نگاهی بر رعب آورترین گروه های هکری در اقصی نقاط دنیا

1469440713266_advanced-persistent-threat-actors-are-frequently-discussed-as-a-hot-topic-among-cybersecurity-experts-political-leaders-and-white-hat-hackers-w600

بحث در مورد بازیگران تهدیدات پیشرفته و پایدار غالبا موضوعی داغ در میان کارشناسان حوزه امنیت سایبری، رهبران سیاسی و هکرهای کلاه سفید (کارشناسان امنیت کامپیوتر که برای پیدا کردن شکاف های امنیتی شبکه ها و سیستم ها اقدام به هک آنها می کنند) است.

هکرها در اصل به درون شبکه ها نفوذ می کنند و خود را در آنها ماندگار می نمایند؛ منظور از ماندگاری در واقع ارتباطی است که صرفا با آپدیت های نرم افزاری یا بوت کردن کامپیوتر متوقف نمی شود.

بازیگران تهدیدات پایدار و پیشرفته از نظر روش هایشان برای دسترسی یافتن به شبکه ها با یکدیگر فرق دارند. برخی از کمپین های ایمیلی فیشینگ با اهداف از پیش تعیین شده برای این منظور بهره می گیرند که در واقع نرم افزارهای مخرب را در داخل دستگاه قربانی نصب می کنند، در حالی که دیگر گروه های پیشرفته از حملات روز صفر برای این منظور استفاده می کنند.

این حملات از آن جهت روز صفر خوانده می شوند که هیچکس تا زمانی که برای نخستین بار از آنها استفاده گردد، از وجودشان اطلاع ندارد. در واقع در این حملات باگ های نرم افزار ناشناخته اند و قربانی هم هیچ روزی (صفر روز) برای توسعه راهکار مناسب مقابله با آن در اختیار نداشته است.

یکی از همین تهدیدات پیشرفته و پایدار دولتی از چهار حمله روز صفر علیه سایت های هسته ای کشورمان استفاده کرد. محض اطلاع تان برای چنین کاری تنها یکی از این حملات کفایت می کند، حال تصورش را نمایید که چهار حمله چه پیامدها و عواقبی را به دنبال داشته. با این همه، به لطف تلاش های شبانه روزی متخصصان کارکشته کشورمان مشکل در کوتاه ترین مدت رفع گردید.

از طرفی آسیب پذیری های روز صفر کسب و کاری بزرگ برای خود محسوب می شوند. این آسیب پذیری ها معمولا در ازای پرداخت چند صد هزار دلار و گاهی اوقات هم میلیون ها دلار خرید و فروش می شوند.

گاهی اوقات مشخص کردن ماهیت تهدیدات پیشرفته و پایدار، منشا و مبدا آنها یا اینکه آیا حمایت های دولتی را در اختیار دارند یا خیر کاری بس دشوار است.

این موضوع تا حدودی به مشکل نسبت دهی مربوط می شود؛ چون هکرها می توانند خود را با استفاده از چندین پراکسی پنهان کرده و ترافیک خود را میان کامپیوترهای مختلف در اقصی نقاط دنیا توزیع نمایند. برای نمونه یکی از هکرهای ارتش کره شمالی ممکن است با استفاده از کامپیوتری که پیشتر هک کرده است و در ژاپن قرار دارد به کره جنوبی حمله نماید.

با این همه، تکنیک ها، تاکتیک ها و اقداماتی که آنها انجام می دهند معمولا اطلاعاتی را در مورد روش هایشان ارائه می کند. شرکت های فعال در زمینه امنیت سایبری نظیر Mandiant، Crowdstrike، کسپرسکی، سیمنتک و دیگران غالبا بر پایه برخی شواهد، جزئیات و اطلاعاتی را ارائه می کنند که «فکر می کنند» به آنها ارتباط دارند.

اما یکی از نکاتی که در زمان تحقیق در مورد تهدیدات پایدار و پیشرفته می شنویم این است: چین جلوتر از هر کشور دیگری حرکت می کند. در حال حاضر بالغ بر 50 گروه وجود دارند که با دولت این کشور ارتباط دارند و تعدادشان حتی از روسیه هم که حدودا دوازده گروه دارد بیشتر است.

اما یکی از نکاتی که در زمان تحقیق در مورد تهدیدات پایدار و پیشرفته می شنویم این است: چین جلوتر از هر کشور دیگری حرکت می کند. در حال حاضر بالغ بر ۵۰ گروه وجود دارند که با دولت این کشور ارتباط دارند و تعدادشان حتی از روسیه هم که حدودا دوازده گروه دارد بیشتر است.

شاید شناخته شده ترین گروه در این جمع انبوه Comment Crew باشد. شرکت Mandiant که در زمینه امنیت سایبری فعالیت دارد در سال 2013 میلادی گزارشی 60 صفحه ای را منتشر کرد و در آن این گروه را به حملاتی مرتبط دانست که علیه زیرساخت های کلیدی آمریکا و کوکاکولا صورت پذیرفت.

شاید شناخته شده ترین گروه در این جمع انبوه Comment Crew باشد. شرکت Mandiant که در زمینه امنیت سایبری فعالیت دارد در سال ۲۰۱۳ میلادی گزارشی ۶۰ صفحه ای را منتشر کرد و در آن این گروه را به حملاتی مرتبط دانست که علیه زیرساخت های کلیدی آمریکا و کوکاکولا صورت پذیرفت.

این گزارش حاوی دلایل و مستنداتی بود که نشان می داد Comment Crew (که گاهی اوقات هم با نام Comment panda یا APT1 از آن یاد می شود) یک واحد نظامی در چین است که با نام PLAY Unit 61398 فعالیت می کند.

عجیب نیست که بدانید چین هرگونه دخالت داشتن در این مساله را رد کرده است.

هم اکنون گروه های چینی متعددی وجود دارند که در حوزه امنیت سایبری فعالیت دارند. این گروه ها با نام های مختلفی نظیر Nailkon، Shell Crow، یا Toxic Panda شناخته می شوند و از نهادهای دولتی آمریکا گرفته تا شرکت های ارائه دهنده خدمات مالی و کمپانی های دست اندرکار حوزه انرژی در سرتاسر جهان را هدف حملات هکی خود قرار می دهند.

با وجود اینکه چین بیشترین تعداد واحدهای هکری را در اختیار دارد، کشورهای دیگر نیز در زمینه حملات سایبری بیکار نیستند و خیلی سخت تلاش می کنند تا سرپوشی بر ردپای دیجیتالی شان بگذارند.

یکی از این کشورها ایالات متحده آمریکاست و آنطور که اطلاعات افشا شده توسط ادوارد اسنودن نشان داده، توانمندی های تهاجمی سازمان ملی امنیت آمریکا در زمینه هک در زمره بهترین موارد در دنیاست.

یکی از روش های منحصر بفرد این سازمان چندی پیش در اسناد افشا شده ویکی لیکس لو رفت: هکرهای ارشد سازمان امنیت در واقع سخت افزار و کامپیوترهای متصل به شبکه را رهگیری کرده و «فرستنده» هایی را درون آنها نصب می کردند که در واقع نوعی درب پشتی را در اختیارشان قرار می داد. آنها در ادامه سخت افزار مورد نظر را بسته بندی کرده و برای گیرنده ارسال می کردند.

اغلب کارشناسان امنیت سایبری بر این باورند که سازمان ملی امنیت آمریکا با همراهی واحد 8200 رژیم صهیونیستی کرم استاکس نت را توسعه دادند؛ منظور همان سلاح سایبری پیشرفته ای است که برای مدتی کوتاه فعالیت سانتریفیوژ های تاسیسات هسته ای کشورمان را از کار انداخت.

اغلب کارشناسان امنیت سایبری بر این باورند که سازمان ملی امنیت آمریکا با همراهی واحد ۸۲۰۰ رژیم صهیونیستی کرم استاکس نت را توسعه دادند؛ منظور همان سلاح سایبری پیشرفته ای است که برای مدتی کوتاه فعالیت سانتریفیوژ های تاسیسات هسته ای کشورمان را از کار انداخت.

اما حمله استاکس نت باعث شد که مقامات کشور سرمایه گذاری های هنگفتی را صرف بهبود و تقویت ارتش سایبری نمایند. طبق اعلام نهادهای ذیربط، تاکنون 20 میلیون دلار صرف این حوزه شده و در همین راستا از نیروهای با تجربه برای این منظور بهره گرفته شده است. حالا به تعبیر نهادهای بین المللی کشورمان چهارمین ارتش بزرگ سایبری در دنیا را دارد.

اما حمله استاکس نت باعث شد که مقامات کشور سرمایه گذاری های هنگفتی را صرف بهبود و تقویت ارتش سایبری نمایند. طبق اعلام نهادهای ذیربط، تاکنون ۲۰ میلیون دلار صرف این حوزه شده و در همین راستا از نیروهای با تجربه برای این منظور بهره گرفته شده است. حالا به تعبیر نهادهای بین المللی کشورمان چهارمین ارتش بزرگ سایبری در دنیا را دارد.

دیوید کندی مدیرعامل شرکت TrustedSec که در زمینه امنیت سایبری فعالیت دارد در مصاحبه با تک اینسایدر اعلام کرد: در سال های اخیر ایرانی ها رشد خیلی سریع و قابل توجهی در این زمینه داشته اند.

اما یکی دیگر از بازیگران کلیدی در این زمینه روسیه است که حدودا دوازده گروه تهدید پایدار و پیشرفته با نام هایی نظیر Sanworm، Cozy Bear و Turla Group دارد و شاید بدنام ترین آنها Sofacy باشد. این موجودیت که از آن تحت عنوان Fancy Bear هم یاد می شود اخیرا به سرورهای کمیته ملی حزب دمکرات آمریکا نفوذ کرد. طبق اعلام شرکت Crowdstrike که در زمینه امنیت سایبری فعالیت دارد گروه دیگری به نام Cozy Bear هم در این کار دخیل بوده است. این کمپانی اعلام نموده تکنیک های عملیاتی و جدید به خدمت گرفته شده توسط هر دوی این گروه ها امکانی را برایشان فراهم کرده تا به راحتی بسیاری از راهکارهای امنیتی پیش روی خود را کنار بزنند.

شرکت Palo Alto Networks ماه گذشته اعلام کرد که دولت آمریکا هدف حمله ایمیل های فیشینگ هکرهای Sofacy قرار گرفته است. تصور می شود که این گروه به سرویس جاسوسی روسیه مرتبط باشد که عموما همسایگان این کشور، دولت های اروپایی و اعضای ناتو را هدف حمله قرار می دهد.

فعالیت های گروه دیگر مرتبط با روسیه به نام Sandworm نیز باعث شد که مدیر سازمان ملی امنیت آمریکا در مورد احتمال هک شدن زیرساخت های کلیدی این کشور توسط آن هشدار دهد. علت هم این است که چنین کاری تخصص گروه یاد شده است و اواخر سال گذشته آنها از بدافزار خود علیه شرکت برق اکراینی استفاده کرده و شبکه برق آن را به مدت هفت ساعت از کار انداختند.

اما نکته ای که شاید از قلم انداخته شده این است که جنگ و جاسوسی در فضای سایبری همواره در سایه و خفا صورت می گیرد.

بردلی ماس یکی از وکلای امنیت ملی آمریکا در مصاحبه ماه می خود با سایت تک اینسایدر اعلام کرد: هیچگونه موضع یا چارچوب الزام آوری که دولت ها را از انجام عملیات سایبری منع کند وجود ندارد و با این عملیات ها طبق قوانین داخلی کشورها برخورد می شود.