI: ترکیبی از کد نیتیو و دات‌نت که تحلیل‌گر را مجبور می‌کند از دو ابزار دکامپایلر مختلف به صورت هم‌زمان استفاده کند.
• NativeAOT .NET 8: کامپایل کل کد به صورت کاملا نیتیو که امضاها و توابع حساس سیستم را پنهان کرده و در نتیجه اسکنرهای استاتیک قادر به شناسایی رشته‌ها و قابلیت‌های واقعی فایل روی دیسک نیستند.

پشت‌صحنه: شواهد جالبی از دخالت مستقیم و دستی انسان در توسعه این ابزار کشف شده است؛ از جمله وجود رشته‌های متنی حاوی ناسزا و ابراز سرخوردگی توسعه‌دهنده در زمان خطایابی بدافزار (مانند «What is this sh*t?! where is get_version?!?»)، غلط‌های املایی در کد نظیر "receivecd"، و مسیرهای PDB ثابت که به نام کاربری "rick" ارجاع دارند.

دامنه آسیب: مهاجمان پس از استقرار اولیه، ماژول‌های تخصصی متعددی را برای اهداف پس از نفوذ روی سیستم قربانی بارگذاری می‌کنند:

• ماژول mhm.dll: برای مدیریت فایل‌ها و رمزگشایی داده‌های حساس کاربر از طریق قابلیت DPAPI ویندوز.
• ماژول db.dll: برای گشت‌وگذار، استخراج و دستکاری پایگاه‌های داده SQL Server.
• ماژول ode.dll: برای شناسایی ساختار اکتیو دایرکتوری و حملات بروت‌فورس روی پروتکل LDAP.
• ماژول‌های نیتیو n-ten.dll و n-sws.dll: به ترتیب برای پورت‌اسکن شبکه و ایجاد تونل‌های ارتباطی SOCKS5 مبتنی بر وب‌سوکت.

ردپای جمهوری اسلامی: تحلیل‌های فنی نشان می‌دهد که بدافزار Cavern نسخه تکامل‌یافته و بازنویسی‌شده پروژه قدیمی‌تر این گروه به نام Cav3rn است. شباهت‌های ساختاری بالا در کد، سوءاستفاده از سرورهای SysAid و تمرکز بر زنجیره تامین بخش آی‌تی اسرائیل، هم‌پوشانی تاکتیکی نزدیکی را با فعالیت‌های گروه MuddyWater و زیرمجموعه گروه OilRig یعنی Lyceum (هر دو وابسته به وزارت اطلاعات ایران) نشان می‌دهد. علاوه‌بر این، دامنه C2 مورد استفاده در این کارزار (hospitalinstallation[.]com) از طریق یک شرکت ارائه‌دهنده میزبانی ایرانی به نام «فارس دیتا» ثبت شده است.

دیدگاه سرتفا: گروه Cavern Manticore با درک اکوسیستم سایبری هدف، مدل حملات خود را از متدهای سنتی به سمت هدف‌گیری زنجیره تامین تغییر داده است. در این شیوه، هکرها ابتدا یک شرکت ارائه‌دهنده خدمات فناوری اطلاعات یا ابزارهای مدیریت از راه دور را آلوده کرده و سپس از دسترسی‌های مجاز و معتبر آن‌ها به عنوان اسب تروآ برای ورود به سازمان‌های حساس‌تر دولتی و دفاعی استفاده می‌کنند؛ رویکردی که پایش دقیق رفتار نرم‌افزارهای مدیریتی و تایید شده را برای تیم‌های دفاعی حیاتی‌تر از همیشه می‌کند.

دورنما: با توجه به فرار موثر این بدافزار از سد آنتی‌ویروس‌ها به لطف معماری لایه‌ای و کامپایل پیچیده آن، انتظار می‌رود که هکرهای حکومتی ایران بهینه‌سازی فرمت کامپایل NativeAOT را برای پنهان‌سازی هرچه بیشتر زیرساخت‌های خود ادامه دهند. تکنیک تفکیک ماژول‌ها در فضاهای ایزوله (AppDomain) نیز به آن‌ها اجازه می‌دهد به محض اتمام عملیات، ردپای مخرب را از حافظه سیستم پاک کنند که این امر فرآیند جرم‌شناسی دیجیتال را در آینده با چالش‌های جدی‌تری روبرو خواهد کرد.

یک شهروند ۲۱ ساله آمریکایی در اسرائیل به اتهام جاسوسی برای جمهوری اسلامی تحت پیگرد قانونی قرار گرفت؛ پرونده‌ای کم‌سابقه که نشان‌دهنده ابعاد جدید کارزارهای سایبری و اطلاعاتی ایران برای جذب نفوذی از طریق شبکه‌های اجتماعی است. این نخستین بار است که یک تبعه ایالات متحده در موج اخیر بازداشت‌های مرتبط با شبکه‌های جاسوسی ایران در اسرائیل متهم می‌شود، امری که زنگ خطر را درباره تغییر تاکتیک تهران در شکار مهره‌های خارجی به صدا درآورده است.

ماجرا: بر اساس کیفرخواست دادستانی کل اسرائیل، «الی لاوون» (Eli Lavon)، شهروند آمریکایی که در یک مدرسه مذهبی در اورشلیم مشغول به تحصیل بود، به ارتباط با عامل خارجی و ارسال اطلاعات به دشمن متهم شده است. این پرونده از نوامبر ۲۰۲۵ و زمانی آغاز شد که لاوون در جریان سفر به آمریکا، به یک آگهی شغلی در پیام‌رسان تلگرام پاسخ داد و یک ماه بعد پس از بازگشت به اسرائیل، توسط فردی وابسته به سرویس اطلاعاتی ایران هدایت شد.

سازوکار: مهاجمان با استفاده از بستر تلگرام و روش‌های مهندسی اجتماعی، اهداف خود را مدیریت می‌کردند:

• لاوون ماموریت داشت از مکان‌های حساسی مانند یک ساختمان متروکه در محله مذهبی اورشلیم و داخل یک فروشگاه زنجیره‌ای فیلم‌برداری کند.
• او در یک مورد مامور شد تا یک پاکت سیگار حاوی یادداشتی رمزگذاری‌شده با متن «کار تمام شد» را در سطل زباله یک مرکز خرید مخفی کند.
• ارتباطات از طریق دو حساب تلگرام و سه تلفن همراه انجام می‌شد و دستمزد این اقدامات در قالب رمزارز پرداخت شده است.

در عمل: بر اساس گزارش‌ها، کل عایدی لاوون از این همکاری حدود ۱۳۷۹ دلار بوده است. او حتی پس از قطع ارتباط با عامل اول، با هدایت‌کننده دوم ارتباط گرفت و یک کارت حافظه حاوی اطلاعات را به همراه پول نقد در یک رستوران مخفی کرد. او زمانی پیوند خود را قطع کرد که عامل ایرانی از او خواست مشخصات دیگر دانشجویان مدرسه مذهبی را در اختیارشان بگذارد.

واکنش‌ها: رونیت شنتزر یاکوبی، از دفتر دادستانی منطقه اورشلیم می‌گوید: «این کیفرخواست نشان می‌دهد که چگونه آژانس‌های اطلاعاتی خارجی از فضای دیجیتال برای شناسایی، جذب و به‌کارگیری افراد در داخل اسرائیل سوءاستفاده می‌کنند». در مقابل، راز بار تسی، وکیل لاوون، اتهامات جاسوسی را رد کرده و معتقد است صرف تماس آنلاین با یک عامل خارجی، موکل او را به یک جاسوس تبدیل نمی‌کند.

پس‌زمینه: اسرائیل از سال ۲۰۲۳ تاکنون حدود ۶۰ نفر را به اتهام جاسوسی برای ایران بازداشت و محاکمه کرده است. مقامات امنیتی تایید کرده‌اند که چندین سایت و موقعیتی که پیش از این توسط این افراد فیلم‌برداری و شناسایی شده بودند، بعدا در حملات موشکی ایران هدف قرار گرفتند.

دیدگاه سرتفا: این پرونده الگوی دستگاه‌های اطلاعاتی ایران در استفاده از پلتفرم‌های عمومی نظیر تلگرام را برای برون‌سپاری اقدامات جاسوسی تایید می‌کند. نکته کلیدی اینجا است که نهادهای امنیتی جمهوری اسلامی دیگر به جذب شهروندان اسرائیلی اکتفا نمی‌کنند، بلکه اتباع غربی و آمریکایی را که به دلیل داشتن پاسپورت یا هویت غیرمحلی، حساسیت کمتری برمی‌انگیزند، با مبالغی بسیار ناچیز به خدمت می‌گیرند. این رویکرد، تهدیدی جدی برای امنیت سایبری و فیزیکی زیرساخت‌ها در کشورهای مختلف محسوب می‌شود.

حملات سایبری جمهوری اسلامی ایران علیه زیرساخت‌ها و کسب‌وکارهای اسرائیل در ژوئن ۲۰۲۶ با جهشی سه‌برابری نسبت به مدت مشابه سال گذشته به ۴۸۰۰ مورد در ماه رسیده است؛ وضعیتی که پس از آغاز درگیری‌های نظامی امسال، جنگ دیجیتال میان دو طرف را به مرحله‌ای بی‌سابقه و بدون آتش‌بس رسانده است.

ماجرا: یوسی کارادی، رئیس اداره ملی سایبری اسرائیل اعلام کرد شدت و پیچیدگی حملات هکرهای وابسته به ایران به‌شدت افزایش یافته و ارتش سایبری این کشور به یک سیستم چندلایه تبدیل شده است.

به گفته کارادی، ساختار تهاجم سایبری ایران از دو لایه اصلی تشکیل شده است:

• هسته نظامی: لایه اصلی شامل بخش‌های تخصصی جنگ سایبری در ارتش و سپاه پاسداران است.
• پیمانکاران و فعالان: لایه زیرین شامل افراد و هکرهایی است که با انگیزه‌های عقیدتی یا دریافت دستمزد عملیات هک را پیش می‌برند.
• عملیات روانی دیجیتال: کارزارهای هک با تبلیغات پیشرفته و ساخت ویدیوهای انیمیشنی با هوش مصنوعی تکمیل می‌شوند.

دامنه آسیب: اهداف این حملات از زیرساخت‌های حیاتی تا شرکت‌های کوچک و متوسط متغیر بوده‌اند. در حالی که حملات به زیرساخت‌های کلیدی دفع شده، سیستم‌های رایانه‌ای چندین شرکت کوچک‌تر از جمله دفاتر حقوقی و حسابداری به‌طور کامل پاک‌سازی شده‌اند.

پس‌زمینه: اداره ملی سایبری اسرائیل در سال ۲۰۲۵ بیش از ۲۶ هزار حمله سایبری را ثبت کرد که رشد ۵۵ درصدی را نسبت به سال ۲۰۲۴ نشان می‌دهد. بر اساس داده‌های مایکروسافت، اسرائیل با جذب ۳.۵ درصد از کل حملات سایبری جهان، سومین کشور هدف در دنیا به‌شمار می‌رود. جمهوری اسلامی همواره انجام این حملات را تکذیب کرده است.

دیدگاه سرتفا: ارزیابی‌های ما نشان می‌دهد تشدید درگیری‌های فیزیکی در سال ۲۰۲۶، به بسیج همه‌جانبه بازوهای سایبری غیررسمی ایران و کاهش خطوط قرمز در هدف‌گیری بخش‌های غیرنظامی منجر شده است. موفقیت در پاک‌سازی داده‌های شرکت‌های کوچک حاکی از آن است که هکرهای حکومتی ایران، کسب‌وکارهای فاقد ساختار دفاعی پیشرفته را به عنوان اهدافی کم‌هزینه اما پرصدا انتخاب کرده‌اند.

دورنما: اسرائیل در حال تدوین برنامه‌ای راهبردی با تمرکز بر امنیت ابری، هوش مصنوعی و رایانش کوانتومی است تا این سیستم‌ها را تا سال ۲۰۳۰ عملیاتی کند؛ اقدامی که نشان‌دهنده آماده‌شدن برای یک جنگ سایبری طولانی‌مدت و پیچیده‌تر است.