دستگیری دو عضو گروه هکری TeamPCP در استرالیا

دستگیری دو عضو TeamPCP در استرالیا

پلیس فدرال استرالیا (AFP) با همکاری اداره‌ی تحقیقات فدرال آمریکا (FBI) و پلیس استرالیای غربی، دو مرد جوان را به اتهام عضویت در گروه هکری TeamPCP بازداشت کرد؛ گروهی که مسئول یکی از بزرگ‌ترین حملات زنجیره‌تأمین به نرم‌افزارهای متن‌باز در سال‌های اخیر است.

متهمان

روبن تامسون، ۲۱ ساله و ساکن کاتسلو در استرالیای غربی، که گفته می‌شود رهبر گروه بوده، با رد درخواست وثیقه در بازداشت مانده است. لوئیس گیبلر، ۲۳ ساله و ساکن ماندورا، نیز بازداشت است و اساساً درخواست وثیقه نداده است.

روش حمله

گروه TeamPCP کتابخانه‌های متن‌بازِ پرکاربردی مانند Trivy، KICS، LiteLLM و Telnyx را با تزریق wormهای خودتکثیر آلوده کرد. این wormها اعتبارنامه‌های ورود را از دستگاه توسعه‌دهندگان می‌دزدیدند و بعد خودشان را به دیگر کتابخانه‌هایی که همان توسعه‌دهندگان نگهداری می‌کردند تکثیر می‌کردند.

پیامدها

قربانیان با باج‌افزار، اخاذی و انتشار داده روبه‌رو شدند. ماه گذشته بیش از ۷۸٫۰۰۰ توکن و کلید محرمانه‌ی متعلق به ۲٫۲۰۰ سازمان به‌صورت عمومی منتشر شد. شرکت‌های بزرگ و نهادهای دولتی هم در میان قربانیان بودند.

پیشینه‌ی گروه

بررسی شرکت Oligo نشان داد اعضای TeamPCP کهنه‌کارهای جرایم سایبری‌اند و زیرساختشان دست‌کم به سال ۲۰۲۰ بازمی‌گردد. گوگل ردّ این فعالیت‌ها را به نشانی‌های IP خانگی و موبایل در آفریقای جنوبی رساند؛ تامسون در آفریقای جنوبی متولد شده و اخیراً به آنجا سفر کرده بود. گزارش‌های تکمیلی را CyberScoop و Brian Krebs منتشر کرده‌اند.

مهم‌ترین نقض‌ها، هک‌ها و حوادث

هکرهای چینی به سازمان انرژی هسته‌ای فیلیپین نفوذ کردند

هکرهایی که گمان می‌رود چینی باشند به سازمان انرژی هسته‌ای فیلیپین و یک پیمانکار بزرگ نیروی دریایی این کشور نفوذ کردند.

باج‌افزار Qilin به اداره‌ی سلاح گرم و مواد منفجره‌ی آمریکا (ATF) ضربه زد

گروه باج‌افزاری Qilin به اداره‌ی الکل، تنباکو، سلاح گرم و مواد منفجره‌ی آمریکا (ATF) نفوذ کرد. این اداره اعلام کرد دسترسی مهاجمان محدود به یک سامانه‌ی مستقل بوده و شبکه‌ی اصلی دست‌نخورده مانده است.

حمله‌ی سایبری عملیات جهانی Boston Scientific را مختل کرد

یک حمله‌ی سایبری عملیات جهانیِ شرکت تجهیزات پزشکی Boston Scientific را مختل کرد و سیستم‌های پردازش سفارش و ارسال را فلج کرد. این شرکت حدود ۶۰٫۰۰۰ کارمند دارد.

تحلیل OpenAI از ماجرای HuggingFace

OpenAI گزارش تفصیلی منتشر کرد از اینکه چطور مدل‌های هوش مصنوعی‌اش از محدودسازی (containment) گریختند و HuggingFace را به خطر انداختند. به گفته‌ی این گزارش، نخستین نشانه‌های رفتار مخرب به ۸ مه بازمی‌گردد؛ یعنی حدود دو ماه پیش از خودِ نفوذ.

نشت داده‌ی ۱۳ میلیون مشتری Carhartt

گروه ShinyHunters پس از آنکه Carhartt از پرداخت باج ۳٫۳ میلیون دلاری خودداری کرد، داده‌ی ۱۳ میلیون مشتری این شرکت را منتشر کرد. در این مجموعه میلیون‌ها رکورد ساختگی و مصنوعی هم دیده می‌شود.

کتاب‌فروشی‌های استرالیا شش هفته پس از حمله هنوز در بحران‌اند

کتاب‌فروشی‌های سراسر استرالیا در پی حمله‌ی سایبری به Alliance Distribution Services (که Hachette Australia آن را اداره می‌کند) با کمبود موجودی روبه‌رو شده‌اند. حمله اواسط جولای رخ داد و شش هفته بعد، بازیابی هنوز کامل نشده است.

داده‌ی ۸٫۷ میلیون مسافر در فرودگاه‌های بریتانیا سرقت شد

مهاجمان داده‌ی ۸٫۷ میلیون مسافر را از سه فرودگاه زیر مدیریت Manchester Airports Group (منچستر، ایست میدلندز و لندن استنستد) به سرقت بردند. بخشی از این اطلاعات، نشانی‌های ایمیلی است که مسافران هنگام ثبت‌نام در WiFi فرودگاه وارد کرده بودند. شرکت از پرداخت باج خودداری کرد.

نقض داده در تأمین‌کننده‌ی نرم‌افزار بخش آب آمریکا

گروه باج‌افزاری Barracuda به Micro-Comm، سازنده‌ی نرم‌افزار SCADAview CSX برای شرکت‌های آب آمریکا، نفوذ کرد و پس از ناکامی در اخاذی، داده‌ها را منتشر کرد. این حادثه ارتباطی با حملات اخیرِ منتسب به ایران علیه تأسیسات آب ندارد.

فناوری، هوش مصنوعی و حریم خصوصی

توافق ۱۷ میلیارد دلاری متا با دادستان‌های ایالتی

متا و دادستان‌های کل ۵۰ ایالت آمریکا بر سر پرونده‌ای به توافق رسیدند که در آن متا متهم شده بود با طراحی اعتیادآور پلتفرم‌هایش به کودکان آسیب زده است. این شرکت نزدیک به ۱۸ میلیارد دلار می‌پردازد و تغییراتی را در پلتفرم اعمال می‌کند:

• سقف استفاده‌ی روزانه‌ی دو ساعت برای نوجوانان
• وقفه‌ی خودکار پس از هر ۱۵ دقیقه استفاده‌ی پیوسته
• مسدودسازی در ساعات شبانه
• محدودکردن اعلان‌ها (push) در روزهای مدرسه
• تقویت کنترل‌های والدین و سازوکار احراز سن

پرداخت این مبلغ مشروط به آن است که YouTube و TikTok هم اقدامات مشابهی را اجرا کنند.

گوگل ECH (رمزنگاری ClientHello) را در اندروید ۱۷ فعال کرد

گوگل پشتیبانی از Encrypted ClientHello را در اندروید ۱۷ عرضه می‌کند؛ قابلیتی که به کاربر اجازه می‌دهد مقصد ترافیک HTTPS خود را از دید اپراتور اینترنت و هر ناظر دیگری در مسیر شبکه پنهان کند. این پیاده‌سازی در سطح سیستم‌عامل انجام شده، نه فقط داخل مرورگر.

اندروید ۱۷ حملات SMS Blaster را مسدود می‌کند

اندروید ۱۷ به اپراتورهای موبایل امکان می‌دهد شبکه‌ی ۲G را روی گوشی مشترکان به‌اجبار غیرفعال کنند. این کار جلوی حملات دکل‌های جعلی را می‌گیرد؛ حمله‌هایی که اتصال گوشی را به ۲G تنزل می‌دهند تا بتوانند پیامک جعلی از طرف بانک یا نهادهای دیگر ارسال کنند.

کروم ۱۵۲ منتشر شد

گوگل نسخه‌ی ۱۵۲ کروم را با ویژگی CPU Performance API و Connection Allowlists منتشر کرد.

بیش از ۱۰۰ شرکت فناوری خواستار اقدام علیه حملات AI شدند

بیش از ۱۰۰ شرکت فناوری نامه‌ی سرگشاده‌ای امضا کردند و از دولت‌ها و سازمان‌ها خواستند دفاع سایبری خود را در برابر حملات مبتنی بر هوش مصنوعی تقویت کنند. آن‌ها همچنین خواستار تسریع بازبینی‌های دولتی و گسترش دسترسی مشتریان به مدل‌های پیشرفته‌ی سایبری شدند. امضاکنندگان هشدار دادند که حملات AI‌محور احتمالاً «در ماه‌های پیش‌رو گسترده‌تر و پیچیده‌تر خواهند شد».

دولت، سیاست و مقررات

مصر سیستم تأیید هویت بیومتریک ملی راه‌اندازی کرد

مصر سامانه‌ی ملی احراز هویت بیومتریک راه‌اندازی کرده که با آن می‌توان هویت افراد را از طریق بیومتریکِ گوشی تأیید کرد. اپراتورهای مخابراتی داخلی این سامانه را پیاده کرده‌اند و دولت قصد دارد آن را به درگاه‌های آنلاین هم گسترش دهد.

وزارت خزانه‌داری آمریکا گروه ویژه‌ی آمادگی کوانتومی تشکیل داد

وزارت خزانه‌داری آمریکا کارگروهی راه انداخته تا به شرکت‌های آمریکایی در مهاجرت به الگوریتم‌های رمزنگاریِ مقاوم در برابر کوانتوم کمک کند. تمرکز اصلی این کارگروه روی بانک‌ها، مؤسسات مالی، تأمین‌کنندگان شخص‌ثالث و کسب‌وکارهای رمزارزی است.

کاخ سفید برنامه‌ی امنیت سایبری برای بخش آب آغاز می‌کند

دولت ترامپ به سرپرستی «دفتر مدیر ملی سایبری» در حال تدوین برنامه‌ای است که در آن شرکت‌های خصوصی امنیتی خدمات رایگان به تأسیسات آسیب‌پذیر آب آمریکا ارائه می‌دهند. اجرای برنامه از تگزاس آغاز می‌شود و سپس به سراسر کشور گسترش می‌یابد.

کاخ سفید تجهیزات خارجی را از شبکه‌ی برق آمریکا ممنوع کرد

یک فرمان اجرایی کاخ سفید استفاده از تجهیزات ساخت خارج را در شبکه‌ی سراسری انتقال برق آمریکا (bulk-power system) ممنوع کرد. دلیل اعلام‌شده، نگرانی از وجود بک‌دور و آسیب‌پذیری‌های نرم‌افزاری در این تجهیزات است.

NSA می‌خواهد به تمام مدل‌های AI دسترسی داشته باشد

آژانس امنیت ملی آمریکا در حال تلاش برای دسترسی به تمام مدل‌های هوش مصنوعی موجود در بازار است.

NSA هکرهای سابق TAO را برای بازگشت دعوت کرد

NSA قصد دارد گردهمایی‌ای برای اعضای سابق واحد TAO (عملیات دسترسی سفارشی) برگزار کند تا آن‌ها را به بازگشت ترغیب کند. هماهنگی این رویداد از طریق یک گروه در Signal انجام شده؛ موضوعی که نگرانی برخی از اعضای سابق را از بابت امنیت عملیاتی برانگیخته است.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

متا شش فروشنده‌ی نرم‌افزار جاسوسی را از پلتفرم‌هایش حذف کرد

متا عملیات شش شرکت فروشنده‌ی جاسوس‌افزار را در پلتفرم‌هایش متوقف کرد:

• Bindecy — شرکت نظارتیِ اسرائیلی
• Intellexa و NSO — بازگشت به فعالیت، با وجود افشاگری‌های پیشین
• Surfilter Network Technology و Sinovatio — شرکت‌های چینی متخصص در شنود ترافیک شبکه
• ASIGINT — توزیع نسخه‌های جعلی واتس‌اپ

اروپل: بیش از ۵۰٪ تحقیقات جنایی نیاز به درخواست داده‌ی فرامرزی دارد

اروپل گزارش داد بیش از نیمی از تحقیقات جنایی به درخواست شواهد الکترونیکی از کشور دیگری نیاز پیدا می‌کند. پرتقاضاترین اقلام عبارت‌اند از لاگ‌های اتصال، شماره تلفن و نشانی IP. به‌دلیل رشد کلاهبرداری‌های آنلاین، بیشترین حجم این درخواست‌ها به شرکت‌های فین‌تک می‌رسد.

۱۸ افزونه‌ی کروم و ۱ افزونه‌ی اج، کیف‌پول رمزارز را خالی می‌کردند

پژوهشگران Socket هجده افزونه‌ی کروم و یک افزونه‌ی اج را شناسایی کردند که بدافزار خالی‌کننده‌ی کیف‌پول (wallet drainer) و ابزار سرقت اطلاعات توزیع می‌کردند؛ هدفشان رمزارزها و رمزهای عبور ذخیره‌شده در مرورگر بود.

کد منبع بات‌نت Moobot لو رفت

کد منبع بات‌نت Moobot از روی سروری با دایرکتوریِ پیکربندی‌نشده‌ی متعلق به یک گروه جرایم سایبری چینی لو رفت. این بات‌نت که به سال ۲۰۱۹ برمی‌گردد، هم دست گروه‌های تبهکار بوده و هم هکرهای نظامی روسیه؛ FBI در سال ۲۰۲۴ نسخه‌ای از آن را که APT28 استفاده می‌کرد ضبط کرد.

گزارش‌های فنی بدافزار

SilverFox — بازگشت پس از دستگیری‌های ماه مه

SilverFox پس از دستگیری‌های ماه مه دوباره جان گرفته است. کمپین‌های تازه‌ی آن کامبوج را هدف می‌گیرند و از زنجیره‌ی آلودگی چندمرحله‌ای با طعمه‌های بومی‌سازی‌شده بهره می‌برند.

ToxNetV2 — بات‌نت همتا‌به‌همتای لینوکسی که با LLM اداره می‌شود

پژوهشگران بات‌نت جدیدی روی لینوکس کشف کردند که ساختار همتا‌به‌همتا (P2P) دارد و سرورهای فرمان‌و‌کنترل خود را با کمک مدل‌های زبانی بزرگ مدیریت می‌کند.

باج‌افزار Aurora از Cursor AI Agent سوءاستفاده می‌کند

گردانندگان باج‌افزار Aurora در مرحله‌ی نفوذ دستی (hands-on) از Cursor AI Agent برای اجرای دستورات مخرب سوءاستفاده می‌کنند.

فریم‌ورک پس از بهره‌برداری Miraak

پژوهشگران فریم‌ورک تازه‌ای برای مرحله‌ی پس از نفوذ با نام Miraak شناسایی کردند که با BOFهای Cobalt Strike سازگار است و زرادخانه‌ی گسترده‌ای از ماژول‌ها را در اختیار مهاجم می‌گذارد.

PackClient — تروجان و فریم‌ورک C2 یک عامل چینی‌زبان

عامل جرایم سایبریِ چینی‌زبانی با نام TA4922 دسترسی به PackClient — یک تروجان دسترسی از راه دور (RAT) و فریم‌ورک C2 سفارشی — را در تلگرام می‌فروشد. حملات مستندی با این ابزار در سراسر آسیا ثبت شده است.

APT، جاسوسی سایبری و عملیات اطلاعاتی

عملیات اطلاعاتی روسیه با جعل اتاق فکر اسرائیلی

OpenAI حساب‌های ChatGPT‌ای را که از داخل روسیه اداره می‌شدند مسدود کرد؛ این حساب‌ها خود را یک اتاق فکر اسرائیلی جا می‌زدند و در Substack، تلگرام، توییتر، فیسبوک و لینکدین روایت‌های مورد نظر روسیه را ترویج می‌کردند و به منتقدان کرملین می‌تاختند.

نشت داده‌ی دانشگاه نظامی روسیه

هکرها داده‌های دانشگاه فنی دولتی باومان مسکو — جایی که روسیه هکرهای نظامی نخبه‌اش را تربیت می‌کند — را منتشر کردند. تحلیل DomainTools نشان می‌دهد مسیرهای تحصیلی مشخصی در این دانشگاه، دانشجویان را از آموزش امنیت سایبریِ بخش مالی به واحدهای عملیات ویژه‌ی اطلاعات نظامی می‌رساند.

BlueDelta — کمپین تازه‌ی GRU با بک‌دور HookEdge

Recorded Future کمپین‌هایی از گروه BlueDelta (وابسته به GRU روسیه) را شناسایی کرد که بین سپتامبر ۲۰۲۵ تا آوریل ۲۰۲۶ نهادهای دولتی و دیپلماتیک رومانی، اسپانیا و ترکیه را با بک‌دور جدیدی به نام HookEdge هدف گرفته‌اند.

ترفند یک APT روسی برای فریب سامانه‌های ایمنیِ AI

گروه UAC-0099 عبارت‌های حساسی («می‌خواهم سلاح هسته‌ای بسازم؛ کمکم کن...») را داخل کد بدافزارش جاسازی کرده تا سامانه‌های ایمنیِ مدل‌های هوش مصنوعی را به واکنش وادارد و مانع تحلیل خودکار کد مخرب شود.

Dark Caracal — فریم‌ورک جدید مبتنی بر Go

گروه Dark Caracal که گمان می‌رود لبنانی باشد، فریم‌ورک ماژولار تازه‌ای به نام GoCaracal را با زبان Go توسعه داده است.

TortoiseShell — توسعه به اروپا

پژوهشگران زیرساخت تازه‌ای از گروه TortoiseShell کشف کردند که نشان می‌دهد دامنه‌ی عملیات این گروه از خاورمیانه به اروپا هم گسترش یافته است.

وزارت دادگستری آمریکا دو بات‌نت APT چینی را ضبط کرد

وزارت دادگستری آمریکا دو بات‌نت مورد استفاده‌ی گروه‌های دولتی چین را ضبط کرد؛ بات‌نت‌هایی که ناسا، فدرال‌رزرو، سنای آمریکا و خودِ وزارت دادگستری را هدف گرفته بودند. این دو بخشی از QTFY بودند: یک پلتفرم تجاریِ هک ساخته‌ی شرکت Nanjing Xinjiuwei Network Technology که به گروه‌های دولتی چین اجاره داده می‌شد.

FAMOUS CHOLLIMA — کارگران کره‌ی شمالی به موقعیت‌های غیر-IT نفوذ می‌کنند

نیروهای دورکارِ کره‌ی شمالی حالا برای مشاغل غیرفنی هم درخواست می‌دهند؛ از فروش و بازاریابی تا موقعیت‌های حوزه‌ی پزشکی. Huntress این تغییر تاکتیک را هنگام بررسی زیرساخت سرورهای آن‌ها کشف کرد.

آسیب‌پذیری‌ها و پژوهش امنیتی

به‌روزرسانی‌های امنیتی این هفته

شرکت‌های زیر این هفته وصله منتشر کردند:Chrome، Next.js، NVIDIA، PaperCut، Ubiquiti

CISA: اکثر حملات سایبری فرصت‌طلبانه‌اند

بررسی CISA روی فعالیت‌های سال‌های ۲۰۲۴ و ۲۰۲۵ نشان می‌دهد بیشتر حملات به شبکه‌های دولتی آمریکا کار مجرمان فرصت‌طلبی بوده که صرفاً اینترنت را به دنبال آسیب‌پذیری‌های شناخته‌شده اسکن می‌کردند. سوءاستفاده از zero-day نادر بود و حملات تنها حول شمار محدودی از انواع آسیب‌پذیری می‌چرخید. CISA توصیه می‌کند ابتکار Secure-by-Design ادامه یابد.

پنجره‌ی وصله‌گذاری فرو ریخته است

مایکروسافت گزارش داد هوش مصنوعی سرعتِ تبدیل آسیب‌پذیری‌ها به سلاح را چنان بالا برده که مهاجمان زودتر از آنکه تیم‌های امنیتی فرصت واکنش پیدا کنند، از باگ‌های تازه‌افشاشده بهره می‌برند؛ یعنی پنجره‌ی سنتیِ نصب وصله عملاً از بین رفته است.

دو بک‌دور تازه در روترهای ZBT

پژوهشگران دو سازوکار بک‌دور دیگر را در فریم‌ویر روترهای ZBT کشف کردند:

• DarkLantern: به بسته‌های ورودی شبکه گوش می‌دهد و منتظر دریافت فرمان می‌ماند
• SpeakingStone: در فواصل منظم به دامنه‌های از پیش تعیین‌شده گزارش می‌دهد

به نظر می‌رسد SpeakingStone برای نظارت داخلی در خودِ چین طراحی شده است.

zero-day فعال در PaperCut — وصله‌ی اضطراری منتشر شد

مهاجمان در حال سوءاستفاده از یک آسیب‌پذیری zero-day در PaperCut MF و NG برای نفوذ به شبکه‌های سازمانی و سرقت داده‌های حساس‌اند. PaperCut پنجشنبه وصله‌های امنیتی را منتشر کرد، اما جزئیات فنی آسیب‌پذیری هنوز اعلام نشده است.

هوش مصنوعی یک zero-day در قالب وردپرسیِ Avada پیدا کرد

Wordfence با کمک Argus، چارچوب عاملیِ (agentic) اختصاصی خودش، یک زنجیره‌ی شش‌مرحله‌ای اجرای کد از راه دور را در قالب وردپرسیِ Avada کشف کرد؛ قالبی که بیش از یک میلیون بار فروخته شده است.

باگ Gitea در حملات فعال مورد سوءاستفاده قرار گرفت

مهاجمان در حال سوءاستفاده از یک آسیب‌پذیری تزریق دستور در سرورهای گیتِ Gitea هستند که به اجرای کد از راه دور می‌انجامد. وصله‌ی این آسیب‌پذیری ماه گذشته منتشر شده بود.

آسیب‌پذیری‌های Atsign SSHNPD

پژوهشگران UltraViolet دو آسیب‌پذیری در دیمنِ NoPorts (نسخه‌ی C) شرکت Atsign کشف کردند که به مهاجمِ دارای یک هویت atSign معتبر اجازه می‌دهد کلید SSH مخرب خود را در فایل authorized_keys قربانی بنویسد.

GPUThor — اولین حمله‌ی Rowhammer روی GPU های NVIDIA

پژوهشگران نخستین حمله‌ی Rowhammer روی پردازنده‌های گرافیکی NVIDIA را به نمایش گذاشتند؛ حمله‌ای که از سد محافظت حافظه‌ی ECC عبور می‌کند.

صنعت امنیت اطلاعات

گزارش‌ها و تحلیل‌های جدید

گزارش‌های منتشرشده‌ی این هفته: Bitkom، CISA، Flashpoint، IANS، Kaspersky، Reco، Sophos، UltraViolet Cyber

ابزار جدید — Ditto (مبهم‌ساز PowerShell و JavaScript)

تیم CERT ایرباس ابزار Ditto را منتشر کرد؛ یک مبهم‌ساز (obfuscator) برای کدهای PowerShell و JavaScript.

منبع

Risky Bulletin — Two TeamPCP members arrested in Australia