FBI يحذر من استخدام قراصنة إيرانيين لمنصة Telegram في هجمات برمجيات خبيثة

نشر مكتب التحقيقات الفيدرالي (FBI) يوم الجمعة تنبيهاً يحذر فيه من أن قراصنة تابعين للحكومة الإيرانية يستخدمون منصة المراسلة Telegram لسرقة بيانات من معارضين وجماعات معارضة وصحفيين حول العالم. ووفقاً للمكتب، فإن القراصنة المسؤولين عن هذه الهجمات يعملون -بحسب ادعاءات- لصالح وزارة الاستخبارات والأمن الإيرانية (MOIS). وذكر FBI أن هذه الهجمات تعد مثالاً على محاولات الحكومة الإيرانية لدفع الأجندة الجيوسياسية للنظام.

تعتمد حملة التجسس السيبراني على عملية هندسة اجتماعية متعددة المراحل. أولاً، يتواصل القراصنة مع أهدافهم ويتظاهرون بأنهم جهة اتصال معروفة أو دعم فني. ثم يتم خداع الأهداف لقبول رابط لملف ضار يتنكر في هيئة تطبيقات مشروعة، مثل Telegram أو WhatsApp. وبمجرد أن يقوم الهدف بتثبيت هذه البرمجيات الخبيثة، تقوم المرحلة الثانية من الهجوم بربط الجهاز المصاب بـ “بوتات” Telegram. يؤسس هذا الإعداد “القيادة والتحكم” (command and control) -وهي طريقة يستخدمها المهاجمون للتحكم عن بُعد في الأجهزة المصابة- مما يسمح للقراصنة باكتساب تحكم عن بُعد في أجهزة الضحايا لسرقة الملفات، والتقاط لقطات شاشة، وتسجيل مكالمات Zoom. ويعد استخدام Telegram بهذه الطريقة أسلوباً شائعاً للقراصنة لإخفاء الأنشطة الضارة ضمن حركة مرور الشبكة المشروعة، مما يجعل اكتشافها أكثر صعوبة على المدافعين عن الأمن السيبراني.

في تنبيهه، أشار FBI أيضاً إلى Handala، التي وصفها بأنها مجموعة “هاكتيفيزم” (نشطاء اختراق) مزيفة موالية لإيران وفلسطين، على الرغم من أن المكتب أشار إلى أنه ليس من الواضح ما إذا كانت الهجمات المحددة الواردة في التنبيه قد نفذتها هذه المجموعة. وقد اتهمت وزارة العدل الأمريكية Handala بأنها واجهة للحكومة الإيرانية، وتحديداً وزارة الاستخبارات والأمن الإيرانية (MOIS). وكانت Handala قد أعلنت سابقاً مسؤوليتها عن هجوم سيبراني على شركة تكنولوجيا المعدات الطبية Stryker، مما أدى إلى مسح عشرات الآلاف من أجهزة الموظفين. وفي يوم الاثنين، قدمت Stryker نموذج 8-K -وهو تقرير عن أحداث جوهرية غير مجدولة- إلى هيئة الأوراق المالية والبورصات الأمريكية (SEC)، مشيرة إلى أن الشركة لا تزال تتعافى من الاختراق.

عند التواصل معها للتعليق، صرح المتحدث باسم Telegram، Remi Vaughn، بأن “المشرفين على المنصة يزيلون بشكل روتيني أي حسابات يتبين تورطها في برمجيات خبيثة”. ورفض متحدث باسم FBI تقديم مزيد من التفاصيل حول الموقف، مشيراً إلى أن المكتب ليس لديه ما يضيفه.

لماذا يهم

يسلط تنبيه FBI الضوء على كيفية استغلال الجهات الفاعلة المدعومة من الدول لمنصات مشروعة ومستخدمة على نطاق واسع مثل Telegram لإخفاء الأنشطة الضارة. يخلق هذا التكتيك تحديات كبيرة للمدافعين عن الأمن السيبراني الذين يحاولون التمييز بين حركة مرور الشبكة العادية وأنشطة التجسس.