گزارش اندیشکده کارنگی در مورد تهدیدات سایبری ایران

به گزارش کارگروه بین الملل سایبربان؛ ازیک‌طرف اکثر تحلیلگران غربی معتقدند که قابلیت‌های سایبری تهاجمی خاورمیانه شکست‌خورده، غیرمتمرکز و پایین‌تر از سطح ایالات‌متحده، روسیه و چین است؛ اما از طرف دیگر بر این باورند که نیروهای سایبری ایران به‌عنوان نیروهایی فرصت‌طلب و مقاوم می‌توانند به سازمان‌های غریبه‌ای آسیب برسانند که کارکنان و متخصصان فناوری اطلاعات در آن‌ها از شیوه‌های امنیتی استفاده نمی‌کنند.

اندیشکده کارنگی در یادداشتی که به تازگی منتشر کرد، مدعی شده است: «اقدامات تهران علیه منافع خارجی عمدتاً جاسوسی و خرابکارانه و به‌صورت نرم بوده است. تهدید سایبری ایران، جاسوسی، خرابکاری و انتقام در فضای سایبری است، اما در صورت لزوم ایران به‌صورت استراتژیکی در حملات مخرب، برای حمله متقابل علیه دشمنان شناخته‌شده‌اش، درگیر خواهد شد.»

به ادعای کالین اندرسون (Collin Anderson) و کریم سجادپور، از کارشناسان اندیشکده آمریکایی Carnegie، گروه‌های APT ایرانی که برخی توسط وزارت اطلاعات و بقیه به‌صورت جداگانه به‌وسیله سپاه پاسداران انقلاب اسلامی فرماندهی می‌شوند، متعهد به هدف قرار دادن مخالفان سیاسی و مخالفان ایرانی و همچنین دولت‌های جهانی و مؤسسات تجاری به‌خصوص در اسرائیل، عربستان سعودی و ایالات‌متحده شده‌اند.

در این گزارش آمده است: «این اکوسیستم منحصربه‌فرد شامل اپراتورهای گوناگون دولتی باقابلیت‌ها و وابستگی‌های متفاوت است. در طول یک دهه که ایرانی‌ها در عملیات سایبری مشغول فعالیت هستند، عوامل تهدید به نظر از هیچ جایی نیستند و تا زمان نابودی کمپین‌ها، با رفتار خاصی عمل می‌کنند.»

به گفته کارشناسان دولتی، بسیاری از گروه‌های APT در ایران دارای تاکتیک‌ها، فن‌ها و روش‌های همپوشانی هستند و منابعی مانند بدافزارها، زیرساخت‌ها و روش‌های حمله را به اشتراک می‌گذارند. ازجمله مهم‌ترین آن‌ها عبارت‌اند از:
APT33: به گزارش شرکت امنیت سایبری FireEye این گروه تهدید ایرانی که سال گذشته کشف کرده است، حملات هک و فیشینگ را علیه شرکت‌های هوافضا و پتروشیمی ایالات‌متحده، عربستان و کره جنوبی آغاز کرده است.

APT34: با نام دیگر aka OilRig یا Helix Kitten، با تمرکز اصلی در خاورمیانه، گروهی است که عملیات‌های جاسوسی و مأموریت‌های شناسایی در برابر بخش بزرگی از صنایع را انجام می‌دهد.

آدام میرز (Adam Meyers)، معاون بخش اطلاعات در شرکت آمریکایی CrowdStrike، گفت: «هلیکس کیتن بیشتر کار جاسوسی انجام می‌دهد. این گروه حمل‌ونقل هوایی، انرژی، مالی و دولتی را هدف قرار می‌دهد.»
ایال سیلا (Eyal Sela)، رئیس اطلاعات تهدید در قسمت امنیت سایبری ClearSky اسرائیل، در این زمینه اعلام کرد: «OilRig کاملاً می‌تواند در سازمان‌های مورد هدف نفوذ کرده و همچنین عملیات نقض ارائه‌دهندگان فناوری اطلاعات و تغییر از سوی آن‌ها به مشتریان خود را انجام دهد. متأسفانه، ما نمی‌دانیم که آن‌ها اغلب چگونه سازمان‌های ایالات‌متحده را هدف قرار می‌دهند.»

APT35: با نام‌های دیگر aka Newscaster، NewsBeef یا Charming Kitten، گروه‌هایی هستند که حساب‌های جعلی روزنامه‌نگاری در سکوهای رسانه‌های اجتماعی را به‌منظور استفاده مهندسان اجتماعی برای بازدید از وب‌سایت‌های خطرناک و یا جعلی ایجاد می‌کنند که می‌تواند مسیر بازدید را تغییر داده و اطلاعات آن‌ها را برداشت کنند. در فوریه سال 2017 محققان غربی ابراز داشتند که این گروه از یک وب‌سایت شرکت هواپیمایی جعلی، با احتمال هدف قرار دادن صنعت دفاعی ایالات‌متحده، استفاده کردند و قربانیان را با یک برنامه جاسوسی با نام کامل MacDownloader تحت تأثیر قرار دادند.

ژاکلین او-لیری (Jacqueline O'Leary)، تحلیلگر ارشد تهدید اطلاعات در FireEye، در مصاحبه‌ای عنوان کرد که Newscaster به‌ویژه در سال 2017 فعال بوده و اهدافش صنایع چندگانه در سرتاسر جهان می‌باشد.
وی افزود: «حوزه جهانی کمپین‌های اخیر این گروه بسیار قابل‌توجه است، زیرا به‌طورمعمول دیگر گروه‌های APT ایران تقریباً به‌طور انحصاری روی مناطق خاصی مانند خاورمیانه تمرکز دارند.»

شايد مهم‌ترین حمله مخرب منسوب به ايران، حمله بدافزاری شمعون باشد که در سال 2012، باعث نابودی حدود 35000 كامپيوتر در شركت نفت عربستان موسوم به آرام کو شد. شمعون که از سال 2016 نیز به‌طور چشمگیری دوباره به عربستان سعودی ضربه زده است، از آن زمان با OilRig و دیگر عوامل مشکوک ایرانی، ازجمله گروه‌های وابسته به APT مانند Rocket Kitten یا Greenbug در ارتباط بوده است.

مِیِرز با توضیح در مورد چگونگی پیشرفت تهدیدات سایبری از سوی ایران، اظهار داشت: «در سال 2012 ایرانی‌ها از تروجان شمعون به‌طور اتفاقی در برابر یک هدف استفاده کردند؛ و در سال 2016 و 2017 نیز همان نرم‌افزارهای مخرب با کمی تغییر را دوباره بکار بردند و این بار به سازمان‌های بیشتری ضربه زدند. آن‌ها بدون تغییر ابزار، از بدافزارها در برابر اهداف چندگانه استفاده کرده و تأثیرات تجمعی ابزار را افزایش دادند.»

به گفته مقامات دولتی، در اوایل سال 2017 شمعون دوباره توسط محققان به یک تروجان مشابه جاسوسی دیسکی نسبت داده شد که StoneDrill در عربستان را مورد هدف قرار داده بود و طبق تحقیقات با Charming Kitten نیز ارتباط داشت.

میراث استاکس نت، قدرت دیپلماسی
بر اساس گزارش‌های گسترده، این امری یک‌طرفه نیست و ایالات‌متحده نیز سابقه جنگ سایبری داشته است؛ این کشور با همکاری اسرائیل در سال 2007 با استفاده از کرم استاکس نت، به‌طور فیزیکی پایگاه‌های هسته‌ای ایران را مورد هدف قرار داد و مانع برنامه هسته‌ای آن شد. علاوه بر این، ایالات‌متحده گزارش داد که طرحی احتمالی با نام نیترو-زئوس تدوین کرده است که شامل حملات سایبری به زیرساخت‌های حیاتی ایران در صورت تجاوز نظامی از سوی خاورمیانه می‌باشد.

بر اساس اوراق سفید شرکت کارنگی، زمانی که ایالات‌متحده هکرهای ایرانی را متهم به راه‌اندازی عملیات ابابیل، یک برنامه سرویس انکار توزیع با هدف تخریب و نابودی بانکداری آنلاین آمریکا از سوی ایران در سال‌های 2012 و 2013، کرد حسین جابری انصار، وزیر امور خارجه وقت ایران، آمریکا را ریاکار خطاب کرد. طبق این گزارش، ایران از حوادث مخرب علیه منافعش استفاده می‌کند تا خود را از هرگونه تهاجم خارجی بی‌گناه جلوه دهد و با انحراف توجهات از اقدامات خودش، توانایی خود را در خنثی‌سازی حملات بالقوه تقویت کند.

درنهایت آمریکا مدعی شد که در بخش مالی DDoS هفت نفر متهم فدرال مربوط به دولت ایران و سپاه پاسداران انقلاب اسلامی پیدا شدند. یکی از این افراد حمید فیروزی بود که به هک کردن سیستم کنترل سد نیویورک نیز متهم شد.

مقامات آمریکایی گفتند که خوشبختانه در سال‌های اخیر، ایران، تحت رهبری دوجانبه آیت‌الله خامنه‌ای و حسن روحانی، رئیس‌جمهور اصلاح‌طلبان، از انجام حملات سایبری مخرب علیه آمریکا منصرف شده است. بعضی تحلیل گران معتقدند که توافق هسته‌ای در اکتبر 2015 تحت دیپلماسی رئیس‌جمهور باراک اوباما (که به‌عنوان برنامه جامع اقدام مشترک، برجام، یا JCPOA شناخته می‌شود) ممکن است عامل این انصراف باشد؛ چرا که ایران نمی‌خواهد به روابط دوجانبه سودمندی آسیب برساند که به این کشور اجازه می‌دهد برنامه هسته‌ای منظم را باوجود کاهش تحریم‌ها ادامه دهد.
به همین دلیل اگر دونالد ترامپ بخواهد این تصمیم را وتو کند، تهدیدات می‌توانند تشدید شوند.

کلی واندرلی (Kelli Vanderlee)، رئیس FireEye، معتقد است: «موضع اتخاذشده و اقدامات انجام‌شده توسط آمریکا احتمالاً بر میزان فعالیت‌های تهدید سایبری ایران در هدف قرار دادن واحدهای ایالات‌متحده تأثیر خواهد گذاشت. ما مظنون هستیم که اگر ایالات‌متحده از برجام خارج‌شده و یا برای تحمیل تحریم‌های غیر مرتبط با برنامه هسته‌ای ایران اقدام کند، ایران نیز اقدامات لازم را برای به ایالات‌متحده با استفاده از حملات سایبری انجام می‌دهد.»

وی ادامه داد: «و حتی اگر ایالات‌متحده توافق را حفظ کند، هنوز هم احتمال این وجود دارد که افراد آیت‌الله خامنه‌ای و سپاه پاسداران انقلاب اسلامی، با تخریب تلاش‌های روحانی نهادهای غربی را با حملات سایبری مورد هدف قرار دهند. همچنین ممکن است گروه‌های سایبری ایران از حمله به آمریکا منصرف شوند و تمرکز خود را روی دشمنانشان در منطقه معطوف کنند.»

مِیِرز پیشنهاد داد: «درحالی‌که هدف برجام کاهش فعالیت‌های تهاجمی سایبری علیه غرب می‌باشد، این کاهش با افزایش تنش‌های منطقه‌ای در سوریه و یمن همراه خواهد بود که باعث می‌شود ایران در برابر شورای همکاری خلیج‌فارس و عربستان سعودی متوقف شود. این کار باعث کاهش عناصر سایبری تهاجمی می‌شود که قرار است دوباره انتخاب شوند.»

مارتین لیبیکی (Martin Libicki)، دانشمند ارشد مدیریت در سازمان متخصصین جهانی RAND Corporation و استاد دانشکده پردی رند، گفت: «من احساس می‌کنم که با کاهش تنش‌ها، برجام باعث شده است که ایران در انجام حملات بی‌قیدوشرط به ایالات‌متحده کمی عقب بنشیند؛ اما تغییر هدف به سمت عربستان سعودی ممکن است مهم‌تر باشد.»

وی افزود: «مشخص نیست که در صورت عقب‌نشینی آمریکا، تغییری صورت گیرد؛ اما من فکر می‌کنم که شانس تغییر معامله صفر است.»

متخصصین بر این باورند که برای کشورهایی مانند ایران که دارای منابع نظامی کمتری نسبت به ایالات‌متحده هستند، داشتن یک برنامه سایبری قوی، راهی برای حفظ و تقویت کشور در زمینه رقابتی می‌باشد. کارشناسان هنوز هم معتقدند که ایالات‌متحده هنوز هم ازنظر سایبری بسیار برتر است.
سیلا اعلام کرد: «باوجودی که حملات سایبری برای مهاجمان سودمند است تا به امروز هیچ قابلیت دیگری ندیده‌ایم که این تعادل را تغییر دهد. عملیات سایبری ایران عمدتاً در قلمرو جاسوسی قرار دارد و هنوز به یک تهدید فیزیکی تبدیل نشده است.»

لیبیکی خاطرنشان کرد: «ایالات‌متحده یک ابرقدرت با ویژگی‌های نظامی، اقتصادی و دیپلماتیکی است. فضای سایبری قادر به ایجاد تغییر آن نیست. در روابط حال حاضر ایالات‌متحده با ایران، من هیچ موردی نمی‌بینم که در آن کشوری سیاست خارجی خود را از روی ترس تغییر دهد زیرا با انجام برخی عملیات‌ها یا اقدامات پیش رو، هزینۀ هنگفتی برای آن‌ها از فضای سایبری به ارمغان خواهد آورد.»

بااین‌حال کارشناسان امنیتی ادعا کرده‌اند که آمریکا باید برای هرگونه امکان واقع بینانه ای آماده باشد. به این ترتیب، نویسندگان گزارش کارنگی، اندرسون و سجادپور، توصیه می‌کنند که ایالات‌متحده همچنان به تقویت محافظت از زیرساخت‌های خود ادامه دهد، ملت‌هایی که به عملیات سایبری تهاجمی ایران کمک می‌کنند را تحریم کند و سیاست خود را برای نام بردن و شرمنده کردن مهاجمان حفظ کند.