به گزارش کارگروه بین‌الملل سایبربان؛ شرکت امنیت سایبری «ClearSky» مدعی شد که طی یک دهه گذشته، شرکت‌هایی در ایالات متحده، انگلستان، مصر، اردن، لبنان، اسرائیل و تشکیلات خودگردان فلسطین هدف گروه هکری به نام «سرو لبنان» یا «سرو فرار» قرار گرفته‌اند که به نظر می سد با حزب‌الله در ارتباط است.
این گروه از سال 2012 فعالیت خود را آغاز کرده، اما از سال 2015 همچنان اطلاعات کمی از خود بیرون داده است. بنابر این گزارش، ظاهراً گروه هکر لبنانی Cedar لبنان طی 5 سال گذشته با موفقیت مورد توجه جامعه امنیتی قرار نگرفته است.
ClearSky با ابراز حمایت از ارزیابی شرکت فناوری‌های نرم‌افزاری چک پوینت (Check Point) مبنی بر اینکه سرو لبنان با دولت یا یک گروه سیاسی لبنان مرتبط است، افزود که نشانه‌هایی مبنی بر ارتباط این گروه هک با واحد سایبری حزب‌الله وجود دارد.
بنابر ادعای ClearSky، این گروه با عملیات بسیار فرار، انتخابی هدفمند و دقت مدیریت شده شناخته می‌شود كه با گروه‌های تهدید پایدار پیشرفته، با حمایت مالی از سوی دولت‌ها یا گروه‌های سیاسی، مطابقت دارد.
این حملات پس از یافتن فعالیت‌های مشکوک شبکه و کشف ابزارهای هک در طیف وسیعی از شرکت‌ها در اوایل سال 2020 آشکار شد.
نسخه جدیدی از ابزار دسترسی از راه دور (“Explosive” V4 RAT ) یا «Caterpillar" V2 WebShell» در شبکه‌های آسیب دیده پیدا شد. ClearSky مرورگر فایل «JSP» منبع باز را شناسایی کرد که برای اهداف هکرها اصلاح شده است. براساس این گزارش، سرو لبنان تنها عامل تهدید شناخته شده‌ای است که از این کد استفاده می‌کند.
پرونده‌ها روی سرورهای اوراکل (Oracle) قربانیان نصب شده و آنها را فاش کرده و درنتیجه هکرها می‌توانند فایل‌های جدید را روی سرور نصب کنند. حدود 254 سرور آلوده در سراسر جهان پیدا شده است. بیشتر قربانیان مربوط به شرکت‌های مخابراتی و فناوری اطلاعات، میزبانی، ارتباطات و میزبانی و برنامه‌های کاربردی بودند.
شرکت‌های هدف شامل «Vodafone Egypt»، «Secured Servers LLC» در ایالات متحده، هادارا (Hadara) در «PA»، «L.L.C. »، شبکه دانشگاه‌های اردن، «Mobily» در عربستان سعودی و «Etisalat» در امارات متحده و غیره هستند. به گفته کارشناسان، بسیاری شرکت‌های دیگر نیز احتمالاً هک شده‌اند و اطلاعات آنها به‌وسیله سرو لبنان طی چند ماه و سال به سرقت رفته است.
در سال 2015، چک پوینت ادعا کرد که آنها یک حمله از سوی سرو لبنان را کشف کرده‌اند که شرکت‌های پیمانکاری دفاعی، ارتباط از راه دور و رسانه و مؤسسات آموزشی در حدود 10 کشور از جمله ایالات متحده، کانادا، انگلیس، ترکیه، لبنان و سرزمین‌های اشغالی را هدف قرار داده است.
تحلیلگران ClearSky در مورد چگونگی موفقیت سرو لبنان در 5 سال گذشته در مناطق بدون توجه فرضیاتی را مطرح کرده‌اند. یکی از توضیحات احتمالی این است که از آنجا که گروه هکرها از یک رابط مشترک پوسته مانند مبتنی بر وب برای امکان دسترسی از راه دور ضمن استفاده به ندرت از ابزارهای دیگر استفاده کرده‌اند، محققان را از نظر انتساب هک‌ها به یک گروه خاص به یک سمت سوق داد.
توضیح احتمالی دیگر این است که سرو لبنان به طور قابل توجهی تمرکز خود را تغییر داده است. در حالی که در ابتدا به کامپیوترها به عنوان نقطه دسترسی اولیه حمله می‌کرد، اما سپس به شبکه قربانی و سرانجام به سرورهای وب آسیب‌پذیر و عمومی حمله می‌کرد. به گفته ClearSky، بیشترین سرور مورد حمله یک نسخه آسیب‌پذیر از وب سرور Oracle بود.
کارشناسان معتقدند که این گروه همچنین احتمالاً به دلیل داشتن دوره‌های طولانی بی‌تحرکی، مورد بی‌توجهی قرار گرفته است.
بیشتر ابزارهایی که این گروه در کمپین‌های اخیر خود از آن استفاده کرده، به‌وسیله خود این گروه ساخته شده، اما براساس ادعای محققان، برخی ابزارهای منبع آزاد از جمله ابزارهای تولید شده به‌وسیله گروه‌های هکتیویست ایرانی، از سوی سرو لبنان نیز استفاده شده است.
ClearSky مدعی شد که این گروه از یک فرایند هدف‌گیری بسیار انتخابی استفاده می‌کند که نشان دهنده شناسایی گسترده است. براساس گزارش شرکت، این کمپین احتمالاً در اواخر سال 2012 آغاز به کار کرده و با دقت به افراد، شرکت‌ها و مؤسسات دولتی منتخب در سراسر جهان حمله کرده است.
اینات مِیرون (Einat Meyron )، مشاور امنیت سایبری در واکنش به این گزارش گفت :
«به عنوان اسرائیلی، ما در برابر گروه‌های حمله دولتی بسیار از خودمان هستیم. ما معتقدیم که اگر به عنوان یک قدرت سایبری در توسعه و ایجاد استارت‌آپ‌هایی از جمله فعالیت‌های شکوهمند نظامی در نظر گرفته شویم، همه چیز را می‌دانیم و دیگر قابل دسترسی نیستیم.»
مِیرون طی اتهاماتی خاطرنشان کرد :
«ما همچنین عادت کرده‌ایم که فقط ایران، روسیه، چین و کره شمالی این حوزه را رهبری می‌کنند. در اینجا اثبات یک اشتباه اساسی وجود دارد. هکرهای خوب و پیشرفته‌ای در سراسر جهان، حتی در کشورهایی ضعیف‌تر از ما از نظر منابع و بودجه، وجود دارند اما خطر کمتری ندارند.»
