الهجومات السيبريانية الإيرانية كاتزيد تصعّد: تسريب الإيميل الشخصي ديال مدير الـ FBI، وضرب شركة Stryker بهجوم "Wiper" تدميري

التوترات الجيوسياسية بين ميريكان، إسرائيل، وإيران نتقلات للعالم الرقمي فـسلسلة ديال عمليات سيبريانية خطيرة. فـوقت قصير، مجموعة "Handala Hack" اللي عندها علاقة بإيران، علنات مسؤوليتها على اختراق الإيميل الشخصي ديال مدير الـ FBI "كاش باتيل" (Kash Patel)، وفنفس الوقت دارت أول هجوم "wiper" تدميري من نوعو ضد شركة "Stryker" العملاقة فـمجال التكنولوجيا الطبية.

خلاصة الموضوع (TL;DR)

• استهداف مدير الـ FBI: مجموعة "Handala Hack" سربات إيميلات وصور شخصية ديال مدير الـ FBI كاش باتيل، وخا الـ FBI كاتقول بلي حتى شي معلومات حكومية ما تسرقات.
• اختراق شركة Stryker: هادي أول مرة كايتأكد فيها تعرض شركة ميريكانية من قائمة Fortune 500 (وهي Stryker) لهجوم "wiper" تدميري من طرف هاد المجموعة.
• هوية المجموعة: التقارير كاتبين بلي "Handala Hack" هي واجهة لوزارة الاستخبارات والأمن الإيرانية (MOIS)، ومتخصصة فـعمليات التشويش والحرب النفسية.
• التقنيات المستعملة: المجموعة كاتخدم بحسابات VPN مسروقة، وبروتوكول RDP باش تنقل وسط الشبكات، وأدوات إدارية قانونية بحال "Microsoft Intune" باش تنفذ عمليات التخريب.

---

اختراق إيميل مدير الـ FBI كاش باتيل

مؤخراً، نشرات "Handala Hack" خبر اختراق الحساب الشخصي ديال كاش باتيل، المدير الحالي ديال الـ FBI. المجموعة سربات مجموعة ديال الصور والوثائق فـالأنترنيت، واستهزءات بالمدير وقالت ليه بلي "دابا غادي يلقا سميتو فـلائحة الضحايا اللي تخترقوا بنجاح".

الـ FBI أكدات بلي الإيميلات ديال باتيل تم استهدافها، وقالت بلي "اتخادوا الإجراءات اللازمة باش يقللوا من المخاطر المحتملة". وعلى حساب الوكالة، البيانات اللي تسرقات هي "قديمة"، ومعظمها إيميلات صيفطها باتيل بين 2010 و2019، وما فيهاش معلومات حكومية حساسة.

هاد الاختراق كايتشاف كرد فعل على عملية دارتها المحكمة الميريكانية اللي حجزات على 4 ديال المواقع (domains) كانت كاتسيّرهم هاد المجموعة من قبل.

أول هجوم "Wiper" تدميري على شركة ميريكانية فـ Fortune 500

فـطور خطير للحرب السيبريانية الصناعية، علنات "Handala Hack" مسؤوليتها على عملية تدميرية ضد شركة Stryker، اللي هي مزود كبير للأجهزة والخدمات الطبية. هاد الحادث هو أول حالة مؤكدة لاستعمال برمجية "wiper" خبيثة ضد مؤسسة فـقائمة Fortune 500 الميريكانية.

الهجوم شمل:

• تدمير البيانات: مسح كميات هائلة من بيانات الشركة.
• مسح الأجهزة: ردو آلاف الأجهزة ديال الموظفين ما خداّماش (unusable).
• الاستمرارية (Persistence): استعملوا ملفات خبيثة باش يشغلوا أوامر ويخبيوا النشاط ديالهم وسط لـ "Environment" ديال مايكروسوفت الداخل فـ Stryker.

شركة Stryker قالت من بعد بلي الحادث تم السيطرة عليه، ومسحوا كاع الوسائل اللي خلات المخترقين يبقاو داخل السيستيم. شركات الأمن السيبرياني بحال Palo Alto Networks Unit 42 وHudson Rock كايوقعوا بلي الدخول الأولي للشبكة كان عن طريق "Phishing" (التصيد) واستغلال حسابات تسرقات ببرمجيات "infostealer".

شكون هما "Handala Hack"؟

مجتمع الأمن السيبرياني كايعتبر "Handala Hack" بلي هي مجرد "واجهة" كاتستعملها وزارة الاستخبارات والأمن الإيرانية (MOIS). هاد المجموعة معروفة بأسماء أخرى بحال:

• Banished Kitten
• Cobalt Mystique
• Red Sandstorm
• Void Manticore

المجموعة كاتركز على "الرسائل الجيوسياسية" والتشويش كتر ما كاتقلب على الربح المادي. وغالباً كايصادفوا الهجمات ديالهم مع الوقات اللي كيكون فيها التوتر طالع بين ميريكان، إسرائيل، وإيران.

الأدوات والتكتيكات: التحول لأسلوب "Living off the Land"

الخبراء لاحظو تحول خطير فـالطريقة ديال هاد المجموعة. بلاصت ما يعتمدو غير على برمجيات خبيثة مصاوبينها هما، "Handala Hack" ولات كاتخدم بزاف بأدوات إدارية قانونية (Legitimate tools) باش ميتفرشوش:

• الدخول الأولي: كايعتمدو بزاف على حسابات VPN مسروقة وPhishing.
• التحرك الجانبي (Lateral Movement): كايستعملو "Remote Desktop Protocol" (RDP).
• البرمجيات التدميرية: كايخدمو بـ "Handala Wiper" و "Handala PowerShell Wiper"، اللي كايصيفطوهم عن طريق "Group Policy logon scripts".
• منع استرجاع البيانات: كايستعملو برنامج VeraCrypt، وهو برنامج قانوني لتشفير الأقراص، باش يقفلوا البيانات ويصعبوا عملية الاسترجاع.
• استغلال السحاب (Cloud): التحكم الإداري عبر Microsoft Intune تبيّن بلي هو الوسيلة الرئيسية اللي استعملوها فـالعمليات التدميرية اللخرة.

إجراءات الحكومة الميريكانية

ردّاً على هاد الأنشطة، دارت الحكومة الميريكانية خطوات حازمة:

1. حجز المواقع: وزارة العدل حجزات على بزاف ديال المواقع بحال justicehomeland[.]org و handala-hack[.]to اللي كانوا كايتستعملوا فـالحرب النفسية وتسريب البيانات المسروقة.
2. مكافأة مالية: كاين عرض ديال 10 مليون دولار كجائزة لأي معلومات كاتوّصل للهوية ديال أعضاء هاد المجموعة.
3. توجيهات تقنية: وكالة CISA ومايكروسوفت نشروا دلائل باش يقويو الحماية ديال "Windows domains" و "Microsoft Intune"، وطلبوا من الشركات يفرضوا نظام "MFA" (التحقق بخطوتين) اللي كايقاوم الـ Phishing، ويطبقوا نظام الموافقة ديال بزاف ديال المديرين (multi-admin approval) على التغييرات الحساسة.

خلاصة

الهجمات على كاش باتيل وشركة Stryker كاتمثل فصل جديد فـالنشاط السيبرياني اللي مدعوم من طرف الدول، فين الخطوط ولات ممسوحة بين "التشويش ديال الهاكتيفيزم" و"التدمير بأمر من الدولة". باستغلال أدوات الـ IT القانونية وشبكات الجريمة السيبريانية (بحال الـ infostealers)، الهجمات الإيرانية ولات صعيبة فـالكشف والتتبع. بالنسبة للبنية التحتية الحيوية والقطاع الخاص، التهديد مابقاش غير سرقة البيانات، بل ولا مسح العمليات بشكل كامل.

المصدر: The Hacker News