اداره ملی سایبری اسرائیل (INCD) اخیراً تلاشهای فزاینده و ناامیدکننده ایران برای جذب اسرائیلیها و نفوذ به سازمانها را شناسایی کرده است. پیشنهادهای شغلی وسوسهانگیز و شخصیسازیشده از سوی شرکت رافائل که در لینکدین با پیوندهای مشکوک ظاهر میشوند، ایمیلهایی از سوی INCD که برای دانلود یک بهروزرسانی امنیتی تشویق میکنند، پیشنهاد دریافت پول قابل توجه در ازای وارد کردن اطلاعات شخصی در یک لینک، و دعوت از پژوهشگران به کنفرانسهای علمی با لینکهایی که به رایانه آسیب میرسانند – اینها و دیگر تلاشهای گروههای هکری ایرانی اخیراً توسط اداره ملی سایبری شناسایی شدهاند که اسرائیلیها و سازمانها را هدف قرار میدهند و نشاندهنده یک روند است.
تام الکساندرویچ، رئیس بخش دفاع فناورانه در INCD، میگوید: «تلاشهای ایران پیچیدهتر، هدفمندتر و واقعاً متناسب با منافع هدف شدهاند. پیامهای فیشینگ بر اساس جمعآوری اطلاعات و تحقیقات عمیق بنا شدهاند و شامل یک فایل مخرب یا لینکی برای وارد کردن اطلاعات شخصی هستند. با این حال، با کمی هوشیاری، هنوز هم میتوان نشانهها را شناسایی کرد.»
از ابتدای درگیری، افزایش چشمگیری در کمپینهای فیشینگ که نهادها در اسرائیل را هدف قرار میدهند، مشاهده شده است. بر اساس دادههای INCD، حداقل ۱۵ کمپین مختلف که از گروههای حمله ایرانی با نامهای مستعار مانند «بلک شدو» (Black Shadow) و «مادی واتر» (Muddy Water) نشأت میگیرند، شناسایی شدهاند. هر کمپین هزاران ایمیل هدفمند را به انواع مختلف شرکتها و سازمانها در بخش خصوصی و دولتی ارسال میکند. این افزایش نشان میدهد که ایرانیها به دنبال ایجاد پایگاهی در سازمانها هستند و پیامهای فیشینگ روشی رایج برای آغاز یک حمله سایبری محسوب میشود، اگر هدف واقعاً در را به روی مهاجم باز کند. پس از عفونت اولیه، مهاجمان تلاش میکنند با استفاده از اطلاعات و ابزارهای به سرقت رفته یا کاشته شده در طول عفونت اولیه، به اعماق سازمان و نهادهای مشابه نفوذ کنند.
در پس پیامهای شناسایی شده در ماههای اخیر، گروههای هکری در حال کار برای رژیم ایران قرار دارند که برخی از آنها حتی به صورت «برونسپاری» از طریق شرکتهای خصوصی در تهران اداره میشوند. این گروهها با اهداف ایجاد خسارت، جاسوسی، جمعآوری اطلاعات و نفوذ فعالیت میکنند.
به عنوان مثال، در ماههای اخیر، دانشگاهیان و پژوهشگران مطالعات خاورمیانه پیامهای ظاهراً عادی از پژوهشگران خارجی دریافت کردهاند که درباره حوزه ایران سؤال میپرسیدند. این پیامها که معتبر به نظر میرسیدند و بر حوزههای مورد علاقه پژوهشگر تمرکز داشتند، آنها را به جلسات زوم و کنفرانسها دعوت میکردند و حتی فهرستی از شرکتکنندگان قانونی را برای افزایش اعتبار پیوست میکردند. پس از افشای این تلاشها، بررسی پیامها نشان داد که لینک زوم ارسال شده به پژوهشگران در واقع حاوی نرمافزار مخرب بوده است.
نمونه جالب دیگری که اخیراً شناسایی شده است، رویکردهای هدفمند در لینکدین است که ظاهراً از سوی استخدامکنندگان شرکت «رافائل» با لینکی برای ارسال رزومه بوده است. این لینک منجر به دانلود یک فایل و درخواست پر کردن رمز عبور میشد. سپس این فایل فعال شده و دو فایل دیگر را دانلود میکرد که به مهاجم اجازه دسترسی به ایستگاه کاری و شبکه سازمانی را میداد.
الکساندرویچ توضیح میدهد: «محتوای پیامها اغلب بر اساس اطلاعات جمعآوری شده از منابع مختلف در شبکه، ایجاد پروفایلی از سازمان و کارکنان آن، سفارشیسازی میشود. نگارش به زبان عبری در حال بهبود است و امروزه میتوان پیامها را از یک صندوق پستی واقعی سازمانهای قانونی، یکی از کارکنان، یا با جعل هویت یکی از ارائهدهندگان خدمات در زنجیره تأمین ارسال کرد.»
این اداره اقدامات مختلفی را برای رسیدگی به این موضوع انجام میدهد، از جمله مسدود کردن لینکها، راهنمایی نهادهای پرخطر، توقف زنجیره عفونت، صدور هشدار و اشتراکگذاری اطلاعات در مورد حمله.
