یک گروه هکری وابسته به دولت ایران از یک بدافزار جدید در حملاتی علیه سازمان‌های ایالات متحده و امارات متحده عربی استفاده کرده است.

این گروه که مایکروسافت آن را با نام "Peach Sandstorm" ردیابی می‌کند، همچنین با نام‌های APT33، Elfin، Holmium، Magnallium، و Refined Kitten شناخته می‌شود. در اواخر سال ۲۰۲۳، مایکروسافت گزارش داد که این گروه به کارمندان سازمان‌های دفاعی در ایالات متحده حمله کرده است.

مایکروسافت مشاهده کرده که "Peach Sandstorm" از یک بدافزار جدید با نام "Tickler" در عملیات‌های جاسوسی علیه سازمان‌های ماهواره‌ای، تجهیزات ارتباطی، دولت، و شرکت‌های نفت و گاز در ایالات متحده و امارات استفاده کرده است.

بدافزار "Tickler" به عنوان یک درب پشتی چند مرحله‌ای توصیف شده است که به مهاجمان امکان می‌دهد تا بدافزارهای بیشتری را به سیستم‌های آلوده اضافه کنند. این بدافزارها قادر به جمع‌آوری اطلاعات سیستم، اجرای دستورات، حذف فایل‌ها و دانلود و آپلود فایل‌ها به یک سرور فرماندهی و کنترل (C&C) هستند.

مایکروسافت همچنین اشاره کرده که این گروه هکری همچنان از لینکدین برای جمع‌آوری اطلاعات و حملات مهندسی اجتماعی استفاده می‌کند.

علاوه بر این، این هکرها همچنان به حملات گسترده رمز عبور ادامه می‌دهند و اخیراً دیده شده که این حملات را علیه سازمان‌های دفاعی، فضایی، آموزشی، و دولتی در ایالات متحده و استرالیا انجام داده‌اند.

همچنین گزارش شده که این هکرها از زیرساخت Azure که تحت کنترل خودشان است، برای فرماندهی و کنترل استفاده می‌کنند.

مایکروسافت گزارش خود را همزمان با گزارشی که Mandiant از Google Cloud درباره یک عملیات ضداطلاعات ایرانی منتشر کرد و همچنین با هشداری از سوی دولت ایالات متحده در مورد همکاری هکرهای وابسته به دولت ایران با گروه‌های باج‌افزار، منتشر کرده است.

مایکروسافت، گوگل، متا و دولت ایالات متحده به تازگی گزارش‌هایی درباره هدف‌گیری هکرهای ایرانی در انتخابات نیز منتشر کرده‌اند.

چرا این حمله شکت خورده ؟

حملات سایبری توسط گروه‌های هکری وابسته به دولت‌ها، از جمله ایران، ممکن است به دلایل مختلفی شکست بخورند و شناسایی شوند. برخی از دلایل احتمالی که باعث شناسایی و ناکامی این حمله خاص شده‌اند، می‌توانند شامل موارد زیر باشند:

1. پیشرفت در فناوری‌های دفاع سایبری: سازمان‌هایی که هدف حمله قرار گرفته‌اند، ممکن است از فناوری‌های پیشرفته دفاع سایبری استفاده کرده باشند که قادر به شناسایی بدافزارها و فعالیت‌های غیرمعمول در شبکه‌هایشان هستند. این ابزارها می‌توانند الگوهای رفتاری مشکوک را تشخیص دهند و تهدیدها را زودتر شناسایی کنند.

2. همکاری اطلاعاتی بین‌المللی: شرکت‌هایی مانند مایکروسافت و Google Cloud به طور مداوم با دولت‌ها و سازمان‌های بین‌المللی برای تبادل اطلاعات و تحلیل تهدیدات همکاری می‌کنند. این همکاری‌ها می‌تواند به شناسایی سریع‌تر تهدیدات و مقابله با آنها کمک کند.

3. اشتباهات عملیاتی هکرها: هکرها ممکن است در طول حملات خود اشتباهاتی مرتکب شوند، مانند استفاده از زیرساخت‌های سرقتی که به راحتی قابل ردیابی هستند، یا ناهماهنگی در اجرای حملات. این اشتباهات می‌تواند باعث جلب توجه دفاع سایبری شود و منجر به شناسایی فعالیت‌های مخرب گردد.

4. افشای اطلاعات: ممکن است برخی از ابزارها یا تکنیک‌های مورد استفاده توسط هکرها از قبل شناخته شده باشند یا توسط منابع اطلاعاتی افشا شده باشند، که این امر به سازمان‌های دفاع سایبری کمک می‌کند تا زودتر به آنها پاسخ دهند.

5. مانیتورینگ و ردیابی: شرکت‌هایی مانند مایکروسافت به طور فعال شبکه‌ها و زیرساخت‌های خود را برای شناسایی فعالیت‌های غیرمعمول و حملات احتمالی مانیتور می‌کنند. این مانیتورینگ فعال می‌تواند به شناسایی سریع‌تر حملات کمک کند.

به طور کلی، ترکیبی از فناوری‌های پیشرفته دفاع سایبری، همکاری‌های بین‌المللی، و هوشیاری در مانیتورینگ شبکه‌ها می‌تواند به شکست و شناسایی این نوع حملات منجر شود.