تاریخ هک و امنیت سایبری پر از پروندههای قطوری است که سالها و حتی دههها پس از وقوع، همچنان باز ماندهاند. اغلب گروههای باجگیر سایبری یا هکرهای تحت حمایت دولتها دیر یا زود ردپایی از خود به جا میگذارند و دستگیر میشوند، اما هنوز هم معماهای جذابی در دنیای امنیت وجود دارند که هیچکس جوابی برایشان ندارد. نه مجرمی پیدا شده، نه دلیل مشخصی برای حمله وجود دارد و نه حتی انگیزه کار معلوم است.
یکی از این معماها ماجرای گروهی است که از ناکجا ظاهر شدند، جعبهابزار مخفیترین سازمانهای اطلاعاتی را کف اینترنت ریختند و مثل شبح ناپدید شدند.
یک روز تابستانی و پیامی عجیب در اینترنت
تابستان سال ۲۰۱۶ درست وقتی همهی نگاهها به انتخابات ریاستجمهوری آمریکا و شایعههای دخالت هکرهای روس دوخته شده بود، سروکله گروهی با نام عجیب و غریب «دلالان سایه» (Shadow Brokers) در توییتر پیدا شد. استراتژی آنها برای جلب توجه، به طرز خندهداری ابتدایی بود. آنها لینکی از یک متن ناشناس منتشر کردند و چند خبرگزاری بزرگ را زیر آن منشن کردند؛ کاری شبیه این که کسی اعلامیهی مهمی را بنویسد، بعد آن را زیر برفپاککن چند ماشین پارکشده بگذارد و امیدوار باشد رئیس خبرگزاریها همان روز از همان خیابان رد شوند.
اگر کسی از سر کنجکاوی روی آن لینک کلیک میکرد، با سندی روبهرو میشد که عنوانش مو بر تن متخصصان امنیت سیخ میکرد: «دعوتنامه مزایده سلاحهای سایبری گروه اکویشن. «گروه اکویشن» (Equation Group) نام مستعار یک تیم هک بسیار پیشرفته و مخفیکار است که تقریباً همه آن را بازوی سایبری آژانس امنیت ملی آمریکا (NSA) میدانند. انگار که یک نفر در خیابان راه بیفتد و بگوید کلید گاوصندوق سریترین نهاد اطلاعاتی دنیا را برای فروش گذاشته است.
مزایدهای برای خطرناکترین کدهای دنیا
پیام هکرها با یک انگلیسی دستوپاشکسته و عجیب نوشته شده بود و ادعا میکردند که سیستمهای آژانس امنیت ملی را هک کردهاند. آنها برای اثبات حرفشان چند ابزار هک را به صورت رایگان برای دانلود گذاشته بودند، اما برای فایلهای اصلی و رمزنگاریشده یک مزایده راه انداختند. قیمت پایه؟ حداقل یک میلیون بیتکوین!
آنها در پیامشان مدعی شدند که این ابزارها حتی از «استاکسنت» (Stuxnet) هم بهترند؛ همان بدافزار معروفی است که سالها پیش تأسیسات هستهای ایران را هدف قرار داد و مثل یک کرم نامرئی، دستگاهها را از درون نابود کرد. ادعای داشتن چیزی قویتر از استاکسنت، شوخی نبود.
وقتی محققان امنیتی فایلهای رایگان را زیر و رو کردند، رنگ از رخسارشان پرید. این ابزارها کدهای معمولی نبودند؛ بلکه سلاحهای سایبری به شدت پیچیدهای بودند که توسعه آنها فقط از عهدهی یک دولت با بودجههای نجومی برمیآمد. نام بعضی از این برنامهها دقیقاً همانهایی بود که «ادوارد اسنودن»1، افشاگر معروف قبلاً از دل اسناد «آژانس امنیت ملی آمریکا» یا همان NSA لو داده بود.
ماجرای حراج احتمالاً از اول هم یک نمایش تبلیغاتی بود، چون چند ماه بعد همین گروه بخش بزرگی از ابزارها را مفت و مجانی روی اینترنت ریخت. خیلی چیزها دربارهی بروکرهای سایه جور درنمیآمد. انگلیسی دستوپا شکستهشان تقریباً خندهدار بود، انگار یا زیادی تلاش میکردند یا عمداً میخواستند بگویند «ما آن کسی نیستیم که فکر میکنید». با وجود عطش آشکارشان برای جلب توجه، فقط یک بار حاضر شدند با خبرنگاران صحبت کنند.
آسیبپذیری روز صفر؛ بمبی در جیب هکرها
تأثیر این افشاگری ویرانگر بود. در میان فایلهای منتشر شده، ابزاری به نام «اترنالبلو» (EternalBlue) وجود داشت؛ خانوادهای از «آسیبپذیریهای روز صفر» (Zero-day) در سیستمعامل ویندوز که به هکرها اجازه میداد وارد شبکهها شوند و کرمهای خودتکثیرشونده را پخش کنند.
هکرهای کره شمالی از اترنالبلو برای ساخت کرم باجافزاری «واناکرای» (WannaCry) استفاده کردند. هکرهای روس نیز بعداً آن را در بدافزار «ناتپتیا» (NotPetya) به کار بردند؛ بدافزاری که از اهداف اولیهاش در اوکراین فراتر رفت و حدود ۱۰ میلیارد دلار خسارت در سراسر جهان به بار آورد.
درس این اتفاق برای کسبوکارها تلخ و روشن بود: آسیبپذیریهایی که توسط نهادهای اطلاعاتی احتکار میشوند، تا ابد پنهان نمیمانند و وقتی لو بروند، این بخش خصوصی و مردم عادی هستند که باید تاوانش را بدهند.
وصله نجاتبخشی که از غیب رسید
مایکروسافت آن زمان مدعی شد مدتی قبل از اینکه گروه سایه ترسناکترین سلاحش یعنی همان اترنالبلو را کف اینترنت بریزد، در سکوت خبری یک وصلهی امنیتی برای بستن آن منتشر کرده بود. انگار کسی مخفیانه و در خفا به آنها خبر داده بود که توفانی در راه است.
بعدها معلوم شد که به احتمال زیاد، یک نفر از دل همان نهادهای اطلاعاتی به صورت ناشناس مهندسان مایکروسافت را در جریان گذاشته بود. با وجود انتشار پچ امنیتی کاربران و مدیران شبکه گاهی حال و حوصله یا وقت کافی برای بهروزرسانی سیستم را ندارند. همین تعلل ساده باعث شد تا با وجود «نوشدارو»، باز هم صدها هزار کامپیوتر در سراسر جهان آلوده یا از کار افتادند.
سایهای که به ایران هم رسید
گنجینه ابزارهای لو رفته از Shadow Brokers هنوز هم رازهای تازهای بیرون میدهد. در میان فایلهای منتشرشده، فهرستی از نام پروژهها دیده میشد که یکی از آنها Fast16 بود؛ پروژهای با برچسب کنایهآمیز «اینجا چیزی برای دیدن نیست، رد شوید»!
در آوریل ۲۰۲۶، پژوهشگران امنیتی اعلام کردند نمونهای از Fast16 را بررسی کردهاند؛ بدافزاری قدیمی، مربوط به حدود سال ۲۰۰۵، که ظاهراً برای دستکاری خروجی برخی نرمافزارهای مهندسی و شبیهسازی طراحی شده بود. برخی گزارشها میگویند این ابزار ممکن است با نرمافزارهایی مرتبط بوده باشد که در پروژههای حساس، از جمله برنامه هستهای ایران، استفاده میشدهاند.
همین بخش نشان میدهد ماجرای Shadow Brokers فقط یک نشت تاریخی نبود؛ ابزارهایی که آن روز از تاریکی بیرون آمدند، هنوز هم سالها بعد گوشههای تازهای از جنگ سایبری پنهان را روشن میکنند.
معمایی که حل نشد
متخصصان امنیتی و کارمندان سابق آژانس امنیت ملی حدس میزنند که در این رخنهی سایبری پای یک نفوذی در میان بوده؛ کسی که از داخل خود سازمان به فایلها دسترسی داشته است. در مقطعی یک پیمانکار آژانس هم به جرم سرقت اطلاعات محرمانه دستگیر شد، اما مشکل اینجا بود که حتی وقتی او در زندان بود، گروه سایه در اینترنت فعالیت میکرد. تئوری محبوب این است که کل ماجرا یک عملیات روانی توسط جاسوسان سایبری دولت روسیه بوده است.
محققان هنوز هم در حال بررسی فایلهای لو رفته از آن هک تاریخی هستند و هر از گاهی نام پروژههای مخفی جدیدی از دل آن بیرون میکشند. ارواح اینترنت شاید رفته باشند، اما میراث شوم آنها همچنان در تاریکترین لایههای دنیای دیجیتال پرسه میزند.
- ادوارد اسنودن (Edward Snowden)، پیمانکار سابق آژانس امنیت ملی آمریکا که در سال ۲۰۱۳ اسناد محرمانهای درباره برنامههای گسترده شنود و نظارت دیجیتال آمریکا را افشا کرد. افشاگریهای او بحث جهانی بزرگی درباره حریم خصوصی و نظارت دولتی به راه انداخت. ↩︎
