الايرانيون يقفون وراء حملة قرصنة غير مسبوقة

0 72

كشفت شركة فاير آي FireEye المتخصصة في الأمن الإلكتروني عن حملة قرصنة عالمية متطورة للغاية لاختطاف نظام أسماء النطاقات DNS hijacking، وفي حين أن الشركة لم تربط هذا النشاط بأي مجموعة متتبعة، إلا أن الأبحاث الأولية تشير إلى أن الممثل أو الجهات الفاعلة المسؤولة تتعامل مع إيران وتنسجم مصالح الحملة مع مصالح الحكومة الإيرانية، حيث قامت هذه الجهات خلال الحملة بإعادة توجيه حركة المرور من الشركات في جميع أنحاء العالم عبر خوادمها الخبيثة، مع تسجيل بيانات اعتماد الشركات من أجل هجمات مستقبلية.

وعملت فاير آي عن كثب مع الضحايا ومنظمات الأمن ووكالات تطبيق القانون، حيث تشمل المنظمات المتأثرة بهذه الحملة شركات الاتصالات ومزودي خدمات الإنترنت ومقدمي البنية التحتية للإنترنت والحكومات والكيانات التجارية الحساسة في جميع أنحاء الشرق الأوسط وشمال أفريقيا وأوروبا وأمريكا الشمالية، والتي قد تكون معلوماتها السرية ذات أهمية للحكومة الإيرانية.

وتستخدم هذه الحملة بعض التكتيكات التقليدية، إلا أنها تختلف عن غيرها من النشاط الإيراني الذي تابعته الشركة، إذ إنها تستغل تقنية اختطاف نظام أسماء النطاقات بشكل كبير، ويعتقد محللو FireEye أن المجموعة الواقع مقرها في إيران هي المسؤولة عن الهجمات، بالرغم من عدم وجود دليل قاطع يمكن الاستناد عليه حتى الآن.

وقال الباحثون إن القيمة المادية للكيانات المستهدفة من قبل المجموعة ضئيلة نسبيًا، كما قالوا إنهم وجدوا أن بعض البنى التحتية للضحايا تم الوصول إليها خلال هذه الهجمات عبر عناوين IP إيرانية تمت مراقبتها سابقاً أثناء قيام فاير آي FireEye بالتصدي لهجمات أخرى، والتي نسبت إلى التجسس الإيراني.

وأصدرت شركة فاير آي FireEye تقرير يعطي فكرة عن هذه الهجمات، والتي كانت تحدث على الأقل منذ شهر يناير/كانون الثاني 2017، ووصفت نطاق وتأثير هذه الحملة بأنه غير مسبوق، حيث لم يهاجم القراصنة الضحايا لجمع بيانات اعتماد البريد الإلكتروني، مثل معظم مجموعات التجسس الإلكتروني، بل قاموا بدلًا من ذلك بتعديل سجلات DNS لإعادة تشكيل حركة مرور الإنترنت داخل المؤسسات واختطاف الأجزاء التي يريدونها.

وتعتمد كل هذه الهجمات على قدرة المهاجمين على تغيير سجلات DNS الخاصة بالشركة، والتي لا يستطيع سوى عدد قليل من الأشخاص داخل الشركة القيام بها، ويتطلب هذا عادًة الوصول إلى الحسابات على مسجلي النطاقات أو الشركات التي توفر خدمات DNS المدارة أو خوادم DNS الداخلية.

وقالت فاير آي: “بالرغم من أن الآلية الدقيقة التي تم من خلالها تغيير سجلات DNS ما تزال غير معروفة، إلا أننا نعتقد أن بعض السجلات، على الأقل، قد تم تغييرها من خلال اختراق حساب مسجل النطاق الخاص بالضحية”، وأوضحت أن تحقيقاتها في حملة الاختراق العالمية هذه لا تزال مستمرة إلى حد كبير.

و أشارت شركة الأمن الإلكتروني الأمريكية إلى أن هذا النوع من الهجمات يصعب صدها لأن المهاجمين لا يدخلون إلى الشبكة الداخلية للشركة في معظم الحالات، ومن غير المرجح أن تطلق برامج الأمن المحلية تنبيهات حولها، وتتمثل الخطوات الأولى لمكافحة هذه الهجمات، كما توصي فاير آي، في تمكين المصادقة الثنائية لحسابات إدارة DNS و TLD، وإعداد التنبيهات لأي تغييرات في سجلات DNS A أو NS.

اترك رد

لن يتم نشر عنوان بريدك الإلكتروني.