عملیات سایبری جمهوری اسلامی علیه ایرانیان خارج از کشور؛ هشدار بی‌سابقه سازمان‌های اطلاعاتی

نهادهای امنیتی و اطلاعاتی سه کشور بریتانیا (NCSC)، آمریکا (FBI) و هلند (AIVD) در یک هشدار فوق‌العاده و بیانیه مشترک، از ابعاد یک عملیات پیچیده و گسترده سایبری پرده برداشته‌اند. بر اساس این گزارش جامع، سرویس‌های اطلاعاتی حکومت ایران دست‌کم از سال ۲۰۲۵ (و طبق تحقیقات اف‌بی‌آی از اواخر ۲۰۲۳) با استفاده از یک بدافزار جاسوسی متمرکز به نام CHOSEN BRICK (که اف‌بی‌آی آن را HEAVYGRAM نیز می‌نامد)، اقدام به هدف‌گیری، مراقبت و جاسوسی از فعالان مدنی، روزنامه‌نگاران، مخالفان سیاسی و منتقدان رژیم در خارج از کشور کرده‌اند. هدف اصلی این زنجیره عملیاتی، استخراج اطلاعات حساس مانند لیست مخاطبان، داده‌های پیام‌رسان‌ها و محتوای ایمیل‌هاست تا از این طریق، خط سیر و «الگوی زندگی» هدف‌ها برای سرکوب‌های بعدی ترسیم شود.

ابعاد این خطرات صرفاً به فضای مجازی محدود نمی‌شود. دستگاه‌های اطلاعاتی غرب تأکید می‌کنند که جمع‌آوری این اطلاعات به منظور پشتیبانی از برنامه‌های سرکوب بین‌المللی، تهدید و حتی سازمان‌دهی عملیات‌های ربایش یا اقدامات فیزیکی علیه مخالفان صورت می‌گیرد. در موارد متعددی، داده‌های استخراج‌شده از کامپیوتر قربانیان در سایت‌های افشاگر وابسته به نهادهای امنیتی ایران انتشار یافته است؛ اقدامی که هدف آن افزایش فشار روانی، آبروریزی و ایجاد خطرات جانی برای این افراد و مخاطبان آن‌هاست. این پرونده نشان می‌دهد چطور ابزارهای سایبری به بازوی مستقیم سرکوب‌های برون‌مرزی تبدیل شده‌اند.

هکرهای ایرانی چگونه اعتماد قربانیان را جلب می‌کنند؟ (تحلیل زنجیره حمله)

شیوه کار هکرهای وابسته به جمهوری اسلامی در این پرونده، بیش از آن‌که بر پایه‌ی شکستن کدهای پیچیده نرم‌افزاری باشد، بر استراتژی‌های روانی و مهندسی اجتماعی استوار است. مهاجمان پیش از اقدام، تحقیقات گسترده‌ای درباره پیشینه، ارتباطات و فعالیت‌های هدف انجام می‌دهند تا با آگاهی کامل وارد گفتگو شوند. سپس از طریق پیام‌رسان‌های محبوب مانند واتس‌اپ و تلگرام، با قربانی ارتباط می‌گیرند و خود را به عنوان فردی آشنا، یک همکار قدیمی، یا حتی تیم پشتیبانی فنی پلتفرم‌ها جا می‌زنند. آن‌ها ممکن است روزها یا هفته‌ها وقت صرف ساختن یک رابطه صمیمی و جلب اعتماد کنند تا شک قربانی به‌طور کامل برطرف شود.

پس از ایجاد اعتماد، فاز اصلی عملیات با ارسال یک فایل آلوده آغاز می‌شود. این فایل‌های مخرب به‌گونه‌ای طراحی شده‌اند که کاملاً معتبر و مرتبط با گفتگو به نظر برسند. برای نمونه، هکرها بدافزار خود را در قالب برنامه‌های کاربردی هوش مصنوعی و ادیت ویدیو نظیر Pictory و RunwayML، نرم‌افزارهای معروف مثل KeePass، Telegram، Adobe Flash Player و آنتی‌ویروس Norton، یا حتی فایل‌های شخصی و پزشکی نظیر «نتایج اسکن ام‌آرآی (MRI)» ارسال کرده‌اند. هنگام اجرای فایل، تصویر یا برنامه‌ای کاملاً طبیعی روی صفحه، نمایش داده می‌شود تا قربانی متوجه هیچ‌گونه وضعیت غیرعادی نشود؛ اما در همان لحظه، بدافزار به صورت مخفیانه در پس‌زمینه سیستم نصب و فعال می‌گردد.

نکته بسیار حیاتی دیگر در رفتار هکرها، دور زدن دیوارهای امنیتی سازمانی است. مهاجمان معمولاً نخستین ارتباط را از طریق سیستم‌ها یا ایمیل‌های کاری قربانی برقرار می‌کنند. اگر سیستم‌های امنیتی و آنتی‌ویروس‌های پیشرفته سازمان مانع اجرای فایل آلوده شوند، هکرها با ترفندهای مختلف کاربر را متقاعد می‌کنند تا فایل را روی کامپیوتر یا لپ‌تاپ شخصی خود در منزل باز کند. از آن‌جا که دستگاه‌های شخصی معمولاً فاقد ابزارهای نظارتی و امنیتی سخت‌گیرانه هستند، مهاجمان به راحتی کنترل سیستم را به دست می‌گیرند و به صندوق ایمیل‌ها و حساب‌های شخص دسترسی پیدا می‌کنند.

بدافزار CHOSEN BRICK چگونه کار می‌کند؟

بدافزار CHOSEN BRICK به صورت اختصاصی برای سیستم‌عامل ویندوز طراحی شده و از ساختار فنی حساب‌شده‌ای بهره می‌برد: تثبیت و ماندگاری در سیستم (Persistence): این بدافزار پس از اولین ورود، ماندگاری خود را تضمین می‌کند و حتی با ری‌استارت شدن کامپیوتر از بین نمی‌رود. CHOSEN BRICK با ایجاد کلید‌های اختصاصی در رجیستری ویندوز (به‌ویژه در مسیر HKCU \ Software \ Microsoft \ Windows \ CurrentVersion \ Run) کاری می‌کند که با هر بار روشن شدن سیستم و لاگین کاربر، برنامه به طور خودکار در پس‌زمینه به اجرا درآید.

دور زدن آنتی‌ویروس و مخفی‌کاری: این بدافزار به‌طور فعال ابزارهای دفاعی ویندوز مانند Microsoft Defender را دستکاری کرده و پوشه‌ها یا فایل‌های خود را به لیست استثنائات (Exclusions) آن اضافه می‌کند تا از اسکن‌های امنیتی در امان بماند. همچنین با ثبت «موتکس‌ها» (Mutexes) مشخص مانند ytyjyujyu یا noi672pp434awkc12f جلوی اجرای همزمان چند نسخه را می‌گیرد.

فرماندهی از طریق ربات‌های تلگرام (C2): برای دریافت دستورات و ارسال اطلاعات، بدافزار از زیرساخت تلگرام استفاده می‌کند. جهت حفظ امنیت عملیاتی (OpSec) و جلوگیری از لو رفتن کل شبکه قربانیان، به هر کامپیوتر آلوده یک «بات تلگرام» اختصاصی تعلق می‌گیرد؛ بدین ترتیب اگر یک بات توسط کارشناسان امنیتی کشف شد، سایر قربانیان به خطر نمی‌افتند. نسخه‌های جدیدتر این بدافزار از پروکسی‌های HTTPS و SOCKS5 برای پنهان‌سازی ارتباطات تلگرامی در لوگ‌های شبکه استفاده می‌کنند.

سرقت داده‌ها و انتقال ابری: بدافزار برای خروج داده‌های حجم بالا (مانند فایل‌ها و تصاویر ضبط‌شده)، علاوه بر بات تلگرام، از سرویس‌های ذخیره‌سازی ابری ناشناس و تجاری نظیر VultrObjects، StorjShare و Backblaze B2 استفاده می‌کند.

دسترسی‌ها و قابلیت‌های جاسوسی بدافزار

پس از استقرار بدافزار روی کامپیوتر، مهاجمان کنترل بالایی روی سیستم پیدا کرده و می‌توانند از طریق دستورات ربات تلگرام یا ابزارهای داخلی ویندوز، اقدامات زیر را اجرا کنند:

سرقت ایمیل‌ها و پیام‌ها: استخراج کامل صندوق پیام‌های Outlook (شامل تمام ایمیل‌ها و فایل‌های پیوست)، استخراج اطلاعات و چت‌های واتس‌اپ و تلگرام از مرورگرهای وب و سرقت رمزهای عبور ذخیره‌شده.

شنود و پایش زنده: روشن کردن مخفیانه میکروفون کامپیوتر برای ضبط صدای محیط، و تهیه مداوم عکس از صفحه نمایش جهت زیر نظر گرفتن تمامی فعالیت‌های کاربر.

شناسایی و سرقت اطلاعات سیستم: بررسی لیست برنامه‌های در حال اجرا و جمع‌آوری تمام مشخصات سخت‌افزاری و نرم‌افزاری سیستم.

اجرای دستورات مخرب: دانلود و اجرای بدافزارهای ثانویه در مسیرهای غیراستاندارد (مانند ایجاد پوشه‌ای با فاصله اضافی در مسیر C:\Windows \SysWOW64)، حذف فایل‌ها و در برخی نسخه‌ها پاک‌سازی کامل و خانه‌تکانی سیستم جهت از بین بردن ردپاها.

ابزارهای شناسایی و ردپای آلودگی

برای شناسایی آلودگی احتمالی سیستم‌های شخصی یا سازمانی، بررسی موارد زیر توسط کاربران یا متخصصان شبکه ضروری است:

1. بررسی رجیستری ویندوز برای یافتن فایل‌های مشکوک

با اجرای دستور زیر در محیط PowerShell یا استفاده از ابزار Regedit، لیست برنامه‌هایی را که همراه ویندوز اجرا می‌شوند بررسی کنید:

نمونه‌هایی از کلیدهای آلوده مرتبط با این بدافزار که قبلاً شناسایی شده‌اند عبارتند از:

• نام ورودی: SMQDService با مسیر اجرا: C:\ProgramData\SMQDServicePackages...\smdqservice.exe

• نام ورودی: winappx با مسیر اجرا: C:\Users\All Users\MicrosoftDistribution\sysmain\winappx.exe (توجه داشته باشید که هکرها ممکن است اسامی و مسیرهای فایل را در حملات جدید تغییر دهند).

• پایش دامنه‌ها و ترافیک شبکه

ارتباط غیر منتظره سیستم با دامنه‌های زیر نشان‌دهنده احتمال آلودگی به این بدافزار است:

• api[.]telegram[.]org
• backblazeb2[.]com
• vultrobjects[.]com
• storjshare[.]io i- proyal[.]com
• lightningproxies[.]net

توصیه‌ها و راه‌کارهای امنیتی برای مقابله

ارزیابی نهادهای امنیتی نشان می‌دهد که اصلی‌ترین نقطه ضعف در این حملات، «خطای انسانی» و اعتماد بی‌جا است؛ بنابراین مراقبت‌های رفتاری مهم‌ترین نقش را در جلوگیری از آلودگی ایفا می‌کنند.

برای کاربران و افراد در معرض خطر:

تأیید هویت هوشمندانه: اگر فردی حتی از میان مخاطبان آشنا در واتس‌اپ یا تلگرام فایلی برای شما ارسال کرد، قبل از باز کردن فایل، هویت او را از طریق یک کانال ارتباطی دیگر (مثلاً تماس تلفنی مستقیم) تأیید کنید.

عدم دانلود نرم‌افزار از چت‌ها: نرم‌افزارها را هرگز از طریق لینک‌های ارسال‌شده در پیام‌رسان‌ها دانلود نکنید و همیشه به سایت‌های رسمی یا فروشگاه‌های معتبر اپلیکیشن مراجعه نمایید.

به‌روزرسانی و آنتی‌ویروس: سیستم‌عامل ویندوز و تمام برنامه‌ها را همیشه به‌روز نگه دارید، از فعال بودن Microsoft Defender یا آنتی‌ویروس معتبر اطمینان حاصل کنید و هشدار‌های SmartScreen ویندوز را نادیده نگیرید.

بررسی لیست استثنائات: به بخش تنظیمات Microsoft Defender بروید و لیست پوشه‌های استثنا (Exclusions) را بررسی کنید؛ وجود پوشه‌ای که خودتان اضافه نکرده‌اید یک نشانه جدی آلودگی است.

برای مدیران شبکه و IT سازمان‌ها:

پیاده‌سازی احراز هویت چندعاملی مقاوم برابر فیشینگ (Phishing-resistant MFA) مانند کلیدهای امنیتی سخت‌افزاری. اعمال محدودیت در اجرای برنامه‌ها (Application Allowlisting) و مدیریت دقیق دسترسی‌ها.

فعال‌سازی ابزارهای پایش Endpoint و اسکن ایمیل‌ها، و بررسی لوگ‌های شبکه بر اساس نشانی‌ها و IoCهای اعلام‌شده. در صورت اطمینان یا شک شدید به آلودگی سیستم، توصیه می‌شود علاوه بر بررسی‌های فنی، موضوع را سریعاً به نهادهای امنیتی و سایبری ذی‌ربط (مانند NCSC در بریتانیا از طریق سایت report.ncsc.gov.uk یا سامانه IC3 اف‌بی‌آی در آمریکا به نشانی www.ic3.gov) گزارش دهید.