تأثیر حمله هکرهای محور مقاومت به دانشگاه‌های رژیم صهیونیستی

به گزارش کارگروه بین‌الملل سایبربان؛ بنابر ادعای کارشناسان، هکریست‌های محور مقاومت با نقض سیستم‌های یک ارائه‌دهنده فناوری محلی به بخش دانشگاهی، حمله زنجیره‌ای را به دانشگاه‌های رژیم صهیونیستی انجام دادند.

گروه هکری «Lord Nemesis» به صورت آنلاین از اعتبارنامه‌های ربوده شده از نرم‌افزار راشیم (Rashim) برای نفوذ به سیستم‌های مشتریان، دانشگاه‌ها و کالج‌های فروشنده در اراضی اشغالی استفاده کرده است. به گفته «Op Innovate»، یک شرکت پاسخگویی به حوادث که به یکی از دانشگاه‌های رژیم صهیونیستی کمک کرد، عملیات هک و نشت در نوامبر 2023 یا حوالی آن آغاز شد. این شرکت اعلام کرد که به احتمال زیاد اطلاعات دانشجویان آن مؤسسه در نتیجه حمله سایبری فاش شده است.

هک کنترل‌های دسترسی ضعیف

در یک پست وبلاگ مفصل، شرکت مشاوره امنیتی اسرائیل Op Innovate گفت که عملیات هک راشیم به ترکیبی از کنترل‌های دسترسی ضعیف و بررسی‌های احراز هویت متزلزل متکی است.

Op Innovate اعتقاد دارد که راشیم یک حساب کاربری مدیر در حداقل برخی سیستم‌های مشتریان خود نگه داشته است. با ربودن این حساب کاربری، مهاجمان توانستند با استفاده از وی‌پی‌ان یا شبکه خصوصی مجازی (VPN) خود که به Michlol CRM [مدیریت ارتباط با مشتری] متکی بودند، به سازمان‌های متعددی دسترسی پیدا کنند و به طور بالقوه امنیت این مؤسسات را به خطر بیندازند و داده‌های آنها را در معرض خطر قرار دهند.

کنترل‌های احراز هویت قوی‌تر معمولاً مانعی در برابر این نوع حمله هستند، اما راشیم به احراز هویت مبتنی بر ایمیل متکی بود. بنابراین پس از اینکه مهاجمان زیرساخت مایکروسافت آفیس 365 راشیم را به عنوان بخشی از یک حمله گسترده‌تر که پایگاه‌های داده و سایر سیستم‌های آن را هدف قرار می‌دهد به خطر انداختند، احراز هویت ایمیل به عنوان یک دفاع از بین رفت.

گروه هکری «Nemesis Kitten»

در 4 مارس امسال، 4 ماه پس از نقض اولیه، Lord Nemesis از دسترسی خود به زیرساخت داخلی «Office365» راشیم برای ارسال پیامی از حساب ایمیل این شرکت به مشتریان، همکاران و شرکای شرکت نرم‌افزاری استفاده و اعلام کرد که دسترسی کامل به زیرساخت راشیم دارد.

هکرهای محور مقاومت به‌طور جداگانه ویدیوهایی را آپلود کردند که ظاهراً نحوه حذف شاخه‌ها را از پایگاه‌های اطلاعاتی راشیم نشان می‌دهد. آنها همچنین ویدیوها و تصاویر شخصی مدیر عامل راشیم را در تلاشی آشکار برای آزار و اذیت و ارعاب شرکت افشا کردند.

لرد نمسیس که با نام Nemesis Kitten نیز شناخته می‌شود، اواخر سال 2023 ظاهر شد و نفوذ راشیم نشان دهنده اولین حمله سایبری مهم این گروه تازه تأسیس است.

روی گُلمبیک (Roy Golombick)، مدیر ارشد اجرایی Op Innovate، اظهار داشت که دقیقاً نحوه ورود مهاجمان به سیستم‌های نرم‌افزاری راشیم محرمانه باقی می‌ماند، زیرا تحقیقات در حال انجام در مورد این حادثه است.

با این حال، گُلمبیک جزئیاتی از تجارت هکرها را به اشتراک گذاشت. وی توضیح داد :

«این گروه از یک آی‌پی (IP) مخرب شناخته شده از یک سرور پروکسی محلی به اسرائیل استفاده کرد. این آی‌پی یک IOC ارزشمند [شاخص سازش] برای شناسایی تلاش‌های دسترسی به تیم تحقیقاتی ما ارائه کرد.»

Op Innovate تأیید کرد که هکرها با موفقیت حساب مدیریت راشیم نرم‌افزار را که دسترسی ممتاز به سیستم CRM دانشجویی مؤسسه داشت، ربوده‌اند.

طبق گزارش شرکت، مهاجمان با بهره‌برداری از این اعتبارنامه‌های بالا، خارج از ساعات کاری عادی به وی‌پی‌ان مؤسسه متصل شدند و شروع به استخراج داده‌ها کردند.

تجزیه و تحلیل گزارش نشان داد که مهاجمان سرورها و پایگاه‌های داده، از جمله سرور «SQL» حاوی داده‌های حساس دانشجو را هدف قرار داده‌اند. با این حال، Op Innovate نتوانست مدرک قطعی مبنی بر سرقت اطلاعات شخصی دانشجویان در نتیجه حمله پیدا کند، اما با این وجود به این نتیجه رسید که چنین اطلاعات حساسی احتمالاً افشا شده است.

به نظر می‌رسد که این حمله سایبری محدود به نهادهای موجود در سرزمین‌های اشغالی است. گُلمبیک تصریح کرد : 

«براساس اطلاعات ما و کانال تلگرامی گروه مهاجم، این حمله به طور خاص سازمان‌های اسرائیلی را هدف قرار می‌دهد.»

ریسک زنجیره تأمین نرم‌افزار

این حمله خطری را برای سازمان‌ها نشان می‌دهد که ناشی از اتکای آن‌ها به فروشندگان و شرکای شخص ثالث است. مهاجمان به جای ضربه زدن مستقیم به یک سازمان هدف، به طور فزاینده‌ای از طریق حملات زنجیره تأمین که به آنها پله‌ای برای چندین شبکه قربانی آینده‌نگر می‌دهد، دسترسی به نرم‌افزارها یا تأمین کنندگان فناوری را آسان‌تر می‌کنند.

مدیر ارشد اجرایی شرکت حمله به راشیم و مشتریانش را با کمپین قبلی «Pay2Key» مقایسه کرد که علیه بخش حمل و نقل و لجستیک رژیم صهیونیستی در دسامبر 2020 راه‌اندازی شد. هر 2 رویداد اهمیت برداشتن گام‌های پیشگیرانه برای به حداقل رساندن ریسک زنجیره تأمین را نشان می‌دهد.

وی توصیه کرد :

«این شامل اجرای تأیید هویت چند عاملی (MFA) روی همه کاربران، به ویژه آنهایی که توسط فروشندگان شخص ثالث استفاده می‌شود و نظارت بر حساب‌ها برای رفتارهای مشکوک مانند فعالیت‌های خارج از ساعت کاری و سایر پرچم‌های قرمز است.»