کرم شنی (گروه هکری)

**کرم شنی** یک تهدید پیشرفته و مستمر است که توسط واحد نظامی ۷۴۴۵۵، یک واحد جنگ سایبری در GRU (سازمان اطلاعات نظامی روسیه)، اداره می‌شود. پژوهشگران امنیت سایبری نام‌های دیگری نیز به این گروه داده‌اند، از جمله **APT44** **Telebots**، **Voodoo Bear**، **IRIDIUM**، **Seashell Blizzard**، و **Iron Viking**.

با توجه به این که گمان می‌رود این تیم با استفاده از بدافزار نات‌پتیا، مسئول حمله سایبری دسامبر ۲۰۱۵ به شبکه برق اوکراین، حملات سایبری ۲۰۱۷ به اوکراین، مراسم افتتاحیه المپیک زمستانی ۲۰۱۸ و همچنین دخالت در انتخابات ریاست‌جمهوری فرانسه باشد تلاش‌های مداخله‌گرانه مختلف در انتخابات ریاست‌جمهوری ۲۰۱۷ فرانسه و حمله سایبری به المپیک زمستانی ۲۰۱۸ طی مراسم افتتاحیه آن است.، آقای اسکات بردی، دادستان وقت ایالات متحده در ناحیه غربی پنسیلوانیا، اقدامات سایبری این گروه را «نمایانگر مخرب‌ترین و پرهزینه‌ترین حملات سایبری در تاریخ» توصیف کرد.

## تاریخچه
### ۲۰۱۴
در ۳ سپتامبر ۲۰۱۴، شرکت آی‌سایت‌پارتنرز***' (که اکنون [[مندیانت]] نام دارد) یک کمپین [[فیشینگ نیزه‌ای]] را کشف کرد که از یک آسیب‌پذیری روز-صفر در اسناد مسلح‌شده [[مایکروسافت آفیس]] استفاده می‌کرد. این آسیب‌پذیری که CVE-2014-4114 نام گرفت، تمام نسخه‌های ویندوز از ویستا تا ۸٫۱ را تحت تأثیر قرار می‌داد و به مهاجمان این امکان را  می‌داد که بر روی دستگاه هدف کد دلخواه را اجرا کنند. پژوهشگران توانستند این حمله را به گروه کرم شنی نسبت دهند و مشاهده کردند که دولت اوکراین یکی از اهداف این کمپین بوده است. قابل توجه اینکه این حمله هم‌زمان با برگزاری [[اجلاس ناتو]] درباره اوکراین در ولز صورت گرفت.
=== حمله ۲۰۱۵ به شبکه برق اوکراین === 
 در ۲۳ دسامبر ۲۰۱۵، هکرها یک حمله سایبری هماهنگ علیه سه شرکت انرژی در اوکراین انجام دادند و توانستند به‌طور موقت تأمین برق حدود ۲۳۰٬۰۰۰ شهروند اوکراینی را برای ۱ تا ۶ ساعت مختل کنند.
در ژانویه، شرکت آی‌سایت‌پارتنرز گزارشی منتشر کرد که بر اساس استفاده از [[انرژی سیاه]] ۳ در این حمله، آنرا را به کرم شنی نسبت می‌داد.
=== حمله ۲۰۱۶ به شبکه برق اوکراین === 


در ۱۷ دسامبر ۲۰۱۶، یک سال پس از حمله پیشین به شبکه برق، هکرها بار دیگر توانستند با یک حمله سایبری، شبکه برق اوکراین را مختل کنند. حدود یک‌پنجم شهر کی‌یف برای یک ساعت برق خود را از دست داد. اگرچه قطعی برق کوتاه بود، ولی گزارشی که سه سال بعد توسط شرکت امنیتی دراگوس***' منتشر شد نشان می‌داد که بدافزار موسوم به اینداسترویر یا CRASHOVERRIDE ممکن بود برای ازکارانداختن فیزیکی تجهیزات الکتریکی طراحی شده باشد. این بدافزار با استفاده از یک آسیب‌پذیری شناخته‌شده در رله‌های حفاظتی، احتمالاً قصد داشته هرگونه مشکل ایمنی را مخفی کند تا هنگامی که مهندسان تلاش کردند برق را بازگردانند، اضافه‌بار جریان رخ دهد و ترانسفورماتورها یا خطوط برق را نابود کند. چنین تخریبی می‌توانست به نیروهای خدماتی هم آسیب برساند و اگر موفق می‌شد، منجر به قطعی طولانی‌تر برق می‌گشت.
### المپیک زمستانی ۲۰۱۸
در ۹ فوریه ۲۰۱۸، هم‌زمان با مراسم افتتاحیه المپیک زمستانی در پیونگ‌چانگ کره جنوبی، هکرها حمله‌ای سایبری را اجرا کردند و زیرساخت‌های فناوری اطلاعات شامل وای‌فای، تلویزیون‌های اطراف ورزشگاه المپیک پیونگ‌چانگ که مراسم را نمایش می‌دادند، دروازه‌های امنیتی مبتنی بر RFID و اپ رسمی المپیک (که برای خرید وکنترل بلیت دیجیتال استفاده می‌شد) را مختل کردند. کارکنان توانستند بیشتر عملکردهای حیاتی را پیش از پایان مراسم افتتاحیه بازی‌ها بازیابی کنند، اما کل شبکه از ابتدا بازسازی شد. بدافزار که از نوع پاک‌کن بود، تمام کنترل‌کننده‌های دامنه را آلوده کرده و از کار انداخته بود.

سه روز بعد، سیسکو تالوس***' گزارشی منتشر کرد و این بدافزار را «تخریب‌گر المپیک»***' نامید. این گزارش با اشاره به شباهت در تکنیک‌های انتشار این بدافزار با خانواده‌های بدافزار «BadRabbit» و «Nyetya»، هدف این حمله را اختلال در بازی‌های المپیک دانست.

انتساب بدافزار «تخریب‌گر المپیک» به یک پروه یا دولت خاص دشوار بود، چرا که به نظر می‌رسید نویسنده (یا نویسندگان) کدهایی متعلق به گروه‌های مجرم مختلف را به عنوان پرچم دروغین در آن جاسازی کرده باشند. شرکت اینتزر***' در ۱۲ فوریه گزارشی منتشر کرد که شباهت‌هایی بین کد این بدافزار و نمونه‌های منتسب به ۳ گروه تهدید چینی را نشان می‌داد و گزارش بعدی تالوس هم «سرنخ ضعیفی» را به بدافزار پاک‌کن دیگری نسبت داد که به یک شاخه منشعب‌شده از [[گروه لازاروس (Lazarus Group)|گروه لازاروس]] کره شمالی مربوط بود.

تیم گریت***' شرکت کسپرسکی در ۸ مارس دو پست وبلاگی درباره نظریه‌های موجود در صنعت و تحقیقات اختصاصی خود منتشر کرد. در مقاله فنی کسپرسکی (که یک شرکت روسی است) به تفصیل توضیح داد چگونه هدرهای فایل که به گروه لازاروس نسبت داده شده بود جعل شده‌اند. با این حال، این شرکت در ادامه با رد انتساب بدافزار «تخریب‌گر المپیک» به کره شمالی، آن را به هیچ گروه دیگری (غیر از کره شمالی) منتسب نکرد. 

### کیفرخواست ایالات متحده (۲۰۲۰)
 در ۱۹ اکتبر ۲۰۲۰، یک هیئت منصفه در ایالات متحده کیفرخواستی منتشر کرد که شش افسر ادعاشده واحد ۷۴۴۵۵ را به جرایم سایبری متهم می‌کرد. 
این شش افسر ***' هر کدام به [[توطئه (جرم)|تبانی]] برای ارتکاب [[کلاهبرداری رایانه‌ای]] و [[توطئه (جرم)|توطئه]]، تبانی برای ارتکاب [[کلاهبرداری تلفنی و الکترونیکی|کلاهبرداری الکترونیکی]]، [[کلاهبرداری رایانه‌ای]]، تخریب رایانه‌های حفاظت‌شده و [[سرقت هویت|سرقت هویت تشدیدشده]] متهم شدند. پنج نفر از آن‌ها متهم به توسعه آشکار ابزارهای هکری بودند و گفته شد اوچیچنکو هم در حملات [[فیشینگ|فیشینگ هدفمند]] علیه [[المپیک زمستانی ۲۰۱۸]] و انجام [[عملیات شناسایی]] فنی و تلاش برای هک دامنه رسمی [[مجلس گرجستان]] مشارکت داشته است.

هم‌زمان با اعلام این کیفرخواست در ایالات متحده، [[مرکز ملی امنیت سایبری (بریتانیا)|مرکز ملی امنیت سایبری بریتانیا]]***' گزارشی منتشر کرد که به‌طور کلی کرم شنی را به حمله ۲۰۱۸ المپیک زمستانی مرتبط می‌دانست.

### سوءاستفاده از اگزیم (۲۰۲۰)
در ۲۸ مه ۲۰۲۰، آژانس امنیت ملی ایالات متحده یک راهنمای امنیت سایبری منتشر کرد که هشدار می‌داد گروه کرم شنی در حال سوءاستفاده فعال از یک آسیب‌پذیری اجرای کد از راه دور (موسوم به CVE-2019-10149) در اگزیم***' است تا کنترل کامل سرورهای ایمیل را به دست آورد. در زمان انتشار این راهنما، نسخه به‌روزشده اگزیم بیش از یک سال در دسترس بود و [[آژانس امنیت ملی]] از مدیران خواست سرورهای ایمیل خود را وصله کنند.

=== سیکلوپس بلینک (فوریه ۲۰۲۲) === 
در فوریه ۲۰۲۲، ظاهراً گروه کرم شنی بدافزار [[سیکلوپس بلینک]]***' را منتشر کرد. این بدافزار مشابه وی‌پی‌ان فیلتر است. این بدافزار امکان ساخت یک بات‌نت را فراهم می‌کند و روترهای ایسوس و دستگاه‌های فایرباکس و XTM مربوط به واتچ‌گارد را تحت تأثیر قرار می‌دهد. پس از آن، CISA در این باره هشدار صادر کرد.  
### درخواست اتهام جنایات جنگی (مارس ۲۰۲۲)
اواخر مارس ۲۰۲۲، بازرسان حقوق بشری و وکلای دانشکده حقوق دانشگاه برکلی درخواستی رسمی برای دادستان دیوان کیفری بین‌المللی در لاهه ارسال کردند. آن‌ها از دیوان کیفری بین‌المللی خواستند تا احتمال طرح اتهام جنایات جنگی علیه هکرهای روس را به دلیل حملات سایبری به اوکراین در نظر بگیرد. در این درخواست مشخصاً در ارتباط با حملات دسامبر ۲۰۱۵ به تأسیسات برق در غرب اوکراین و حملات ۲۰۱۶ به تأسیسات برق کی‌یف از گروه کرم شنی نام برده شد.

### حمله به شبکه برق اوکراین (آوریل ۲۰۲۲)
در آوریل ۲۰۲۲، کرم شنی تلاشی برای ایجاد خاموشی در اوکراین انجام داد.
### SwiftSlicer (ژانویه ۲۰۲۳)
در ۲۵ ژانویه ۲۰۲۳، شرکت ایست یک بدافزار پاک‌کن را که از یک آسیب‌پذیری در اکتیو دایرکتوری سوءاستفاده می‌کرد به کرم شنی نسبت داد.

در ۳۱ اوت ۲۰۲۳، آژانس‌های امنیت سایبری آمریکا، بریتانیا، کانادا، استرالیا و نیوزیلند (مجموعاً فایو آیز) به‌طور مشترک گزارشی درباره یک کارزار بدافزاری جدید منتشر کردند و آن را به کرم شنی نسبت دادند. این بدافزار که «Infamous Chisel» نام دارد، دستگاه‌های اندرویدی مورد استفاده نیروهای نظامی اوکراین را هدف قرار داد. پس از نفوذ اولیه، بدافزار دسترسی مداوم را ایجاد کرده و به‌صورت دوره‌ای اطلاعات را از دستگاه آلوده جمع‌آوری و منتقل می‌کند. داده‌های جمع‌آوری‌شده شامل موارد زیر می‌شوند:

* اپلیکیشن‌های خاص نیروهای نظامی اوکراین 
* اطلاعات سیستمی دستگاه
* داده‌های مربوط به اپلیکیشن‌های گوناگون: 
** پیام‌رسان – اسکایپ، تلگرام، واتس‌اپ، سیگنال، وایبر، دیسکورد
** مرورگر – اپرا، بریو، فایرفاکس، کروم 
** احراز هویت دوعاملی – گوگل آتنتیکیتور 
** وی‌پی‌ان – OpenVPN، VPN Proxy Master 
** همگام‌سازی فایل – وان‌درایو، دراپ‌باکس 
** مالی – بایننس، پی‌پال، Trust Wallet، گوگل والت

همچنین این بدافزار در بازه‌های زمانی معین، پورت‌های باز و بنر ارسال شده توسط سرویس‌های در حال اجرا روی سایر میزبان‌های شبکه محلی را جمع‌آوری می‌کند. افزون بر این، یک سرور اس‌اس‌اچ ایجاد و به‌گونه‌ای پیکربندی می‌شود که به صورت یک سرویس مخفی تور اجرا شود. با این روش، مهاجم می‌تواند از راه دور به دستگاه آلوده متصل شود بدون آن‌که نشانی آی‌پی واقعی خود را آشکار کند.

## نام‌گذاری
نام «کرم شنی» توسط پژوهشگران شرکت آی‌سایت‌پارتنرز (که اکنون مندیانت نام دارد) انتخاب شد، زیرا در کد بدافزار ارجاعاتی به رمان تلماسه اثر فرانک هربرت وجود داشت.

در سال ۲۰۲۴، به دلیل تهدیدهای فعال و مداوم کرم شنی برای دولت‌ها و اپراتورهای زیرساخت حیاتی در سراسر جهان، مندیانت این گروه را به‌عنوان یک گروه تهدید پیشرفته و مستمر «فارغ‌التحصیل» کرد و آن را APT44 نامید.
## یادداشت‌ها


## منابع

## مطالعه بیشتر

## پیوند به بیرون
وزارت دادگستری ایالات متحده

رده:GRU 
رده:هک کردن در دهه ۲۰۱۰ (میلادی) 
رده:جنگ سایبری روسیه-اوکراین 
رده:جنگ سایبری 
رده:گروه‌های تهدید پیشرفته و مستمر روسیه

رده:هک کردن در دهه ۲۰۲۰ (میلادی)