موضوع مقاله: کرم شنی (گروه هکری) | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # کرم شنی (گروه هکری) | مقدمه: کرم شنی یک تهدید پیشرفته و مستمر است که توسط واحد نظامی ۷۴۴۵۵، یک واحد جنگ سایبری در GRU (سازمان اطلاعات نظامی روسیه)، اداره می‌شود. | ## بخش 1: کرم شنی (گروه هکری) | با توجه به این که گمان می‌رود این تیم با استفاده از بدافزار نات‌پتیا، مسئول حمله سایبری دسامبر ۲۰۱۵ به شبکه برق اوکراین، حملات سایبری ۲۰۱۷ به اوکراین، مراسم افتتاحیه المپیک زمستانی ۲۰۱۸ و همچنین دخالت در انتخابات ریاست‌جمهوری فرانسه باشد تلاش‌های مداخله‌گرانه مختلف در انتخابات ریاست‌جمهوری ۲۰۱۷ فرانسه و حمله سایبری به المپیک زمستانی ۲۰۱۸ طی مراسم افتتاحیه آن است.، آقای اسکات بردی، دادستان وقت ایالات متحده در ناحیه غربی پنسیلوانیا، اقدامات سایبری این گروه را «نمایانگر مخرب‌ترین و پرهزینه‌ترین حملات سایبری در تاریخ» توصیف کرد. تاریخچه ۲۰۱۴ در ۳ سپتامبر ۲۰۱۴، شرکت آی‌سایت‌پارتنرز (که اکنون مندیانت نام دارد) یک کمپین فیشینگ نیزه‌ای را کشف کرد که از یک آسیب‌پذیری روز-صفر در اسناد مسلح‌شده مایکروسافت آفیس استفاده می‌کرد. این آسیب‌پذیری که CVE-2014-4114 نام گرفت، تمام نسخه‌های ویندوز از ویستا تا ۸٫۱ را تحت تأثیر قرار می‌داد و به مهاجمان این امکان را می‌داد که بر روی دستگاه هدف کد دلخواه را اجرا کنند. پژوهشگران توانستند این حمله را به گروه کرم شنی نسبت دهند و مشاهده کردند که دولت اوکراین یکی از اهداف این کمپین بوده است. قابل توجه اینکه این حمله هم‌زمان با برگزاری اجلاس ناتو درباره اوکراین در ولز صورت گرفت. حمله ۲۰۱۵ به شبکه برق اوکراین در ۲۳ دسامبر ۲۰۱۵، هکرها یک حمله سایبری هماهنگ علیه سه شرکت انرژی در اوکراین انجام دادند و توانستند به‌طور موقت تأمین برق حدود ۲۳۰٬۰۰۰ شهروند اوکراینی را برای ۱ تا ۶ ساعت مختل کنند. در ژانویه، شرکت آی‌سایت‌پارتنرز گزارشی منتشر کرد که بر اساس استفاده از انرژی سیاه ۳ در این حمله، آنرا را به کرم شنی نسبت می‌داد. حمله ۲۰۱۶ به شبکه برق اوکراین در ۱۷ دسامبر ۲۰۱۶، یک سال پس از حمله پیشین به شبکه برق، هکرها بار دیگر توانستند با یک حمله سایبری، شبکه برق اوکراین را مختل کنند. اگرچه قطعی برق کوتاه بود، ولی گزارشی که سه سال بعد توسط شرکت امنیتی دراگوس منتشر شد نشان می‌داد که بدافزار موسوم به اینداسترویر یا CRASHOVERRIDE ممکن بود برای ازکارانداختن فیزیکی تجهیزات الکتریکی طراحی شده باشد. این بدافزار با استفاده از یک آسیب‌پذیری شناخته‌شده در رله‌های حفاظتی، احتمالاً قصد داشته هرگونه مشکل ایمنی را مخفی کند تا هنگامی که مهندسان تلاش کردند برق را بازگردانند، اضافه‌بار جریان رخ دهد و ترانسفورماتورها یا خطوط برق را نابود کند. چنین تخریبی می‌توانست به نیروهای خدماتی هم آسیب برساند و اگر موفق می‌شد، منجر به قطعی طولانی‌تر برق می‌گشت. المپیک زمستانی ۲۰۱۸ در ۹ فوریه ۲۰۱۸، هم‌زمان با مراسم افتتاحیه المپیک زمستانی در پیونگ‌چانگ کره جنوبی، هکرها حمله‌ای سایبری را اجرا کردند و زیرساخت‌های فناوری اطلاعات شامل وای‌فای، تلویزیون‌های اطراف ورزشگاه المپیک پیونگ‌چانگ که مراسم را نمایش می‌دادند، دروازه‌های امنیتی مبتنی بر RFID و اپ رسمی المپیک (که برای خرید وکنترل بلیت دیجیتال استفاده می‌شد) را مختل کردند. کارکنان توانستند بیشتر عملکردهای حیاتی را پیش از پایان مراسم افتتاحیه بازی‌ها بازیابی کنند، اما کل شبکه از ابتدا بازسازی شد. | ## بخش 2: کرم شنی (گروه هکری) | بدافزار که از نوع پاک‌کن بود، تمام کنترل‌کننده‌های دامنه را آلوده کرده و از کار انداخته بود. سه روز بعد، سیسکو تالوس گزارشی منتشر کرد و این بدافزار را «تخریب‌گر المپیک» نامید. انتساب بدافزار «تخریب‌گر المپیک» به یک پروه یا دولت خاص دشوار بود، چرا که به نظر می‌رسید نویسنده (یا نویسندگان) کدهایی متعلق به گروه‌های مجرم مختلف را به عنوان پرچم دروغین در آن جاسازی کرده باشند. شرکت اینتزر در ۱۲ فوریه گزارشی منتشر کرد که شباهت‌هایی بین کد این بدافزار و نمونه‌های منتسب به ۳ گروه تهدید چینی را نشان می‌داد و گزارش بعدی تالوس هم «سرنخ ضعیفی» را به بدافزار پاک‌کن دیگری نسبت داد که به یک شاخه منشعب‌شده از گروه لازاروس کره شمالی مربوط بود. تیم گریت شرکت کسپرسکی در ۸ مارس دو پست وبلاگی درباره نظریه‌های موجود در صنعت و تحقیقات اختصاصی خود منتشر کرد. در مقاله فنی کسپرسکی (که یک شرکت روسی است) به تفصیل توضیح داد چگونه هدرهای فایل که به گروه لازاروس نسبت داده شده بود جعل شده‌اند. با این حال، این شرکت در ادامه با رد انتساب بدافزار «تخریب‌گر المپیک» به کره شمالی، آن را به هیچ گروه دیگری (غیر از کره شمالی) منتسب نکرد. پنج نفر از آن‌ها متهم به توسعه آشکار ابزارهای هکری بودند و گفته شد اوچیچنکو هم در حملات فیشینگ هدفمند علیه المپیک زمستانی ۲۰۱۸ و انجام عملیات شناسایی فنی و تلاش برای هک دامنه رسمی مجلس گرجستان مشارکت داشته است. هم‌زمان با اعلام این کیفرخواست در ایالات متحده، مرکز ملی امنیت سایبری بریتانیا گزارشی منتشر کرد که به‌طور کلی کرم شنی را به حمله ۲۰۱۸ المپیک زمستانی مرتبط می‌دانست. سوءاستفاده از اگزیم (۲۰۲۰) در ۲۸ مه ۲۰۲۰، آژانس امنیت ملی ایالات متحده یک راهنمای امنیت سایبری منتشر کرد که هشدار می‌داد گروه کرم شنی در حال سوءاستفاده فعال از یک آسیب‌پذیری اجرای کد از راه دور (موسوم به CVE-2019-10149) در اگزیم است تا کنترل کامل سرورهای ایمیل را به دست آورد. در زمان انتشار این راهنما، نسخه به‌روزشده اگزیم بیش از یک سال در دسترس بود و آژانس امنیت ملی از مدیران خواست سرورهای ایمیل خود را وصله کنند. سیکلوپس بلینک (فوریه ۲۰۲۲) در فوریه ۲۰۲۲، ظاهراً گروه کرم شنی بدافزار سیکلوپس بلینک را منتشر کرد. این بدافزار امکان ساخت یک بات‌نت را فراهم می‌کند و روترهای ایسوس و دستگاه‌های فایرباکس و XTM مربوط به واتچ‌گارد را تحت تأثیر قرار می‌دهد. | ## بخش 3: کرم شنی (گروه هکری) | درخواست اتهام جنایات جنگی (مارس ۲۰۲۲) اواخر مارس ۲۰۲۲، بازرسان حقوق بشری و وکلای دانشکده حقوق دانشگاه برکلی درخواستی رسمی برای دادستان دیوان کیفری بین‌المللی در لاهه ارسال کردند. آن‌ها از دیوان کیفری بین‌المللی خواستند تا احتمال طرح اتهام جنایات جنگی علیه هکرهای روس را به دلیل حملات سایبری به اوکراین در نظر بگیرد. در این درخواست مشخصاً در ارتباط با حملات دسامبر ۲۰۱۵ به تأسیسات برق در غرب اوکراین و حملات ۲۰۱۶ به تأسیسات برق کی‌یف از گروه کرم شنی نام برده شد. حمله به شبکه برق اوکراین (آوریل ۲۰۲۲) در آوریل ۲۰۲۲، کرم شنی تلاشی برای ایجاد خاموشی در اوکراین انجام داد. SwiftSlicer (ژانویه ۲۰۲۳) در ۲۵ ژانویه ۲۰۲۳، شرکت ایست یک بدافزار پاک‌کن را که از یک آسیب‌پذیری در اکتیو دایرکتوری سوءاستفاده می‌کرد به کرم شنی نسبت داد. Infamous Chisel (اوت ۲۰۲۳) در ۳۱ اوت ۲۰۲۳، آژانس‌های امنیت سایبری آمریکا، بریتانیا، کانادا، استرالیا و نیوزیلند (مجموعاً فایو آیز) به‌طور مشترک گزارشی درباره یک کارزار بدافزاری جدید منتشر کردند و آن را به کرم شنی نسبت دادند. پس از نفوذ اولیه، بدافزار دسترسی مداوم را ایجاد کرده و به‌صورت دوره‌ای اطلاعات را از دستگاه آلوده جمع‌آوری و منتقل می‌کند. داده‌های جمع‌آوری‌شده شامل موارد زیر می‌شوند: اپلیکیشن‌های خاص نیروهای نظامی اوکراین اطلاعات سیستمی دستگاه داده‌های مربوط به اپلیکیشن‌های گوناگون: پیام‌رسان – اسکایپ، تلگرام، واتس‌اپ، سیگنال، وایبر، دیسکورد مرورگر – اپرا، بریو، فایرفاکس، کروم احراز هویت دوعاملی – گوگل آتنتیکیتور وی‌پی‌ان – OpenVPN، VPN Proxy Master همگام‌سازی فایل – وان‌درایو، دراپ‌باکس مالی – بایننس، پی‌پال، Trust Wallet، گوگل والت همچنین این بدافزار در بازه‌های زمانی معین، پورت‌های باز و بنر ارسال شده توسط سرویس‌های در حال اجرا روی سایر میزبان‌های شبکه محلی را جمع‌آوری می‌کند. افزون بر این، یک سرور اس‌اس‌اچ ایجاد و به‌گونه‌ای پیکربندی می‌شود که به صورت یک سرویس مخفی تور اجرا شود. با این روش، مهاجم می‌تواند از راه دور به دستگاه آلوده متصل شود بدون آن‌که نشانی آی‌پی واقعی خود را آشکار کند. نام‌گذاری نام «کرم شنی» توسط پژوهشگران شرکت آی‌سایت‌پارتنرز (که اکنون مندیانت نام دارد) انتخاب شد، زیرا در کد بدافزار ارجاعاتی به رمان تلماسه اثر فرانک هربرت وجود داشت. | ## جمع‌بندی | در سال ۲۰۲۴، به دلیل تهدیدهای فعال و مداوم کرم شنی برای دولت‌ها و اپراتورهای زیرساخت حیاتی در سراسر جهان، مندیانت این گروه را به‌عنوان یک گروه تهدید پیشرفته و مستمر «فارغ‌التحصیل» کرد و آن را APT44 نامید.