به گزارش کارگروه حملات سایبری خبرگزاری سایبربان، در گزارشی که روز چهارشنبه منتشر شد، شرکت امنیت سایبری دراگوس (Dragos)، که در حوزه فناوری عملیاتی (OT) فعالیت دارد، جزئیات همکاری خود با شرکت برق و آب لایتون (Littleton Electric Light & Water Department) را شرح داد.
این شرکت تلاش کرده تا با این حمله مقابله کند، که بخشی از یک تلاش گستردهتر دولت چین برای نفوذ به زیرساختهای حیاتی ایالات متحده با هدف ایجاد آمادگی برای انجام اقدامات مخرب در صورت وقوع درگیری محسوب میشود.
طبق ادعای نهادهای اجرای قانون ایالات متحده، این گروه به سازمانهای مختلف زیرساختی حیاتی در ایالات متحده و همچنین گوام نفوذ کرده است.
به گفته دراگوس، این شرکت خدماتی در ماساچوست درست قبل از روز شکرگزاری در سال ۲۰۲۳ متوجه این نفوذ شد.
دیوید کچن، معاون مدیرکل شرکت، یک تماس تلفنی از افبیآی دریافت کرد که به او درباره یک نقص امنیتی مشکوک هشدار میداد.
دوشنبه بعد، ماموران افبیآی به همراه نمایندگانی از آژانس امنیت سایبری و امنیت زیرساخت (CISA) به دفتر شرکت مراجعه کردند.
این شرکت که بیش از یک قرن به شهرهای لیتلتون و باکسبرو خدمات برق و آب ارائه کرده است، در سالهای اخیر با تهدیدات فزاینده سایبری روبرو بوده است.
پس از شناسایی نفوذ طوفان ولت یا ولت تایفون (Volt Typhoon)، این شرکت با دراگوس تماس گرفت و تحقیقات نشان داد که هکرها از فوریه ۲۰۲۳ در سیستمهای این شرکت حضور داشتهاند.
دراگوس شواهدی از حرکت جانبی مهاجمان (lateral movement) و استخراج دادهها را کشف کرد اما بررسیهای بیشتر نشان داد که اطلاعات به سرقت رفته شامل دادههای حساس مشتریان نبوده است و این شرکت توانسته است با تغییر معماری شبکه خود، مزایای احتمالی مهاجمان را از بین ببرد.
یک کارشناس از دراگوس توضیح داد:
اهمیت کشف این حمله در این است که نشان میدهد مهاجمان نهتنها به دنبال حفظ دسترسی بلندمدت به محیط قربانی بودند، بلکه قصد داشتند اطلاعات خاصی درباره روشهای عملیاتی فناوری و چیدمان شبکه انرژی را استخراج کنند. چنین اطلاعاتی برای مهاجمان حیاتی است، زیرا به آنها امکان میدهد تا در صورت لزوم، نقاط حساس را هدف حمله قرار دهند.
شرکت خدماتی ماساچوست موفق شد تهدید را برطرف کند و مهاجمان را از سیستمهای خود خارج کند اما دراگوس تأیید کرد که به دلیل عملیاتهای جاری نهادهای اجرای قانون، همه جزئیات این حمله قابل انتشار نیست.
چین هرگونه دخالت در حملات طوفان ولت را انکار کرده است، اما آژانس امنیت سایبری و امنیت زیرساخت و افبیآی بارها هشدار دادهاند که این هکرها به دنبال ایجاد جای پایی در شبکههای فناوری اطلاعات (IT) ایالات متحده هستند تا در صورت وقوع بحران یا درگیری، حملات مخرب یا مختلکننده را انجام دهند.
در سالهای اخیر، چین رویکردی تهاجمیتر نسبت به تایوان اتخاذ کرده است.
در همین راستا، نشانههایی از نفوذ طوفان ولت در زیرساختهای حیاتی ایالات متحده در گوام و مناطق نزدیک به پایگاههای نظامی آمریکا مشاهده شده است؛ آن هم با هدف کند کردن روند بسیج نیروهای آمریکایی در صورت وقوع درگیری.
تعداد دقیق سازمانهایی که مورد هدف طوفان ولت قرار گرفتهاند، مشخص نیست اما مقامات آمریکایی سال گذشته اعلام کردند که هر عددی که ارائه شود، احتمالاً کمتر از مقدار واقعی است.
این کارزار سایبری باعث شد کاخ سفید و سایر نهادهای دولتی ایالات متحده اقدامات گستردهای برای مقابله با این تهدید انجام دهند و همچنین بر تقویت امنیت زیرساختهای حیاتی تمرکز کنند.
در گزارشی که فوریه ۲۰۲۴ منتشر شد، اعلام شد که طوفان ولت حداقل پنج سال در برخی از محیطهای فناوری اطلاعات قربانیان حضور داشته است.
سال گذشته، وزارت دادگستری ایالات متحده تأیید کرد که بدافزار کی وی بات نت (KV Botnet) که توسط طوفان ولت اجرا میشد، مختل شده است.
ناتانیل جونز، معاون بخش تحقیقات تهدیدات در شرکت امنیت سایبری دارک تریس (Darktrace)، اعلام کرد که در ماههای اخیر حملات سایبری علیه بخش انرژی افزایش یافته است.
این حملات شامل یک حمله خاص به محیط فناوری عملیات علیه یک شرکت انرژی کانادایی و چندین حمله با استفاده از باجافزار فاگ (Fog) بوده که منجر به رمزگذاری دادهها شده است.
در گزارش فوریه ۲۰۲۵، دراگوس اعلام کرد که طوفان ولت مهمترین گروه تهدیدکننده زیرساختهای حیاتی محسوب میشود.
این گروه معمولاً دادههایی مانند اطلاعات جغرافیایی (GIS)، نقشههای شبکه، دستورالعملهای عملیاتی و موارد دیگر را از سازمانهای قربانی سرقت میکند.
طبق تحقیقات دراگوس، طوفان ولت برای دسترسی اولیه معمولاً از آسیبپذیریهای موجود در دستگاههای وی پی ان (VPN) یا فایروالهایی که به اینترنت متصل هستند، سوءاستفاده میکند.
کارشناسان این شرکت توصیه میکنند که شرکتهای خدماتی برنامههای مدیریت وصلهها (patch management) و طرحهای یکپارچگی سیستم را اجرا کنند.
تیم واکنش به حوادث دراگوس اعلام کرد:
بهترین راه برای شناسایی طوفان ولت، نظارت بر رفتارهای آن است؛ این گروه عمداً خود را در شبکههای قابلاعتماد مخفی میکند و از ابزارهای موجود در همان شبکه استفاده میکند. حرکات جانبی غیرمعمول را با الگوهای ترافیکی معمول در شبکه خود مقایسه کنید و فعالیتهای مشکوکی را که از حسابهای کارکنان معمولی سرچشمه میگیرد، بررسی کنید.
