السعودية تفشل هجوما سيبرانيا إيرانيا جديدا
تاريخ النشر: 09 يناير 2020 17:24 KSA
قال موقع ياهو الإخباري إن السلطات السعودية ضبطت هجومًا سيبرانيًا جديدًا يشتبه في أنه قادم من إيران في 29 ديسمبر، أي في ذات اليوم الذي ضرب فيه الجيش الأمريكي أهدافًا خاضعة لسيطرة وكلاء مدعومين من إيران وذلك ردًا على هجوم صاروخي أسفر عن مقتل مقاول أميركي يوم الجمعة السابق لذاك التاريخ.
ووفقًا لتقرير تقني سعودي حصلت عليه ياهو نيوز فإن المسؤولين في الرياض – الذين أطلقوا على هذه البرمجيات الخبيثة اسم دستمان (Dustman) – لم ينسبوا ذاك الهجوم التخريبي مباشرةً إلى إيران. ومع ذلك، فوفقًا للخبراء الذين راجعوا التقرير الفني وقاموا بتحليل الدوافع وأوجه الشبه المحتملة لهجمات سابقة، فإن طهران هي المشتبه به الأرجح خلف ذاك الهجوم. وقد استخدم الهجوم "الذي يمحي البيانات" - الذي حددته الهيئة السعودية الوطنية للأمن السيبراني – البرمجيات الخبيثة لمسح البيانات الرقمية التي تعود إلى أهداف مجهولة في الشرق الأوسط.
نوايا إيران السيبرانية الإرهابية
وبالرغم من أن هجوم "دستمان" الإيراني التخريبي قد وقع قبل الضربة الأميركية في 2 يناير والتي قتلت قائد الحرس الثوري قاسم سليماني، إلا أنه يؤكد نوايا إيران السيبرانية الإرهابية. فقد حذر جهاز الأمن الداخلي الأميركي بعد مقتل سليماني من خطر زيادة الهجمات السيبرانية الإيرانية - وهي وسيلة رخيصة يمكن إنكارها بحيث يمكن لطهران أن ترد بها دون إثارة حرب إطلاق نار شاملة.
ويكشف هجوم "دستمان" الخبيث وغيره من الهجمات السابقة، عن مدى الحرب السيبرانية البسيطة المستوى - وأحيانًا المدمرة - التي شنتها إيران في الشرق الأوسط لفترة من الزمن، كما يكشف [هجوم "دستمان"] عن أدلةٍ حول التكتيكات والقدرات التي قد تعمد إيران إلى استخدامها في المستقبل.
ووفقًا للباحثين السعوديين، فإن هذه البرمجيات الخبيثة تعتبر نوعً مختلفًا ممّا اكتشفه الفريق الاستخباراتي للكشف عن التهديدات إكس فورس (X-Force) التابع لشركة آي بي إم (IBM) والذي يطلق عليه اسم برمجية "زيرو كلير" الخبيثة (ZeroCleare)، وقد تم تفصيله في تقرير ديسمبر 2019.
وقال جون هولتكويست، مدير تحليل الاستخبارات في شركة استخبارات التهديدات السيبرانية في مقابلة له مع ياهو نيوز: "لقد كان هذا النشاط حيًا وفي حالة جيدة بالشرق الأوسط ". وقال إن إيران كانت تُنضج من قدرتها السيبرانية على مر السنين، لكننا "كنا نراقبهم".
وفي الوقت الذي غرّد فيه المدير بالإنابة لجهاز الأمن الداخلي الأمريكي تشاد وولف بأنه "لا وجود لتهديد محدد وحقيقي"، يراقب المسؤولون الأمريكيون الهجمات السيبرانية المحتملة عن كثب، وذلك بالنظر إلى سجل إيران.
ووفقًا للتقرير الفني من الهيئة السعودية الوطنية للأمن السيبراني، فإن المخترِق – الذي يرجّح أن يكون "دولة" – قد اخترق شبكة شرق أوسطية قبل عدة أشهر من اكتشافه. ثم في 29 ديسمبر فجّر المهاجم البرمجيات الخبيثة "على عجل" حسب وصف الكاتب.
وكتب المحققون السعوديون أن "الهجمات التي تمحي البيانات" عادةً ما يتم اختبارها قبل تنفيذها"، لكن هذه البرمجيات الخبيثة قد تم إعدادها قبل تنفيذ الهجوم "بدقائق" - وهو ما يعتبر تحولًا سريعًا بشكل غير عادي. وذكر أحد الباحثين في الأمن السيبراني أن سرعة الهجوم "تظهر النوايا والأولويات" ويمكن أن تشير إلى أن الغزاة كانوا قلقين من أن يتم اكتشافهم، أو "أن الهجمة المدمِّرة للبيانات قد استخدمت كرد انتقامي" للضربات الأمريكية في 29 يناير.
إلا أن باحثًا آخر في مجال الأمن السيبراني يدرس حالة إيران قد حذّر من وجود خطر في ربط الأحداث المادية بالاستجابات الرقمية الفورية، وأشار إلى أن إعداد البرمجيات الخبيثة قبل استخدامها بفترة قصيرة قد لا يشير إلى المدة التي استغرقتها عملية التطوير أو سبب تنفيذها في لحظة محددة. ومن الممكن أن يكون التقرير السابق لشركة آي بي إم حول "زيرو كلير" قد جعل المهاجمين قلقين من فقدان إمكانية الوصول، فتابعوا. وقال أحد الباحثين في مجال الأمن السيبراني إنه من غير الواضح منذ متى كانت هذه البرمجيات الخبيثة نشطة. كما قال الباحث - الذي يدرس البرمجيات الخبيثة - أنه ربما كان نشطًا منذ مارس.
أوجه التشابه مع شمعون الخبيثة
وفقًا للباحثين السعوديين، كان الهجوم يحمل بعض أوجه التشابه مع "شمعون (Shamoon)" وهي برمجيات خبيثة سيئة السمعة مرتبطة بإيران في 2012، وهذه البرمجيات الخبيثة الجديدة مشابهة لبرمجيات "زيرو كلير" إلى حدٍ كبير، مما يشير إلى أنها كانت نوعًا من متغيرات الشفرة الخبيثة نفسها التي تم اكتشافها من قبل شركة آي بي إم في وقت سابق بشهر ديسمبر، عوضًا عن كونه أسلوب هجوم جديد كليًا. وربما استغل المهاجمون ثغرة لم يتم إصلاحها في برنامج للشبكة الافتراضية الخاصة (VPN)، متحصلين على معلومات حساسة ومتجاوزين بروتوكولات الأمن لشن الهجوم. وعلق أحد خبراء الأمن – طلب عدم الكشف عن هويته لمناقشة ملاحظاتهم – الذي يعمل بشكل متكرر مع القيادة السيبرانية للولايات المتحدة على أن الهجوم ليس متطوراً للغاية، وأن الحلول "الأساسية" قد تكون فعالة في بعض الأحيان. ووفقًا لفريق إكس-فورس التابع لشركة آي بي إم، وهو الفريق المعني بجمع المعلومات الأمنية عن التهديدات الإلكترونية، فقد أثرت برمجيات زيرو كلير الخبيثة على قطاعي الطاقة والصناعة في الشرق الأوسط، وعلى الأرجح أنه تم نشرها من قبل مجموعات متعددة تدعمها الدولة في إيران. وكتب الباحثون في شركة آي بي إم في
ووفقًا لتقرير تقني سعودي حصلت عليه ياهو نيوز فإن المسؤولين في الرياض – الذين أطلقوا على هذه البرمجيات الخبيثة اسم دستمان (Dustman) – لم ينسبوا ذاك الهجوم التخريبي مباشرةً إلى إيران. ومع ذلك، فوفقًا للخبراء الذين راجعوا التقرير الفني وقاموا بتحليل الدوافع وأوجه الشبه المحتملة لهجمات سابقة، فإن طهران هي المشتبه به الأرجح خلف ذاك الهجوم. وقد استخدم الهجوم "الذي يمحي البيانات" - الذي حددته الهيئة السعودية الوطنية للأمن السيبراني – البرمجيات الخبيثة لمسح البيانات الرقمية التي تعود إلى أهداف مجهولة في الشرق الأوسط.
نوايا إيران السيبرانية الإرهابية
وبالرغم من أن هجوم "دستمان" الإيراني التخريبي قد وقع قبل الضربة الأميركية في 2 يناير والتي قتلت قائد الحرس الثوري قاسم سليماني، إلا أنه يؤكد نوايا إيران السيبرانية الإرهابية. فقد حذر جهاز الأمن الداخلي الأميركي بعد مقتل سليماني من خطر زيادة الهجمات السيبرانية الإيرانية - وهي وسيلة رخيصة يمكن إنكارها بحيث يمكن لطهران أن ترد بها دون إثارة حرب إطلاق نار شاملة.
ويكشف هجوم "دستمان" الخبيث وغيره من الهجمات السابقة، عن مدى الحرب السيبرانية البسيطة المستوى - وأحيانًا المدمرة - التي شنتها إيران في الشرق الأوسط لفترة من الزمن، كما يكشف [هجوم "دستمان"] عن أدلةٍ حول التكتيكات والقدرات التي قد تعمد إيران إلى استخدامها في المستقبل.
ووفقًا للباحثين السعوديين، فإن هذه البرمجيات الخبيثة تعتبر نوعً مختلفًا ممّا اكتشفه الفريق الاستخباراتي للكشف عن التهديدات إكس فورس (X-Force) التابع لشركة آي بي إم (IBM) والذي يطلق عليه اسم برمجية "زيرو كلير" الخبيثة (ZeroCleare)، وقد تم تفصيله في تقرير ديسمبر 2019.
وقال جون هولتكويست، مدير تحليل الاستخبارات في شركة استخبارات التهديدات السيبرانية في مقابلة له مع ياهو نيوز: "لقد كان هذا النشاط حيًا وفي حالة جيدة بالشرق الأوسط ". وقال إن إيران كانت تُنضج من قدرتها السيبرانية على مر السنين، لكننا "كنا نراقبهم".
وفي الوقت الذي غرّد فيه المدير بالإنابة لجهاز الأمن الداخلي الأمريكي تشاد وولف بأنه "لا وجود لتهديد محدد وحقيقي"، يراقب المسؤولون الأمريكيون الهجمات السيبرانية المحتملة عن كثب، وذلك بالنظر إلى سجل إيران.
ووفقًا للتقرير الفني من الهيئة السعودية الوطنية للأمن السيبراني، فإن المخترِق – الذي يرجّح أن يكون "دولة" – قد اخترق شبكة شرق أوسطية قبل عدة أشهر من اكتشافه. ثم في 29 ديسمبر فجّر المهاجم البرمجيات الخبيثة "على عجل" حسب وصف الكاتب.
وكتب المحققون السعوديون أن "الهجمات التي تمحي البيانات" عادةً ما يتم اختبارها قبل تنفيذها"، لكن هذه البرمجيات الخبيثة قد تم إعدادها قبل تنفيذ الهجوم "بدقائق" - وهو ما يعتبر تحولًا سريعًا بشكل غير عادي. وذكر أحد الباحثين في الأمن السيبراني أن سرعة الهجوم "تظهر النوايا والأولويات" ويمكن أن تشير إلى أن الغزاة كانوا قلقين من أن يتم اكتشافهم، أو "أن الهجمة المدمِّرة للبيانات قد استخدمت كرد انتقامي" للضربات الأمريكية في 29 يناير.
إلا أن باحثًا آخر في مجال الأمن السيبراني يدرس حالة إيران قد حذّر من وجود خطر في ربط الأحداث المادية بالاستجابات الرقمية الفورية، وأشار إلى أن إعداد البرمجيات الخبيثة قبل استخدامها بفترة قصيرة قد لا يشير إلى المدة التي استغرقتها عملية التطوير أو سبب تنفيذها في لحظة محددة. ومن الممكن أن يكون التقرير السابق لشركة آي بي إم حول "زيرو كلير" قد جعل المهاجمين قلقين من فقدان إمكانية الوصول، فتابعوا. وقال أحد الباحثين في مجال الأمن السيبراني إنه من غير الواضح منذ متى كانت هذه البرمجيات الخبيثة نشطة. كما قال الباحث - الذي يدرس البرمجيات الخبيثة - أنه ربما كان نشطًا منذ مارس.
أوجه التشابه مع شمعون الخبيثة
وفقًا للباحثين السعوديين، كان الهجوم يحمل بعض أوجه التشابه مع "شمعون (Shamoon)" وهي برمجيات خبيثة سيئة السمعة مرتبطة بإيران في 2012، وهذه البرمجيات الخبيثة الجديدة مشابهة لبرمجيات "زيرو كلير" إلى حدٍ كبير، مما يشير إلى أنها كانت نوعًا من متغيرات الشفرة الخبيثة نفسها التي تم اكتشافها من قبل شركة آي بي إم في وقت سابق بشهر ديسمبر، عوضًا عن كونه أسلوب هجوم جديد كليًا. وربما استغل المهاجمون ثغرة لم يتم إصلاحها في برنامج للشبكة الافتراضية الخاصة (VPN)، متحصلين على معلومات حساسة ومتجاوزين بروتوكولات الأمن لشن الهجوم. وعلق أحد خبراء الأمن – طلب عدم الكشف عن هويته لمناقشة ملاحظاتهم – الذي يعمل بشكل متكرر مع القيادة السيبرانية للولايات المتحدة على أن الهجوم ليس متطوراً للغاية، وأن الحلول "الأساسية" قد تكون فعالة في بعض الأحيان. ووفقًا لفريق إكس-فورس التابع لشركة آي بي إم، وهو الفريق المعني بجمع المعلومات الأمنية عن التهديدات الإلكترونية، فقد أثرت برمجيات زيرو كلير الخبيثة على قطاعي الطاقة والصناعة في الشرق الأوسط، وعلى الأرجح أنه تم نشرها من قبل مجموعات متعددة تدعمها الدولة في إيران. وكتب الباحثون في شركة آي بي إم في