هکری ۱۰ درصد گره‌های خروجی Tor را ربود

ربودن بیش از ۱۰ درصد گره‌های خروجی شبکه‌ی Tor

یک عامل تهدید ناشناس اوایل اکتبر بیش از ۳۳۰ سرور رله‌ی Tor را تصاحب کرد تا یک کمپین شنود انبوه علیه کاربران این شبکه اجرا کند. مهاجم رله‌ها را به بدافزار لینوکسی Ebury آلوده کرد و آن‌ها را به رله‌ی خروجی (exit relay) تبدیل کرد؛ جایی که می‌توانست اتصال‌های SSH را شنود کند و اتصال‌های ایمیل را تنزل دهد تا ترافیک ایمیلِ رمزنگاری‌نشده را بگیرد.

چطور کشف و مهار شد

این فعالیت از ۲ تا ۵ اکتبر دیده نشد، تا اینکه یک مهندس سوئیسی متوجه آن شد و موضوع را به تیم امنیت Tor گزارش داد. تیم Tor به گردانندگان رله‌ها اطلاع داد؛ آن‌ها یا سرورهای آلوده را خاموش کردند یا این سرورها به فهرست مسدودسازی افزوده شدند تا ترافیک Tor دیگر از آن‌ها عبور نکند.

مقیاس رخداد

این رخداد پیش از مهار به بیش از ۱۰ درصد از رله‌های خروجی رسید و آن را به یکی از بزرگ‌ترین رخدادهای امنیتی تاریخ Tor تبدیل کرد. نمونه‌ی قابل مقایسه، نوامبر ۲۰۲۳ است که تیم Tor بیش از هزار سرور را که در قالب یک طرح سودآور رمزارزی راه‌اندازی شده بودند از شبکه حذف کرد.

چرا این خبر مهم است؟

Tor ترافیک را ناشناس می‌کند، اما رمزنگاری نمی‌کند: آنچه از گره خروجی بیرون می‌رود همان‌قدر امن است که خودِ پروتکل مقصد. این حمله دقیقاً همان نقطه را هدف گرفت — ایمیل‌هایی که به متن ساده تنزل داده می‌شدند و اتصال‌های SSH که کاربر اثرانگشت کلید میزبانشان را بررسی نمی‌کرد. برای کاربرانی که به Tor برای حفاظت از هویت و ارتباطاتشان تکیه می‌کنند، درس عملی روشن است: رمزنگاری سرتاسری (HTTPS، TLS اجباری برای ایمیل، و بررسی کلید میزبان SSH) را جدا از Tor جدی بگیرید.

نقض‌ها، هک‌ها و رخدادهای امنیتی

نشت داده‌های داخلی حزب AfD

هکری ۲۸۱ گیگابایت داده‌ی داخلی و صندوق‌های ایمیل حزب راست افراطی AfD آلمان را که از ارائه‌دهنده‌ی میزبانی وب این حزب برداشته شده بود منتشر کرد. این نشت شامل پایگاه‌داده‌های وب‌سایت و اسناد داخلی خصوصی هم هست. سخنگوی AfD گفته این صندوق‌ها سال‌ها رها و بلااستفاده بوده‌اند، اما مطالب منتشرشده رشته‌ایمیل‌هایی از امسال را هم در بر می‌گیرد.

نفوذ یک هکر چینی به بیش از ۱۰۰ سایت

یک هکر مشکوک چینی با ابزارهای هوش مصنوعی به بیش از ۱۰۰ وب‌سایت نفوذ کرد؛ از جمله سایت‌های John Deere، SharkNinja و Cummins. به گزارش NorForge، مهاجم از DeepSeek و Claude Code استفاده کرده و کل کمپین تنها حدود ۵ هزار دلار هزینه‌ی توکن داشته است.

استفاده از عامل هوش مصنوعی چینی در حملات به ژاپن

یک عامل تهدید ناشناس با یک عامل هوش مصنوعی چینی به نام Artex دست‌کم به ۲۰ شرکت ژاپنی نفوذ کرد. به گفته‌ی GMO Cybersecurity، مهاجم به‌طور مشخص روی ژاپن متمرکز بوده و همین عامل اوایل این ماه علیه بانک‌ها و مؤسسات مالی کره‌ی جنوبی هم به کار رفته بود. GMO تأیید نکرده که پشت هر دو کمپین یک بازیگر واحد باشد.

هک Staples توسط یک شبکه‌ی جنایی چینی

به گزارش 404 Media، یک گروه جنایت سازمان‌یافته‌ی چینی به اپلیکیشن داخلی Staples به نام Nexus دسترسی یافت و بیش از ۱۵ هزار کارت هدیه به ارزش بیش از ۵ میلیون دلار صادر کرد. این کارت‌ها در فروشگاه‌هایی مانند Target و Sephora برای خرید لوازم الکترونیکی و کالاهای لوکس مصرف شد که سپس برای فروش مجدد به چین ارسال می‌شد.

توبیخ دو شرکت ولزی توسط ICO

دفتر کمیسیونر اطلاعات بریتانیا (ICO) دو شرکت ولزی را به‌دلیل استفاده از نام‌های کاربری و رمزهای عبور بسیار ضعیف در شبکه‌هایشان توبیخ کرد. هر دو در نتیجه هدف حمله‌ی باج‌افزاری و سرقت داده قرار گرفته بودند.

نفوذ به H2O Retailing

گروه خرده‌فروشی ژاپنی H2O Retailing اعلام کرد هکرها در نفوذ هفته‌ی گذشته اطلاعات ۱٫۲۶ میلیون مشتری را سرقت کرده‌اند. نفوذ از طریق دسترسی غیرمجاز به وب‌سایتی انجام شد که Hankyu Hanshin، یکی از برندهای فروشگاه بزرگ این گروه، اداره می‌کند.

حمله‌ی سایبری به شرکت خانه‌ی هوشمند LOXONE

شرکت آلمانی LOXONE که در حوزه‌ی خانه‌ی هوشمند و اتوماسیون ساختمان فعال است، آخر هفته هدف هکرها قرار گرفت. این شرکت برای مهار نفوذ شبکه‌ی داخلی فناوری اطلاعاتش را خاموش کرد، اما سامانه‌های مشتریان آسیب ندیدند چون روی مینی‌سرورهای محلی اجرا می‌شوند.

سومین نفوذ به Nikkei

شرکت رسانه‌ای ژاپنی Nikkei در حدود یک ماه سومین نفوذ امنیتی خود را تجربه کرد. به گفته‌ی این شرکت، هکرها با اعتبارنامه‌های سرقتی به یک سرور ابری دسترسی یافتند و ۱٫۸۳ میلیون رکورد را سرقت کردند.

سرقت ۱٫۴ میلیون دلاری از حساب‌های Qubic

پلتفرم رمزارزی Qubic پس از آنکه هکرها ۱٫۴ میلیون دلار از حساب‌های کاربران سرقت کردند فعالیتش را متوقف کرد؛ همه‌ی قربانیان کاربر iOS یا macOS بودند. Qubic می‌گوید عبارت‌های بازیابی کیف‌پول این کاربران با تصادفی‌بودن ناکافی تولید شده بود. این شرکت حدود ۸۷ درصد وجوه سرقتی را مسدود کرده و در حال بازگرداندن آن به مشتریان است.

حمله‌ی سایبری شرکت ارتباطات رادیویی رومانی را فلج کرد

یک حمله‌ی سایبری شبکه‌ی داخلی فناوری اطلاعات Radiocom، شرکت دولتی رومانی که سیگنال‌های رادیو و تلویزیون را پخش می‌کند، فلج کرد. این شرکت در واکنش سرور ایمیل خود را خاموش کرد، اما شبکه‌ی ارتباطات رادیویی آسیبی ندید.

نفوذ به پلتفرم تبادل داده‌ی دولتی اوکراین

یک عامل تهدید روس‌زبان به یک سرور Elasticsearch دسترسی یافت و ۶٫۸ میلیون سند را از پلتفرم دولتی تبادل داده‌ی اوکراین سرقت کرد.

تعطیلی Zeabur پس از دومین نفوذ

پلتفرم DevOps مبتنی بر هوش مصنوعی Zeabur پس از دومین نفوذ امسال، تا پایان سال تعطیل می‌شود. مهاجم متغیرهای محیطی و سوابق دیگر بیش از ۳۲۰ هزار حساب را سرقت کرد. این شرکت در اوت هم هدف نفوذی قرار گرفته بود که مهاجم در آن به بک‌اند AWS دسترسی یافته بود.

هک TeamUpdraft

مهاجمان آخر هفته به پایگاه‌داده‌ی بک‌اند TeamUpdraft، توسعه‌دهنده‌ی افزونه‌های وردپرس، دسترسی یافتند و اطلاعات مشتریان، جزئیات حساب‌ها و کلیدهای اتصال را سرقت کردند. به گزارش Wordfence، مهاجمان با همین کلیدها به سایت‌های مشتریان وصل شدند و افزونه‌های مخرب نصب کردند.

کاشتن بدافزار در ابزار خط فرمان OVHcloud

مهاجمی بدافزاری را در ابزار خط فرمان ارائه‌دهنده‌ی ابری فرانسوی OVHcloud جاسازی کرد و نسخه‌ی آلوده کمتر از دو ساعت در دسترس بود. اکتاو کلابا، مدیرعامل OVH، گفت مهاجم از طریق حساب گیت‌هاب یکی از توسعه‌دهندگان وارد شده و یک فایل باینری برای جمع‌آوری اسرار از دیسک کاربران افزوده است. به کاربرانی که نسخه‌های آلوده را دانلود کرده‌اند توصیه شده اسرار خود را تعویض کنند.

فناوری عمومی، هوش مصنوعی و حریم خصوصی

عینک‌های متا همه‌ی گفت‌وگوها را ضبط کردند

یک باگ در عینک‌های هوشمند Ray-Ban متا باعث شد این عینک‌ها طی چند روز، بدون رضایت صاحبشان و بدون فرمان «Hey Meta»، گفت‌وگوها را ضبط کنند.

حفاظت کروم در برابر ClickFix

گوگل حفاظت‌هایی به کروم اضافه می‌کند که حملات ClickFix را به‌صورت لحظه‌ای شناسایی و مسدود می‌کند و زمانی که کاربر فرمان مشکوکی را کپی می‌کند هشدار می‌دهد. این فرمان‌ها با سرویس Safe Browsing گوگل بررسی می‌شوند و در صورت مخرب‌بودن به کاربر هشدار نمایش داده می‌شود.

Privacy Badger به سافاری رسید

افزونه‌ی Privacy Badger بنیاد EFF حالا برای سافاری روی macOS در دسترس است.

موزیلا گواهی‌های eMudhra را از فهرست اعتماد حذف کرد

موزیلا گواهی ریشه‌ی eMudhra را پس از افشای کلیدهای خصوصی هشت گواهی میانی از فایرفاکس حذف کرد. پژوهشگران می‌گویند این کلیدها ضعیف و عمدتاً از صفر تشکیل شده بودند و همین به مهاجمان اجازه می‌داد آن‌ها را جعل کنند و خود را جای سرویس‌های معتبر جا بزنند. انتظار می‌رود گوگل هم در به‌روزرسانی آینده‌ی کروم اعتماد به eMudhra را لغو کند.

قطعی Google Cloud

قطعی Google Cloud در روز سه‌شنبه خدمات بانکی را در سراسر اروپا مختل کرد و Revolut، Lloyds و دیگران را تحت تأثیر قرار داد.

دادگاه به نفع NSO رأی داد

دادگاهی در آمریکا به نفع گروه NSO رأی داد و اعلام کرد متا به‌اندازه‌ی کافی ثابت نکرده که NSO با استفاده از Pegasus برای هک حساب‌های تازه‌ی واتساپ، حکم دادگاه را نقض کرده است.

دولت، سیاست و مقررات

پنتاگون می‌خواهد عامل‌های هوش مصنوعی را علیه دشمنان به کار بگیرد

فرماندهی سایبری ارتش آمریکا در قالب برنامه‌ای به نام ECHOTRIBBLE در حال توسعه‌ی عامل‌های هوش مصنوعی است که به‌طور خودکار به شبکه‌های دشمن نفوذ کنند، اهداف را از کار بیندازند و سپس خود را نابود کنند. بر اساس اسنادی که The Intercept به دست آورده، پنتاگون به‌دنبال پیمانکارانی برای ساخت این سامانه است.

درخواست وایدن برای استفاده از ECH

سناتور ران وایدن از قوه‌ی مجریه‌ی آمریکا خواست قابلیت Encrypted Client Hello را روی وب‌سایت‌های فدرال فعال کند تا مرور بازدیدکنندگان قابل‌رصد نباشد؛ با این استدلال که این کار از افشاگران و عموم مردم محافظت می‌کند.

ممنوعیت DeepSeek در شبکه‌های دولتی

وزارت امنیت داخلی آمریکا مدل هوش مصنوعی چینی DeepSeek را در شبکه‌های دولتی ممنوع کرد. این وزارتخانه به خطرات امنیت ملی استناد کرد؛ از جمله احتمال اینکه کارکنان داده‌های حساسی را به اشتراک بگذارند که قوانین چین می‌تواند شرکت‌ها را به تحویل آن ملزم کند.

درخواست DHS از CISA برای هک یک ماشین رأی‌گیری

بر اساس تحقیقات ProPublica، مقام‌های وزارت امنیت داخلی سال گذشته از کارکنان CISA خواستند یک ماشین رأی‌گیری تهیه و هک کنند، یافته‌ها را به کاخ سفید گزارش دهند و باگ‌ها را از سازنده پنهان نگه دارند. کارکنان CISA با استناد به اخراج اخیر تیم قرمزشان توسط DOGE و نگرانی از استفاده‌ی این کار برای دخالت سیاسی در انتخابات، از انجام آن خودداری کردند.

تحقیقات مولداوی درباره‌ی یاندکس

دولت مولداوی در حال بررسی یاندکس است؛ به اتهام جمع‌آوری اطلاعات شخصی شهروندان مولداوی و ذخیره‌ی آن در روسیه، با وجود ادعای این شرکت که داده‌ها روی سرورهایی در هلند نگهداری می‌شوند. مولداوی یاندکس را به فرار مالیاتی روی بیش از ۷٫۸ میلیون دلار درآمد هم متهم کرده است.

کانادا با سیستم‌عامل ملی می‌تواند میلیون‌ها دلار صرفه‌جویی کند

پژوهشی تازه استدلال می‌کند کانادا می‌تواند یک سیستم‌عامل ملی برای جایگزینی ویندوز بسازد و همچنان میلیون‌ها دلار صرفه‌جویی کند. چند کشور دیگر هم در حال آزمایش جایگزین‌های مشابهی هستند.

موارد تازه‌ی Pegasus در صربستان

بازرسان جرم‌شناسی جاسوس‌افزار Pegasus را روی دستگاه‌های ولادان دوکیچ، رئیس دانشگاه بلگراد، و راده بایچ، دادستان، یافتند؛ هر دو امسال با اکسپلویت‌های zero-click آلوده شده بودند. دوکیچ در اعتراضات ضددولتی دانشجویی نقش داشت و بایچ در حال بررسی پرونده‌ی فساد مرتبط با یک پروژه‌ی جرد کوشنر در بلگراد بود. اپل به هر دو هشدار داده بود و CitizenLab و بنیاد SHARE یافته‌ها را منتشر کردند.

دستگیری‌ها، جرایم سایبری و اطلاعات تهدید

دومین مذاکره‌کننده‌ی باج‌افزار مرتبط با ShinyHunters

اف‌بی‌آی در حال بررسی دومین مذاکره‌کننده‌ی باج‌افزاری است که ممکن است به گروه ShinyHunters در اخاذی از قربانیان کمک کرده باشد. برایان کربس گزارش داده که این فرد مدیر یک شرکت امنیتی شناخته‌شده است و بنا بر ادعا در گرداندن پورتال اخاذیِ اکنون تعطیل‌شده‌ی گروه نقش داشته است. اف‌بی‌آی پیش‌تر یک مذاکره‌کننده‌ی باج‌افزار اهل کانادا را بازداشت کرده بود.

هشت سال زندان برای هکر نیجریه‌ای

دادگاهی در آمریکا چوکوومکا آماچوکوو، تبعه‌ی نیجریه، را به هشت سال زندان محکوم کرد. او و همدستانش در ۲۰۱۹ به شرکت‌های تهیه‌ی اظهارنامه‌ی مالیاتی آمریکا نفوذ کردند، اطلاعات مشتریان را سرقت کردند و اظهارنامه‌های جعلی به ارزش ۸٫۴ میلیون دلار ثبت کردند که ۲٫۵ میلیون دلار آن را دریافت کردند.

کلاهبرداری تازه در واتساپ

پلیس آلمان درباره‌ی یک کلاهبرداری واتساپی هشدار داد که خود را یک مسابقه‌ی رأی‌گیری جا می‌زند. قربانیان فریب می‌خورند کدهای یک‌بارمصرفی را تحویل دهند که به مهاجم اجازه می‌دهد حساب را به دستگاه خودش متصل کند.

هدف‌گیری اپراتورهای مخابراتی با درخواست‌های ردیابی جعلی

مهاجمان با ایمیل‌های فیشینگی که خود را جای گروه ردیابی صنعت آمریکا (Industry Traceback Group) جا می‌زنند، شرکت‌های مخابراتی را در سراسر جهان هدف گرفته‌اند. این ایمیل‌ها درخواست ردیابی تماس‌های ادعایی مخرب دارند اما به یک مخزن گیت‌هاب حاوی بدافزار می‌رسند. CommsRisk دریافت که کلاهبرداران اطلاعات تماس اپراتورها را از پایگاه‌داده‌ی کاهش تماس‌های رباتیک آمریکا برداشته‌اند.

گروه‌های باج‌افزاری بیشتری سراغ باگ پالو آلتو رفتند

گروه‌های باج‌افزاری Settra و Inc حالا از آسیب‌پذیری CVE-2026-0257 در PAN-OS برای نفوذ به شبکه‌ها بهره می‌برند. این نقص در ژوئن وصله شده بود و گروه Qilin پیش‌تر در ژوئیه از آن استفاده کرده بود.

گزارش‌های فنی بدافزار

باج‌افزار SafePay

آژانس‌های سایبری آمریکا، آلمان و بریتانیا هشدار مشترک و گزارش فنی‌ای درباره‌ی SafePay منتشر کردند؛ گروه باج‌افزاری که در اکتبر ۲۰۲۴ ظاهر شد.

باج‌افزار Heartbreaker برای macOS

شرکت Objective-See نمونه‌ی تازه‌ای از باج‌افزار macOS را که در VirusTotal پیدا شده بود تحلیل کرد. این بدافزار کم‌زحمت به‌نظر می‌رسد و رمزنگاری آن قابل بازگشت است.

APT، جاسوسی سایبری و عملیات اطلاعاتی

گروه Swallowtail (همان APT28 یا Fancy Bear)

شرکت Broadcom گزارش داد APT28 یک نهاد مجری قانون، یک سازنده‌ی کشتی‌های نظامی و یک سازنده‌ی موتور هواپیمای نظامی را در کشورهای عضو ناتو هدف گرفته است.

APT چینی با هوش مصنوعی دولت‌های آسیایی را هدف گرفت

شرکت VULONE گروهی مرتبط با چین را کشف کرد که ۶۶ نفوذ مبتنی بر هوش مصنوعی علیه اهداف دولتی و صنعتی در سراسر آسیا انجام داده است. این کمپین از یک سرور واحد اجرا می‌شد که پیش از افشا به ۴۸ سامانه رسیده بود.

گروه BRONZE SANDCASTLE

شرکت Sophos از فعالیت تازه‌ی گروه مرتبط با چین BRONZE SANDCASTLE خبر داد که از نسخه‌های تغییریافته‌ی پوسته‌ی Meterpreter استفاده می‌کند. اهداف احتمالی آن شامل فیلیپین، تایوان، افغانستان، نامیبیا و کره‌ی جنوبی است.

کمپین Doppelganger علیه اسرائیل

شرکت ClearSky گزارش داد گروه روسی انتشار اطلاعات نادرست Doppelganger کمپینی در اسرائیل برای ترساندن مردم به راه انداخته است. این کمپین با ربات‌های توییتر و مقالات خبری جعلی، داستان‌هایی درباره‌ی جنگ با ترکیه و قطع حمایت نظامی آمریکا پخش می‌کند.

خلاصه‌ی عملیات نفوذ در تیک‌تاک

گزارش شفافیت ماهانه‌ی تیک‌تاک شبکه‌های نفوذ پنهانی را که در اوت حذف شده‌اند پوشش می‌دهد. این شبکه‌ها بحث‌های سیاسی را در اسپانیا، پرو، قزاقستان، کلمبیا، برزیل، هائیتی، رومانی، فرانسه و آمریکا هدف گرفته بودند و بیشتر بر جنگ اوکراین، انتخابات و احزاب افراطی تمرکز داشتند.

آسیب‌پذیری‌ها، پژوهش امنیتی و باگ‌بانتی

به‌روزرسانی‌های امنیتی

این شرکت‌ها هشدارهای امنیتی منتشر کردند: Advantech، GeoVision، IBM و Siemens.

آسیب‌پذیری‌های Plex2Shell

مهاجمان کمتر از یک روز پس از افشای عمومی، بهره‌برداری از یک آسیب‌پذیری Plex Media Server را آغاز کردند. آن‌ها از یک زنجیره‌ی چهار باگی استفاده کردند که احراز هویت را دور می‌زد و اجرای کد از راه دور را ممکن می‌کرد، و روی سرورهای به‌روزنشده ماینر رمزارز و نرم‌افزار پراکسی کاشتند.

نشت جزئیات دو باگ اجرای کد در PHP

بنیاد PHP قصد دارد روز پنجشنبه وصله‌هایی برای دو نقص بحرانی اجرای کد از راه دور با نمره‌ی CVSS ۹٫۲ منتشر کند. جزئیات این نقص‌ها اوایل همین هفته در اینترنت نشت کرد و تیم PHP گفته اگر بهره‌برداری فعال ببیند، وصله‌ها را زودتر منتشر می‌کند.

احتمال یک zero-day تازه در آیفون

یک سند محرمانه‌ی Cellebrite نشان می‌دهد این شرکت ممکن است یک zero-day تازه در آیفون در اختیار داشته باشد.

پدیده‌ی «patchslop» در وصله‌های هوش مصنوعی

شرکت Terra Security درباره‌ی «patchslop» هشدار می‌دهد: باگ‌هایی که عامل‌های هوش مصنوعی به شکلی وصله می‌کنند که یا محصول را خراب می‌کند یا نقص اصلی را همچنان قابل بهره‌برداری باقی می‌گذارد.

صنعت امنیت اطلاعات

گزارش‌های تهدید و روند

• BDO — نظرسنجی هیئت‌مدیره‌ها ۲۰۲۶
• Blockaid — بازیابی وجوه رمزارزی
• CERT-FR — گزارش اطلاعات تهدید
• Contrast Security — مسئله‌ی قطعیت در هوش مصنوعی
• Emsisoft — وضعیت باج‌افزار در سه‌ماهه‌ی سوم ۲۰۲۶
• FTC — گزارش سالانه درباره‌ی حفاظت از سالمندان
• IBM — نشانه‌های امنیت متن‌باز
• KPMG — نظرسنجی ریسک فناوری و تاب‌آوری CISOها
• Point Wild — چشم‌انداز بدافزار ویندوز در سه‌ماهه‌ی سوم
• Terra Security — وصله‌های امنیتی به‌عنوان نقشه‌ی راه مهاجمان

ابزار تازه: tsrs

کلادفلر ابزار tsrs را منتشر کرد؛ نسخه‌ای از TypeScript که به زبان Rust بازنویسی شده است.

منبع

Risky Bulletin — Hacker hijacks 10% of Tor exit nodes