مجموعة سيبرانية إيرانية تستهدف الأقليات الإيرانية والمنظمات المناهضة للنظام الإيراني

كشفت شركة الأمن السيبراني تشيك بوينت عن حملة تجسس الكتروني تقوم بها مجموعة سيبرانية تعمل لصالح الجمهورية الإيرانية الإسلامية، تستهدف الأقليات الإيرانية والمنظمات المناهضة للنظام الإيراني، مثل مجاهدي خلق ومنظمة رابطة عائلات سكان مخيم أشرف والحرية، ومنظمة المقاومة الوطنية الأذربيجانية، ومواطني بلوشستان؛ بقصد سرقة معلومات حساسة.

رصد خبراء تشيك بوينت أداةً نادرةً من بين أدوات الاختراق المستخدمة، مخصصة لنظام أندرويد قادرة على سرقة الرسائل القصيرة، وتجاوز المصادقة المزدوجة.

موارد تقنية متقدمة

حسب تقرير خبراء الأمن السيبراني في "تشيك بوينت"، عملية المراقبة والتجسس هذه استمرت على مدى السنوات الست الماضية. ويقول خبراء الأمن إن بعض التقارير والأبحاث الفردية من قبل باحثين وصحفيين، كانت قد رصدت بعض خيوط هذه المراقبة الإلكترونية، غير أن تحقيق تشيك بوينت سمح بربط الهجمات المختلفة بمجموعة سيبرانية لإيرانية واحدة وأطلقوا عليها اسم Rampant Kitten.

كشف التقرير أن هذه المجموعة تستخدم موارد تقنية متقدمة لتنفيذ أنشطتها للتجسس الإلكتروني والمراقبة. إذ لديها ترسانة متنوّعَة من أدوات الهجَمات الإلكترونيَّة المتقدّمة، منها مثَلا ،أَربعة أَنْواع من البرامِج الخبِيثة لنظام التشغيل Windows من نسق infostealers القادرة على سرقة المستندات، بما في ذلك الرسائل من تطبيق سطح المكتب تيليغرام، المعروف بتشفير رسائله، أو سرقة مُعرِفات برنامج إدارة كلمات المرور KeePass ،التي تتيح الوصول إلى جميع كلمات مرور الضحية.

طورت المجموعة السيبرانية الإيرانية Rampant Kitten أدواتاً تقنيتاً نادرةً لاستغلال الأبواب الخلفية للهواتف الذكية التي تعمل بنظام التشغيل أندرويد، تتيح للقراصنة تسجيل المحادثات الصوتية وفلترتها، بتكتم من دون إثارة انتباه الضحية. كما يمكنها عرض صفحات  مواقع ويب للتصيد phishing، باستخدام حسابات وهمية لخدمة تيليغرام.كما يمكن لهذه البرمجية الخبيثة  المتقدمة استخراج رموز المصادقة الثنائية من رسائل SMS.

خطورة أدوات الاختراق المتقدمة

يعقد المعيار الأمني  للمصادقة المزدوجة أو التحقق المزدوج سرقة الحسابات التي تتطلب تسجيل الدخول بمعيار المصادقة الثنائية two-factor authentication- 2FA،وهي تقنية لاتكتفي بمُعرِف وكلمة المرور فقط، بل تحتاج إلى إدخال رمز يتم إرساله إلى الهاتف الذكي أو من خلال تطبيق طرف ثالث كتطبيق  Google Authenticator .فمن خلال سلب هذه البيانات، يمكن للقراصنة الوصول إلى مختلف حسابات ضحيتهم.ويمكنهم أيضًا استخدامها لإرسال رسائل التصيد phishing إلى أهداف أخرى.

هجمات متناسقة مع مجموعات سيبرانية أخرى

ربط تقرير تشيك بوينت هذه العملية بهجوم واسع النطاق أطلق عليه اسم Domestic Kitten رصد منذ عام 2016، ظلت هذه الهجمات خارج المراقبة لحذاقة أساليب الخداع المستخدمة من قبل القراصنة الإيرانيين. تستخدم هذه الهجمات تطبيقات الهاتف المحمول المفخخة ببرامج التجسس، تقوم بجمع معلومات حساسة. واستهدفت المواطنين الأكراد والأتراك وأنصار داعش. ولكن الأكثر إثارة للاهتمام حسب تقرير تشيك بوينت هو أن جميع هذه الأهداف هي في الواقع مواطنين إيرانيين.

لمزيد من الالمعلومات عن المجموعات السيبرانية الإيرانية، يمكن العودة للمقال والحلقات التي خصصتها نايلة الصليبي في برنامج ديجيتال للقدرة السيبرانية الإيرانية.

يمكنكم التواصل مع نايلة الصليبي عبر صفحة برنامج "إي ميل" مونت كارلو الدولية على لينكد إن تويتر @salibi و @mcd_digital وعبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي