انتشار اتهامات جدید سایبری علیه ایران

به گزارش کارگروه بین الملل سایبربان؛ در جدیدترین گزارش شبکه خبری فاکس نیوز در این زمینه از فردی با نام مستعار «آقای تکیده» (Mr. Tekide)، به عنوان پرچم قرمز جوامع امنیت سایبری بین‌المللی یاد می‌شود. به ادعای فاکس نیوز، این فرد، نامی است که موفق شد با وجود این که یک توسعه‌دهنده بدافزار و هکر سطح بالا در نظر گرفته می‌شود، از نظر عموم ناشناخته باقی بماند. بر این اساس، این فرد از روش‌هایی برای پنهان ماندن بدافزار در حملات بهره می‌گرفته و از این راه‌کار برای انجام جاسوسی سایبری روی آمریکا، کشورهای غربی، کشورهای سنی عربی و اسرائیل استفاده می کرده است.

در بخش دیگری از گزارش فاکس نیوز آمده است:

با وجود این جف باردین (Jeff Bardin)، مدیر دفتر اطلاعات شرکت امنیت سایبری «تریداستون 71» (Treadstone 71)، به تازگی اعلام کرد که تکیده را از سال 2015 تاکنون زیر نظر داشته و به هویت واقعی وی پی برده است. باردین ادعا می‌کند این هکر یک مرد ایرانی وابسته به وزارت دفاع ایران است. این هکر یک دامپزشک 29 ساله ایرانی به نام مصطفی صالحی قلاوند است.

باردین در مصاحبه با فاکس نیوز گفته است:

بسیار دشوار است که میزان آسیب‌های وارد شده توسط هکر مذکور را ارزیابی کرد؛ زیرا امروزه بسیاری از این حملات مخفی باقی می‌مانند. با وجود این وی در درجه‌ی اول در عملیات جاسوسی سایبری برای دولت ایران شرکت داشته است. البته تکیده خود به صورت شخصی به غرب حمله نکرده است؛ بلکه دیگر بازیگران را هدایت و راهنمایی می‌کرد. وی عنصری بسیار کلیدی در زنجیره تأمین گروه‌های هکری وابسته ایران به حساب می‌آید که کمپین‌های جاسوسی سایبری را راه‌اندازی می‌کنند. وی یک برنامه‌نویس با تجربه بوده و کریپتر  یا رمزنگار (crypters) پیچیده‌ای دارد. بدون رمزنگار وی، حملات ایران بسیار کمتر از میزان فعلی موفقیت‌آمیز بودند.

مدیر دفتر اطلاعات شرکت ترید استون نیز در این باره ادعا می‌کند:

قلاوند فعالیت خود را از اواخر دهه‌ی 2000 و در فروم هکری آشیانه آغاز کرده است. این فعالیت‌ها تا بازه‌ی زمانی 2015- 2016 ادامه پیدا کردند. وی به تازگی مدرک دکترای خود را در رشته‌ی دامپزشکی از کرج دریافت کرده و کلینیک «راپها وت» (Rapha Vet Clinic) را افتتاح کرده است؛ اما گفته می‌شود این مرکز احتمالاً به دلیل شرایط بد اقتصادی ایران و کمبود وابستگی به سگ‌ها و گربه‌ها در این کشور با شرایط خوبی مواجه نیست.

کارشناس مذکور همچنین در این باره ادعا می کند:

برای مدتی وی تلاش کرد تا از کسب‌وکار هکری خارج شود؛ اما در اواخر 2018 من مشاهده کردم که وی با دلایلی که به احتمال زیاد اقتصادی هستند به این حوزه بازگشته است. وی شرکت جدیدی را تأسیس کرد که ادعا می‌کند خدمات اطلاعات تهدید ارائه می‌دهد و کار را برای بروزرسانی رمزنگار خود آغاز کرد.

در بخش دیگری از گزارش فاکس نیوز آمده است:

ارزیابی‌های جف باردین نشان می‌دهد که مصطفی صالحی قلاوند از کودکی به رایانه‌ها و حیوانات کوچک علاقه‌مند بود. قلاوند مدرک کارشناسی مهندسی رایانه خود را از دانشگاه بین‌المللی امام خمینی دریافت کرد و سپس برای چندین سال در فروم آشیانه عضو شد. در این مدت نرم‌افزاری توسعه داده شد که در زنجیره تأمین حملات ایران مورد استفاده قرار گرفت. در نهایت برای وزارت دفاع ایران کار می‌کند.

باردین در قسمت دیگری از گزارش اشاره می کند:

قلاوند در علوم رایانه و به خصوص توسعه نرم‌افزار بسیار عالی و قدرتمند است. وی هیچ‌گاه رؤیای خود در مورد دامپزشک شدن را فراموش نکرد. او هم‌اکنون دکتری است که به آرزوهای خود دست یافته است. یکی دیگر از اهداف این فرد کار کردن در اتحادیه اروپا به شمار می‌آید. وی به سختی در حال فعالیت است تا سابقه‌ی فعالیت‌های آنلاین گذشته‌ی خود را که مربوط به اقدامات مجرمان در گذشته می‌شود، پاک کند و آن‌ها از قلاوند انتظار دارند هرگونه وابستگی توسط او انکار شود.

کارشناس مذکور اظهار کرد، در حالی که تکیده از چند سال قبل از صحنه فعالیت‌های هکری غایب بوده و تلاش می‌کرد به سمت اقدامات قانونی بازگردند، برنامه‌های رمزنگار وی همچنان در اختیار دیگر مهاجمان قرار داشت. در نتیجه این نرم‌افزارها همچنان نقشی کلیدی را در زنجیره تأمین عملیات جاسوسی سایبری گروه‌های وابسته به ایران ایفا می‌کنند.
مقام یاد شده ادعا کرد:

قلاوند همچنین به صورت مکرر کریپترهای خود را از طریق روش‌های مختلفی مانند وبگاه ویروس توتال (VirusTotal) آزمایش می‌کرد تا همچنان از غیرقابل شناسایی و مؤثر بودن آن‌ها برای وزارت دفاع ایران اطمینان حاصل کند. اساساً کاری که این بدافزار انجام می‌دهد، مخفی سازی امضای بدافزار با استفاده رمزنگاری آن است؛ بنابراین امکان شناسایی و ردیابی آن‌ها توسط گروه‌های امنیتی و اطلاعات تهدید از بین می‌رود. تکیده یک برنامه‌نویس ماهر است و رمزنگارهای او توسط هکرهای مختلف وابسته به دولت ایران مورد استفاده قرار می‌گیرند. از این ابزارها در حملات مرتبط با APT34 - با نام مستعار ایل ریگ (OilRig)-، مادی واتر (MuddyWater) و چندین گروه دیگر بهره‌برداری شده است.

جف باردین مدعی شد، ایل ریگ یک گروه هکری وابسته به ایران است که فعالیت خود را حداقل از سال 2014 آغاز کرده و آسیای غربی و قربانیان بین‌المللی را هدف قرار می‌دهد. این گروه صنایع مختلفی مانند مالی، دولتی، انرژی، شیمیایی و ارتباطات را هدف قرار داده و روی آسیای غربی تمرکز دارند. افراد این تیم حملات زنجیره‌ی تامین را انجام داده (supply chain attacks) و با ایجاد روابط قابل‌اعتماد سازمان‌ها، به اهداف اصلی خود دست پیدا می‌کنند.
باردین اظهار کرد:

بر پایه ارزیابی‌های شرکت فایر آی گروه یاد شده وابسته به دولت ایران بوده و با استفاده از زیرساخت‌های این کشور و با اهداف ملی، به قربانیان خود حمله می‌کنند.

تلاش قلاوند برای خروج از فعالیت‌های هکری از سال 2016 آغاز شد. تقریباً در همان زمان سیتیزن لب (Citizen Lab)، واحد تحقیق و توسعه دانشکده امور بین‌الملل و سیاست عمومی مانک دانشگاه تورنتو، گزارشی دقیق از اقدامات هکری ایران منتشر کرد. با توجه به گزارش سیتیزن لب، عملیات بدافزاری صورت گرفته بسیار دقیق بوده و افراد مخالف سوری را هدف قرار داده بود. اشخاصی که مخالف حمایت ایران از بشار اسد بودند.
در بخشی از گزارش سیتیزن لب آمده است:

به نظر می‌رسد اپراتورها با ابزارهای گویش ایرانی و شرکت‌های هاست این کشور آشنا هستند. همچنین به نظر می‌رسد عناصر عملیات از فضای آی پی ایران باشند. برای نمونه در یکی از حملات، ایمیلی با عنوان جرائم اسد (Assad Crimes) از سوی فعالان جعلی برای یک مخالف سیاسی سوری ارسال شده بود و این گونه به نظر می‌رسید که سعی دارد اطلاعاتی را از جرائم ایرانی‌ها به اشتراک بگذارد؛ اما محتوای این ایمیل به بدافزار آلوده بود. در این گزارش ذکر شده است که نام تکیده به صورت منظم در ایمپلنت‌ها قابل تشخیص است.

مدیر دفتر اطلاعات تریداستون 71 گفت:

به نظر می‌رسد آقای تکیده به سختی تلاش کرده است تا شغل خود را تغییر داده و به یک دامپزشک تبدیل شود. با وجود این، وی به تازگی به مسیرهای گذشته‌ی خود بازگشته است، احتمالاً این موضوع با دلایل اقتصادی صورت گرفته است. همچنین این احتمال وجود دارد که دولت ایران، مدارک دانشگاهی را برای او فراهم کرده و در نتیجه خود را متعهد به دولت می‌داند. قلاوند سال گذشته زمانی را برای کار مجدد روی رمزنگار خود اختصاص داد که نشان از پیشرفت مداوم توانایی‌های فنی مخرب وی دارد.

جف باردین، مدعی است تکیده را در سال 2015 به عنوان مصطفی صالحی قلاوند شناسایی کرد و همچنین اظهار داشت که این اطلاعات را در زمان انجام تحقیق برای یک مشتری به دست آورده است. باردین شرح داد، چندین اشتباه را مشاهده کرده است. بر همین اساس و بر اساس ادعاهای وی، قلاوند در قالب فردی به لقب تکیده سعی داشته تا گذشته هکری خود را پاک کند و در این راه چندین نشانه که پتانسیل فاش‌سازی هویت واقعی وی را داشتند باقی‌مانده بود.
مقام یاد شده ادامه داد:

در طول فرآیند پاک‌سازی، تکیده چندین اشتباه مرتکب شده و شواهدی را که پتانسیل فاش‌سازی هویت واقعی وی و ارتباط آن با این لقب را داشتند، باقی گذشته بود. قلاوند همچنین تلاش کرده بود در زمان انجام فرآیند بالا، 2 نفر دیگر را به عنوان آقای تکیده معرفی کند. البته باید یادآور شد که انجام هیچ‌یک از این اقدامات در آن زمان ضروری نبود؛ زیرا هیچ‌کس به دنبال وی نمی‌گشت. محققان و پژوهشگران تنها به کدهای رمزنگار و شیوه‌ی شناسایی آن علاقه داشتند. این اشتباه از سوی قلاوند باعث افشای اطلاعاتی شده بود که از اینترنت حذف شده بودند؛ اما من موفق شدم به موقع آن‌ها را ثبت کنم.

البته در گزارش منتشر شده در این زمینه، تاکید شده است که حساب کاربری توییتری فردی که با نام قلاوند شناخته می شودريال از آپریل 2019 غیرفعال است. کارشناس مذکور توضیح داد قلاوند با یک هکر آنلاین در تماس است و از طریق لینکداین چندی پیام جابه‌جا کرده‌اند. این اطلاعات بیشتر در اوایل هفته‌ی جاری رخ داده است.
همچنین در این گزارش تاکید شد قلاوند به داشتن متخصص امنیت سایبری آمریکایی که برایش کار کند علاقه داشت؛ اما از بیان این که چطور یا چگونه این کار انجام می‌شود، خودداری کرد. 
باردین با توجه به مسئله‌ی یاد شده در رابطه با توانایی‌های سایبری ایران گفت:

آن‌ها همچنان به استفاده از دفاع قدیمی ادامه می‌دهند و متوجه شده‌اند که رمزگذارهای این فرد، همچنان در اقدامات دفاع سایبری مفید واقع می‌شوند. آن‌ها هنوز کار می‌کنند. از سوی دیگر، شواهدی روی یک فروم –محلی که کریپتر خود را بروزرسانی کرده است - وجود دارد که بیان می‌کند قلاوند همچنان در حال تقویت آن‌ها است. این موضوع نشان می‌دهد نیروهای سایبری ایران به صورت دائمی در حال تحلیل، بهبود ابزارها و توانایی‌های خود هستند که در زنجیره تأمین عملیات سایبری به کار گرفته می‌شود. همچنین این مسائل نشان می‌دهند که دولت ایران به یک زنجیره‌ی بزرگ از هکرها، برنامه نویسان و توسعه‌دهندگان مستقل وابسته است که از عملیات سایبری تهاجمی پشتیبانی می‌کنند.