جهان از پشت مانیتور هکرهای وزارت اطلاعات
دو شبیهسازی دفاعی از عملیات مادیواتر نشان میدهند قدرت عملیات هکرهای جمهوری اسلامی در یک فناوری اسرارآمیز خلاصه نمیشود بلکه از ترکیب شناخت دقیق قربانی، سوءاستفاده از اعتماد و چند ابزار فنی نسبتا ساده به وجود میآید.
عبدالرحمان علی S3N4T0R-0X0 پژوهشگر و مهندس امنیت تهاجمی ساکن اسکندریه مصر است که روی شبیهسازی حمله مهاجمان سایبری و توسعه بدافزار و ابزارهای سفارشی براساس روشهای واقعی فعالیتهای مخرب سایبری بهخصوص تهدیدهای پیشرفته امنیتی از سوی روسیه، چین، کرهشمالی و ایران کار میکند. پروژههای متنباز او، بهویژه BEAR‑C2 و APTs‑Adversary‑Simulation، دریچه جالبی به روی فعالیتهای پیچیده این گروههای سایبری باز میکند (گیتهاب، مدیوم، ردیت، لینکدین).
شبیهسازی رفتار گروههای تهدید پیشرفته یا APT، روشی برای بازسازی کنترلشده این فرایند عملیات تهاجمی است: از سند فیشینگ و اجرای کد مخرب تا برقراری ارتباط با زیرساخت فرمان و کنترل و دسترسی مهاجم به اطلاعات رایانه هدف. در بین تحلیلهای S3N4T0R-0X0 دو مورد مربوط به عملیات نیروهای وابسته به وزارت اطلاعات جمهوری اسلامی ایران بود. هر دو، عملیات با یک سند آفیس مایکروسافت دستکاریشده آغاز میشود و در صورت موفقیت، به جمعآوری مشخصات سیستم، اجرای فرمان و مدیریت فایلها میرسد. بازیگر اصلی هر دو پرونده مادیواتر است؛ گروهی که با نامهایی چون Boggy Serpens، Mercury، Seedworm و Static Kitten نیز ردیابی میشود. افبیآی، فرماندهی امنیت سایبری و آژانس امنیت ملی آمریکا و مرکز ملی امنیت سایبری بریتانیا، مادیواتر را عنصری تابع وزارت اطلاعات جمهوری اسلامی ارزیابی میکنند.
پرده اول: یک فایل اکسل، دریچهای به اتاق فرمان مادیواتر
شرکت امنیتی Group‑IB عملیات Olalampo را نخستینبار در ژانویه ۲۰۲۶ مشاهده کرده و با اطمینان بالا به مادیواتر نسبت داد (رازنت پیشتر در گزارش «فونیکس؛ جاسوسافزار تولید ملی» نسل چهارم فونیکس را معرفی کرده بود). پژوهشگران Unit 42 نیز چهار موج حمله را طی شش ماه علیه یک شرکت انرژی و خدمات دریایی در خاورمیانه ثبت کردند.
حمله با فایلهای آلوده Word و Excel آغاز میشد و میتوانست چهار ابزار مختلف را روی رایانه هدف مستقر کند: CHAR، GhostFetch، HTTP_VIP و GhostBackDoor. موضوع این شبیهسازی یکی از آن چهار ابزار، یعنی CHAR است؛ برنامهای که پس از آلودهشدن رایانه، راهی پنهانی برای دسترسی از راه دور ایجاد میکند.
موفقیت چنین عملیاتی بیشتر از آنکه به پیچیدگی بدافزار وابسته باشد، به انتخاب درست قربانی و طعمه بستگی دارد. مهاجم باید بداند چه فایلی ممکن است برای یک مهندس، حسابدار یا دیپلمات بهاندازه کافی عادی و مهم به نظر برسد که آن را باز کند. به همین دلیل، مرحله نخست حمله اغلب نه نوشتن کد، بلکه جمعآوری اطلاعات درباره شغل، سازمان و روابط کاری فرد هدف است. در یک موج حمله، فایل آلوده با اصطلاحات تخصصی مربوط به خطوط لوله زیردریایی برای مهندسان پروژه طراحی شده بود. در موجی دیگر، فایل اکسل به گزارش مالی داخلی شباهت داشت و در آن از پرداخت حقوق، جریان نقدی، خدمات مهندسی و واحد پول امارات استفاده شده بود. بلیت هواپیما و گزارش مصرف نیز در حملات دیگر نقش طعمه را بازی کردند.
هیچکدام از این جزئیات تصادفی نبود. کارمند واحد مالی معمولاً به یک گزارش پرداخت مشکوک نمیشود؛ مهندس پروژه موظف است گزارش پیشرفت کار را بررسی کند؛ و یک دیپلمات نمیتواند هر دعوتنامه رسمی را نادیده بگیرد. مهاجم سندی میسازد که با زندگی حرفهای روزمره قربانی سازگار باشد. بهاینترتیب، «اعتماد قربانی» پیش از آنکه نرمافزار امنیتی فرصت واکنش پیدا کند، به نخستین ابزار حمله تبدیل میشود.
مادیواتر در مواردی ابتدا یک حساب ایمیل واقعی را هک کرده و به کنترل خود درمیآورد و سپس پیام آلوده را از آن حساب قربانی واسطه (که حالا زامبی شده) برای قربانیان بعدی میفرستد. در یکی از نمونهها، دعوتنامهای درباره آینده خاورمیانه پس از جنگ ایران و اسرائیل، از حسابی متعلق به وزارت خارجه عمان برای سفارتخانهها، وزارتخانهها و سازمانهای بینالمللی ارسال شد.
طعمههایی متناسب با قربانی
مادیواتر برای همه قربانیان یک طعمه واحد نمیفرستاد؛ موضوع و ظاهر هر سند با شغل، سازمان و روابط کاری فرد هدف هماهنگ میشد.
ویدیوی کوتاه شبیهسازی نشان میدهد که آغاز حمله تا چه اندازه میتواند معمولی باشد. کاربر فایل اکسل را باز میکند، اما بهجای اطلاعات مورد انتظار، صفحهای تار و پیامی درباره نسخه قدیمی آفیس میبیند. برای مشاهده سند باید دو هشدار بالای صفحه را تایید کند. همین دو کلیک کافی است تا فایل اجازه اجرای دستورهایی را پیدا کند که در حالت عادی غیرفعالاند.
این دستورها در قالب «ماکرو» داخل فایل قرار گرفتهاند. ماکرو، قابلیتی در Word و Excel است که برای خودکارکردن کارهای تکراری ساخته شده؛ برای مثال میتواند محاسبات یا قالببندی یک فایل را با یک کلیک انجام دهد. اما هکر از این قابلیت برای دریافت و اجرای یک برنامه مخرب استفاده کردهاست. ماکرو پس از بازشدن سند چهار کار اصلی انجام میدهد: ابتدا بررسی میکند فایل موردنیاز مهاجم از قبل روی رایانه وجود دارد یا نه؛ سپس نشانی اینترنتی پنهانشده در کد را آشکار میکند؛ اگر لازم باشد، فایل اصلی بدافزار را دریافت میکند؛ و در پایان آن را بدون بازکردن پنجرهای آشکار برای کاربر اجرا میکند. قربانی همچنان منتظر است محتوای جدول نمایش داده شود، در حالی که برنامه دیگری در پسزمینه آغاز به کار کرده است.
چهار مرحله ماکروی آلوده
چهار بخش ماکروی شبیهسازیشده که یک سند اکسل معمولی را به وسیلهای برای دریافت و اجرای بدافزار تبدیل میکنند. تصاویر از محیط آزمایشگاهی پروژه S3N4T0R-0X0 گرفته شدهاند.
برنامهای که در پایان این فرایند روی رایانه اجرا میشود، CHAR نام دارد. این برنامه نوعی «در پشتی» است: راهی مخفی که پس از ورود اولیه باز میماند و به مهاجم اجازه میدهد بدون حضور فیزیکی به رایانه هدف دستور بدهد. CHAR با زبان برنامهنویسی Rust نوشته شده، اما ویژگی مهمتر آن انتخاب تلگرام بهعنوان واسطه ارتباطی است.
تلگرام در این عملیات نقشی متفاوت از پیامرسانی معمول دارد. مهاجم از طریق یک ربات تلگرامی فرمان میفرستد؛ برنامه نصبشده روی رایانه قربانی پیام را دریافت و اجرا میکند و نتیجه را از همان مسیر پس میفرستد. به زبان ساده، ربات نقش پیک میان مهاجم و رایانه آلوده را دارد. این ارتباط به اپراتور اجازه میداد فرمان اجرا کند، فولدرها را ببیند و فایلها را دریافت، جابهجا، حذف یا بارگذاری کند. اگر حجم اطلاعات از ظرفیت یک پیام تلگرام بیشتر بود، CHAR آن را به قطعههای کوچکتر تقسیم میکرد و در چند پیام میفرستاد.
در رابط کنترل، رایانه ابتدا با چند مشخصه معرفی میشود: نام دستگاه، نام کاربر، محل آن در شبکه سازمانی و پوشهای که برنامه در آن قرار دارد. مهاجم سپس میتواند درباره محتویات رایانه پرسوجو کند و پاسخ هر فرمان را ببیند. هر پاسخ، بخش دیگری از موقعیت و فعالیت قربانی را آشکار میکند.
تلگرام و اتاق فرمان آزمایشگاهی
اجزای آزمایشگاهی مسیر ارتباطی CHAR؛ از تعریف ربات تلگرامی تا ظاهرشدن رایانه شبیهسازیشده در رابط کنترل.
ویدیوی دوم شبیهسازی، ماجرا را از سمت دیگر اتصال نشان میدهد. پس از آمادهشدن CHAR، رایانه آزمایشگاهی به صفحه کنترل اضافه میشود و اپراتور میتواند برای آن پیام بفرستد و پاسخ دریافت کند. رشتههای بلند و ظاهرا بیمعنا که روی صفحه حرکت میکنند، شکل بستهبندیشده فرمانها و پاسخها هستند؛ برنامه آنها را برای انتقال از طریق تلگرام آماده میکند و در مقصد دوباره به متن قابلخواندن تبدیل میکند.
این رابط تصویری از «دنیای قربانی از نگاه مهاجم» ارائه میدهد، اما نباید آن را با صفحه واقعی مورد استفاده مادیواتر یکسان دانست. BEAR‑C2 ساخته S3N4T0R-0X0 و بخشی از محیط شبیهسازی است. آنچه بازسازی شده، منطق عملیات است: رایانه آلوده خود را معرفی میکند، فرمان میگیرد و نتیجه را بازمیگرداند.
رسیدن به صفحه کنترل انتهای ویدیو، به موفقیت چند مرحله وابسته است: مهاجم باید درباره هدف اطلاعات جمع کند، یک حساب قابلاعتماد را به دست آورد یا جعل کند، طعمه مناسبی بسازد، پیام را از فیلترهای امنیتی عبور دهد، قربانی را به بازکردن سند و فعالکردن محتوا قانع کند و در نهایت بدافزار را از سد سامانههای حفاظتی رایانه بگذراند.
استفاده از تلگرام برای مادیواتر یک پیامد پیشبینینشده نیز داشت. پژوهشگران Group‑IB توانستند بخشی از فعالیت ربات را زیر نظر بگیرند و ببینند اپراتورها در دورههایی از اواخر ۲۰۲۵ و اوایل ۲۰۲۶ چه نوع ابزارهایی را به کار گرفته و چه فعالیتهایی انجام دادهاند. زیرساختی که قرار بود پنجره مهاجم به سوی قربانی باشد، برای متخصصین امنیت سایبری، نیز در جهت معکوس دید ایجاد کرد. پژوهشگران Group‑IB و Unit 42 در بخشهایی از کد نیز نشانههایی دیدهاند که میتواند حاصل استفاده از ابزارهای هوش مصنوعی باشد.
درسی که از این عملیات میگیریم این است که قدرت عملیات در یک فناوری اسرارآمیز خلاصه نمیشود؛ از ترکیب شناخت دقیق قربانی، سوءاستفاده از اعتماد و چند ابزار فنی نسبتا ساده به وجود میآید.
پرده دوم: سرباز زنگزده در لباس ردیت
عملیات دوم با ایمیلی آغاز میشود که حتی از گزارشهای مالی پرده اول هم کمخطرتر به نظر میرسد: «دستورالعملهای تازه امنیت سایبری». شرکت امنیتی CloudSEK این حمله را در ژانویه ۲۰۲۶ شناسایی کرد. ایمیل از نشانی فرستاده شده بود که به اپراتور اصلی تلفن همراه ترکمنستان مربوط به نظر میرسید و فایلی به نام Cybersecurity را بهعنوان پیوست همراه داشت. پیام درباره امنیت هشدار میداد، اما بازکردن پیوست میتوانست امنیت رایانه را از کار بیندازد.
برنامه جاسوسی بهکاررفته در این حمله، RustyWater نام دارد؛ اسمی که میتوان آن را «آب زنگزده» ترجمه کرد. نمونههای نزدیک به آن پیشتر با نامهای Archer RAT و RUSTRIC نیز شناسایی شده بودند. تفاوت اصلی این ابزار با بسیاری از بدافزارهای قدیمیتر مادیواتر، فقط در نام یا ظاهر آن نبود. مادیواتر سالها به فایلهای اسکریپت و فرمانهای آماده ویندوز متکی بود، اما RustyWater مانند یک برنامه مستقل ساخته شده بود و میتوانست همزمان چند وظیفه را انجام دهد، محیط رایانه را بررسی کند، دسترسی خود را حفظ کند و با مهاجم در ارتباط بماند.
فایل اصلی بدافزار به شکل معمول داخل ایمیل قرار نگرفته بود. مهاجمان آن را به رشتهای طولانی از حروف و اعداد تبدیل کرده و در یکی از بخشهای داخلی فایل Word پنهان کرده بودند. برای چشم کاربر، این دادهها وجود نداشتند؛ اما ماکروی داخل سند میتوانست آن رشته را بخواند و دوباره به یک فایل قابلاجرا تبدیل کند. به اینترتیب فایل Word پس از بازشدن، دادههای پنهان را کنار هم میگذاشت و از دل یک فایل ظاهراً اداری، برنامهای قابلاجرا بیرون میکشید.
از ایمیل امنیتی تا استخراج بدافزار
مسیر آغاز حمله RustyWater؛ از دریافت ایمیلی با موضوع «دستورالعملهای امنیت سایبری» تا بیرونکشیدن یک برنامه قابلاجرا از دادههای پنهانشده در سند Word.
برنامه RustyWater پس از اجرا بلافاصله سراغ فایلهای قربانی نمیرود. نخست تلاش میکند بفهمد روی چه رایانهای قرار گرفته است. نام کاربر و دستگاه چیست؟ رایانه عضو کدام شبکه سازمانی است؟ چه برنامههای امنیتی روی آن نصب شدهاند؟ و مهمتر از همه، آیا با رایانه یک کارمند واقعی روبهرو است یا وارد محیطی شده که پژوهشگران برای بررسی بدافزار ساختهاند؟ نشانهای از ماشین مجازی دیده میشود؟ برنامهای برای بررسی و متوقفکردن کد فعال است؟ و چه مدت از روشنشدن رایانه گذشته است؟ اگر مجموعه پاسخها غیرعادی باشد، برنامه میتواند فعالیت اصلی خود را متوقف کند تا چیزی برای ثبت و تحلیل باقی نگذارد. پژوهشگران، قابلیتهای ضدتحلیل و جستوجوی نشانههای بیش از ۲۵ نرمافزار امنیتی را در RustyWater پیدا کردهاند.
قربانی واقعی یا رایانه آزمایشگاهی؟
پنج بررسی در نسخه شبیهسازیشده که به بدافزار کمک میکنند یک رایانه معمولی را از محیط احتمالی تحلیل امنیتی تشخیص دهد.
اگر رایانه از این آزمونها عبور کند، RustyWater برای پنهانماندن و حفظ دسترسی، کلک بعدی را این طور میزند: خود را با نام reddit.exe معرفی میکند، درحالی که آیکون آن لوگوی Cloudflare است. ترکیب این دو نام آشنا عمدی است: اگر کاربر یا مدیر شبکه بهطور اتفاقی فایل را ببیند، ممکن است آن را به یکی از برنامههای معتبر و شناختهشده اینترنتی نسبت دهد. این استتار چندان بینقص نیست. ردیت و کلودفلر دو برند متفاوتاند. با این حال، مهاجم روی بررسی دقیق همه فایلها حساب نمیکند؛ هدف آن است که نام و آیکون در یک نگاه کوتاه بهاندازه کافی عادی به نظر برسند. همان روشی که در ایمیل با استفاده از یک فرستنده معتبر به کار گرفته شد، اینبار درون رایانه با قرضگرفتن هویت دو برند شناختهشده تکرار میشود.
بدافزار RustyWater سپس تلاش میکند دسترسی خود را پس از خاموش و روشنشدن رایانه حفظ کند. بدافزار نام خود را به فهرست برنامههای خودکار در ابتدای راهاندازی ویندوز (Startup Applications) اضافه میکند تا قربانی با هر بار ورود، آن را دوباره فعال کند. در شبیهسازی، این ورودی با نامی شبیه یکی از اجزای بهروزرسانی ویندوز ثبت میشود تا کمتر جلب توجه کند.
مرحله بعد، پنهانشدن در یکی از برنامههای عادی ویندوز است. RustyWater بخشی از کد خود را در explorer.exe اجرا میکند؛ همان برنامهای که دسکتاپ، نوار وظیفه و پنجرههای فایل را مدیریت میکند. در نتیجه، فعالیت بدافزار ممکن است از بیرون به نام یکی از فرآیندهای معمول سیستم ثبت شود. این روش «تزریق فرایند» نام دارد: برنامه مخرب بهجای آنکه همیشه با نام خودش فعالیت کند، بخشی از کار را زیر پوشش برنامهای معتبر انجام میدهد.
پس از تثبیت دسترسی، RustyWater با سرور مهاجم تماس میگیرد. این ارتباط از همان روش عمومی انتقال اطلاعات در وب استفاده میکند، اما محتوای پیامها پیش از ارسال چند بار تغییر شکل میدهد تا در بررسیهای سطحی قابلخواندن نباشد. رایانه اطلاعاتی مانند نام کاربر و دستگاه، موقعیت آن در شبکه و نتیجه فرمانها را آماده میکند و برای سرور میفرستد.
زمان این تماسها نیز ثابت نیست. اگر یک رایانه دقیقا هر ۳۰ ثانیه با یک نشانی ناشناس ارتباط برقرار کند، شناسایی الگوی آن برای ابزارهای امنیتی آسانتر میشود. RustyWater با کموزیادکردن فاصله تماسها تلاش میکند رفتاری نامنظمتر داشته باشد. در همان زمان میتواند فرمان دریافت کند، با فایلها کار کند و اطلاعات تازهای برای ارسال آماده سازد.
هویت جعلی، دسترسی ماندگار و اتاق فرمان
مراحل بعدی فعالیت RustyWater؛ از پنهانشدن پشت نام و آیکون شرکتهای شناختهشده تا اجرای خودکار، ارتباط با سرور و ظاهرشدن رایانه آزمایشگاهی در رابط کنترل.
جمعبندی و نتیجه گیری
دو شبیهسازی این گزارش از ابزارهای متفاوتی استفاده میکنند. در پرونده نخست، CHAR فرمانها را با کمک یک ربات تلگرامی جابهجا میکرد. در پرونده دوم، RustyWater مستقیما با یک سرور اینترنتی ارتباط میگیرد، محیط رایانه را با دقت بیشتری بررسی میکند و برای پنهانماندن و حفظ دسترسی تلاش بیشتری نشان میدهد. با این حال، منطق اصلی دو حمله تفاوت چندانی ندارد.
هر دو عملیات با شناختن زندگی حرفهای قربانی آغاز میشوند. یکی برای کارمند یک شرکت انرژی، گزارش مالی و مهندسی میفرستد؛ دیگری برای کارمند یک شرکت مخابراتی، دستورالعمل امنیت سایبری. موضوع فایلها متفاوت است، اما هدف یکی است: تبدیل وظیفه روزمره قربانی به دلیلی برای بازکردن سند و عبور از هشدارهای امنیتی. لهاین ترتیب هر دو زنجیره به مجموعهای از موفقیتهای شکننده وابستهاند: شناخت درست قربانی، دسترسی به یک حساب قابلاعتماد، ساخت طعمهای متناسب، عبور پیام از فیلترهای امنیتی و در نهایت متقاعدکردن کاربر به بازکردن سند و فعالکردن محتوای آن.
فناوری در انتهای این زنجیره قرار دارد؛ اعتماد در ابتدای آن. مهاجم قربانی را با زبان حرفهای خودش هدف میگیرد و تنها پس از جلب اعتماد اوست که میتواند زندگی دیجیتال آن فرد را به چند سطر اطلاعات در اتاق فرمان تبدیل کند.