شركة أمن: التجسس السيبراني الإيراني المكتشف حديثًا قد يشكل "تهديدًا حقيقيًا" لإسرائيل

تل أبيب: أوضحت شركة الأمن السيبراني الإسرائيلية في تقرير نشرته يوم الأربعاء، أن الجهات الفاعلة تدير  في مجال التهديد الإيراني عملية تجسس إلكتروني شديدة الاستهداف ضد شركات الطيران والاتصالات العالمية ، وتسرق معلومات حساسة من أهداف في جميع أنحاء إسرائيل والشرق الأوسط ، وكذلك في الولايات المتحدة وروسيا وأوروبا .

قال عساف دهان، رئيس مجموعة أبحاث التهديد السيبراني في شركة الأمن السيبراني" Cybereason " ، إن الشركة حددت الممثل الحكومي غير المعروف سابقًا، الذي يدير شكلًا جديدًا متطورًا من البرامج الضارة لم تكن معروفة من قبل ، خلال مكالمة استجابة لأحد عملائها. حسب صحيفة "جيروزاليم بوست" الإسرائيلية.

قال دهان إن الحملة مستمرة منذ عام 2018 على الأقل ، وقد نجحت على الأرجح في جمع كميات كبيرة من البيانات من أهداف تم اختيارها بعناية.

وأضاف دهان: "بدأ التحقيق بعد استدعاء فريق أبحاث الاستجابة للحوادث في الشركة لمساعدة إحدى الشركات التي تعرضت للهجوم".

وتابع، حددنا ضررًا متطورًا وجديدًا لم يتم رؤيته أو توثيقه بعد، ووجدت التحقيقات أن هذا مجرد جزء واحد من حملة استخبارات إيرانية كاملة تم إجراؤها بشكل سري وتحت الرادار على مدى السنوات الثلاث الماضية، و يتضح أن المهاجمون تصرفوا بحذر واختاروا ضحاياهم بدقة، منهم مهاجم إيراني متطور تصرف باحتراف وفق استراتيجية مدروسة ومحسوبة .

وقال دهان: " العملية لها كل السمات المميزة للهجوم برعاية الدولة،  بينما تتورط مجموعات إيرانية أخرى في أعمال تدميرية أكثر ،وتركز على جمع المعلومات وتمكنوا من البقاء تحت الرادار لمدة ثلاث سنوات تظهر مستوى تعقيدهم".

وتابع، نقدر أنهم تمكنوا من التسلل بشكل كبير، وجمعوا كميات من البيانات على مر السنين سواء غيغابايت ، أو حتى تيرابايت.

وقالت الشركة، إن المنظمات المتضررة ومسؤولي الأمن المعنيين تم اطلاعهم على الهجوم ، لكن لم يتم توضيح مدى الضرر الفعلي الناجم عن الهجوم.

هذا وتستفيد الحملة من برنامج بروتوكول النقل الآمن (RAT)، المتطور للغاية وغير المكتشف سابقًا والذي يطلق عليه اسم ShellClient"" والذي يتجنب أدوات مكافحة الفيروسات والأجهزة الأمنية الأخرى ويسيء استخدام خدمة Dropbox السحابية العامة للقيادة والسيطرة (C2).

ووفقًا للتقرير، استثمر مؤلفو ""ShellClient الكثير من الجهد في جعل الأمر يتخفى عن الكشف عن طريق مكافحة الفيروسات وأدوات الأمان الأخرى، من خلال الاستفادة من تقنيات التشويش المتعددة وتنفيذ عميل Dropbox مؤخرًا للقيادة والتحكم ، مما يجعل من الصعب جدًا اكتشافه.

وأشار دهان إلى أن "البرامج الضارة تطورت كثيرًا على مر السنين".

وأردف، "في عام 2018 ، كان الكود بسيطًا للغاية ، لكنه أصبح معقدًا للغاية، وفي وقت سابق من هذا العام، تخلت المجموعة عن البنية التحتية للخوادم القديمة واستبدلت ذلك باستضافة ملفات Dropbox ، ونرى أن المزيد من الجهات الفاعلة في مجال التهديد السيبراني تسيء استخدام خدمات سحابية مختلفة مثل Google Drive و Dropbox و Github ، لأنها توفر التمويه المثالي.

وباستخدام برنامج بروتوكول النقل الآمن (RAT) ، قام المخترق أيضًا بنشر أدوات هجوم إضافية لأداء أنشطة تجسس مختلفة على الشبكات المستهدفة بما في ذلك الاستطلاع الإضافي ،والحركة الجانبية في البيئة ، وجمع البيانات الحساسة واستخراجها.

وأكد دهمان، أن التهديد  لا يزال نشطًا ، وتمت ملاحظته بشكل أساسي في منطقة الشرق الأوسط  والمنظمات في الولايات المتحدة وروسيا وأوروبا ، مع التركيز على صناعات الفضاء والاتصالات.

وقال التقرير، إن التحقيق يكشف عن صلات محتملة بالعديد من الجهات الفاعلة في مجال التهديد التي ترعاها الدولة الإيرانية ، بما في ذلك Chafer APT (APT39) و Agrius APT.

 يأتي ذلك بعد نشر تقرير DeadRinger في أغسطس من قبل شركة أمن سيبراني، والذي كشف بالمثل عن العديد من حملات APT الصينية التي تستهدف مزودي الاتصالات.