گزارش تحلیلی جدید وب‌سایت آمریکایی درباره گروه انتقام‌جویان سایبری

به گزارش کارگروه بین‌الملل سایبربان؛ رسانه «WIRED» در ایالات متحده تأسیس شده و فعالیت اصلی آن در این کشور است. با این حال، این وب‌سایت نسخه‌های بین‌المللی محدودی (مانند WIRED UK و WIRED Japan) دارد که با همکاری شرکای محلی منتشر می‌شوند، اما نسخه اصلی و تأثیرگذار آن همچنان آمریکایی است و مخاطبان جهانی را هدف قرار می‌دهد. این وب‌سایت مقاله‌ای درمورد گروه هکری انتقام‌جویان سایبری منتشر کرد که به شرح زیر است:

«جنگ سایبری متناوب بین اسرائیل و ایران، که به نقش اسرائیل در ایجاد و استقرار بدافزار استاکس‌نت (Stuxnet) برای خرابکاری در برنامه تسلیحات هسته‌ای ایران بازمی‌گردد، شاید طولانی‌ترین درگیری در عصر هک‌های تحت حمایت دولت‌ها بوده است. اما پس از حمله حماس در 7 اکتبر و تهاجم تلافی‌جویانه اسرائیل به غزه، یک عامل جدید در این درگیری ظهور کرد که نه تنها زیرساخت‌های دیجیتال اسرائیل، بلکه سیستم‌های حیاتی در ایالات متحده و سراسر جهان را تهدید می‌کند.    

گروهی به نام انتقام‌جویان سایبری (CyberAv3ngers) در یک سال و نیم گذشته به فعال‌ترین هکرهای دولت ایران در زمینه سیستم‌های کنترل صنعتی تبدیل شده‌اند. اهداف آن‌ها شامل تأسیسات آب، فاضلاب، نفت و گاز و سایر زیرساخت‌های حیاتی است. به گفته مقامات آمریکایی که جایزه ۱۰ میلیون دلاری برای اطلاعاتی منجر به دستگیری آن‌ها تعیین کرده‌اند، این گروه توسط اعضای سپاه پاسداران ایران اداره می‌شود، اما ابتدا با ظاهری «هکتیویستی» عمل می‌کرد.

هکرهای انتقام‌جویان سایبری که بر عملیات‌هایی علیه اسرائیل و محصولات فناوری این رژیم تمرکز دارند، بی سر و صدا لیست هدف خود را گسترش داده‌اند که شامل انواع دستگاه‌ها و شبکه‌ها از جمله یک شرکت نفت و گاز ایالات متحده و طیف گسترده‌ای از سیستم‌های کنترل صنعتی در سراسر جهان است.  

این اقدامات، گروه را به نمونه‌ای نادر از خرابکاران سایبری تحت حمایت دولت تبدیل کرده که خطوط قرمز هدف‌گیری و اختلال در زیرساخت‌های حیاتی را زیر پا گذاشته‌اند و هیچ نشانه‌ای از توقف نشان نداده‌اند.

کایل اوِمرا (Kyle O'Meara)، پژوهشگر اطلاعاتی در شرکت امنیت سایبری دراگوس (Dragos)، که این گروه را با نام «Bauxite» ردیابی می‌کند، در این خصوص گفت: «آن‌ها وانمود می‌کنند هکتیویست هستند، اما واقعاً این‌طور نیست. این یک گروه تحت حمایت دولت است. آن‌ها بودجه و ابزار دارند. قطعاً توانایی، نیت و علاقه به یادگیری نحوه خاموش کردن سیستم‌ها و احتمالاً ایجاد آسیب را دارند.»

اگرچه انتقام‌جویان سایبری از سال ۲۰۲۰ فعال است، اما در نوامبر ۲۰۲۳، پس از حمله حماس و پاسخ اسرائیل با تهاجم زمینی و بمباران که تاکنون بیش از ۵۰ هزار فلسطینی را به شهادت رسانده، به شهرت رسید. یک ماه پس از آغاز جنگ، هکرها به بیش از ۱۰۰ دستگاه فروخته‌شده توسط شرکت اسرائیلی «Unitronics»، سیستم‌های کنترل صنعتی عمدتاً مورد استفاده در تأسیسات آب و فاضلاب، دسترسی پیدا کردند. در آن هک، انتقام‌جویان سایبری نام دستگاه‌ها را طوری تنظیم کرد که «غزه» را بخوانند و نمایشگر آن‌ها را به گونه‌ای تغییر دادند که تصویری از لوگوی گروه به همراه ستاره داوود در حال غرق شدن در یک و صفر را نشان دهد. در این تصویر آمده است:

«شما هک شده اید. مرگ بر اسرائیل.»

به گفته دراگوس و شرکت امنیت سایبری کلاروتی (Claroty) که این حملات را ردیابی کردند، اگرچه این حملات ابتدا خرابکاری ساده به نظر می‌رسید، اما هکرها کد «ladder logic» دستگاه‌ها را که عملکرد آن‌ها را کنترل می‌کند، بازنویسی کردند؛ در نتیجه، این تغییرات باعث اختلال در خدمات برخی شبکه‌های قربانی، از جمله یک تأسیسات آب و یک کارخانه آبجوسازی نزدیک پیتسبورگ و همچنین چندین تأسیسات آب در اسرائیل و ایرلند شد.

زمانی ادمین انتقام‌جویان سایبری در تلگرام ادعا کرد که سیستم‌های دیجیتال بیش از ۲۰۰ پمپ بنزین در اسرائیل و آمریکا را هک کرده است؛ کلاروتی تأیید کرد که برخی موارد رخ داده، اما عمدتاً محدود به دوربین‌های نظارتی بوده و در ادامه این گروه ادعا کرد که قطعی برق در تأسیسات برقی اسرائیل ایجاد کرده است، ادعایی که شرکت‌های امنیت سایبری آن را نادرست دانستند.

به نظر می رسد که موج اولیه هک انتقام‌جویان سایبری، چه واقعی و چه ساختگی، بخشی از یک درگیری متقابل با گروه هکری تهاجمی دیگری به نام گنجشک درنده (Predatory Sparrow) بود که به‌طور گسترده‌ای تصور می‌شود برای ارتش یا سازمان‌های اطلاعاتی اسرائیل کار می‌کند. این گروه رقیب، که خود را پشت ظاهری هکتیویستی پنهان کرده، بارها سیستم‌های زیرساختی حیاتی ایران را هدف قرار داد. در سال 2021 بیش از 4000 پمپ بنزین ایرانی را در سراسر کشور از کار انداخت. سپس در سال 2022 یک کارخانه فولاد را در مخرب‌ترین حمله سایبری تاریخ به آتش کشید. پس از کمپین هکری اواخر سال 2023 انتقام‌جویان سایبری و پرتاب موشک‌های نمایندگان مورد حمایت ایران علیه اسرائیل، گنجشک درنده بار دیگر در دسامبر همان سال هزاران پمپ بنزین ایران را مختل کرد.

حملات گروه هکری گنجشک درنده به‌طور خاص بر ایران متمرکز بوده، اما انتقام‌جویان سایبری خود را به اهداف اسرائیلی یا حتی دستگاه‌های ساخت اسرائیل در دیگر کشورها محدود نکرده است. دراگوس اعلام کرد که در ماه‌های آوریل و می سال گذشته، این گروه با به خطر انداختن تجهیزات امنیتی سوفوس (Sophos) و فورتینت (Fortinet)، به یک شرکت نفت و گاز آمریکایی نفوذ کرد که دراگوس نام آن را فاش نکرد. دراگوس به این نتیجه رسید که در ماه‌های بعد، گروه در حال اسکن اینترنت برای یافتن دستگاه‌های سیستم کنترل صنعتی آسیب‌پذیر و بازدید از وب‌سایت‌های تولیدکنندگان این دستگاه‌ها برای مطالعه آن‌ها بود.

پس از حملات اواخر سال ۲۰۲۳، وزارت خزانه‌داری آمریکا 6 مقام سپاه پاسداران مرتبط با این گروه را تحریم کرد و وزارت خارجه ایالات متحده جایزه ۱۰ میلیون دلاری برای سر آن‌ها تعیین نمود. اما به جای عقب‌نشینی، انتقام‌جویان سایبری نشانه‌هایی از تبدیل شدن به تهدیدی فراگیرتر نشان داده است.

در دسامبر گذشته، کلاروتی فاش کرد که انتقام‌جویان سایبری با استفاده از بدافزاری که توسعه داده بود، طیف گسترده‌ای از سیستم‌های کنترل صنعتی و دستگاه‌های اینترنت اشیا (IoT) را در سراسر جهان آلوده کرده بود.

به گفته کلاروتی و دراگوس، اف‌بی‌آی همزمان با گزارش دسامبر کلاروتی، سرور فرماندهی و کنترل «IOControl» را تحت کنترل گرفت و بدافزار را خنثی کرد. IOControl یک درب پشتی مبتنی بر لینوکس بود که ارتباطات خود را در پروتکلی به نام «MQTT» که توسط دستگاه‌های اینترنت اشیا استفاده می‌شد، پنهان می‌کرد. (اف‌بی‌آی به درخواست WIRED برای اظهارنظر پاسخ نداد.) اما به گفته نوآم موشه (Noam Moshe) که این گروه را برای کلاروتی ردیابی می‌کند، کمپین هکری انتقام‌جویان سایبری نشان‌دهنده تکامل خطرناکی در تاکتیک‌ها و انگیزه‌های گروه است.

موشه گفت:

«ما شاهد حرکت انتقام‌جویان سایبری از دنیای مهاجمان فرصت‌طلب هستیم، جایی که تمام هدف آن‌ها انتشار پیامی به قلمرو یک تهدید مداوم بود. در کمپین IOControl، آن‌ها می‌خواستند بتوانند انواع دارایی‌هایی را که به‌عنوان حیاتی شناسایی می‌کنند آلوده کنند و بدافزار خود را برای آینده آنجا نگه دارند.»

اینکه گروه دقیقاً منتظر چه چیزی بوده، شاید لحظه‌ای استراتژیک که دولت ایران بتواند از اختلال دیجیتال گسترده برای کسب مزیت ژئوپلیتیکی بهره ببرد، اصلاً مشخص نیست. اما اقدامات گروه نشان می‌دهد که دیگر صرفاً به دنبال ارسال پیام اعتراضی علیه اقدامات نظامی اسرائیل نیست. در عوض، موشه استدلال کرد که آن‌ها سعی دارند توانایی اختلال در زیرساخت‌های خارجی را به دلخواه به دست آورند.

درنهایت موشه عنوان کرد که این مانند دکمه قرمزی روی میز انتقام‌جویان سایبری است. آن‌ها می‌خواهند در یک لحظه بتوانند بخش‌ها، صنایع و سازمان‌های مختلف را به دلخواه مورد حمله قرار دهند؛ و آن‌ها نمی‌روند.»