کمپین جاسوسی هماهنگ علیه زیرساختهای امنیتی پاکستان افشا شد
حملات سایبری طولانیمدت و هماهنگ علیه چندین نهاد انتظامی پاکستان، عمق آسیبپذیریهای دیجیتال در منطقه را آشکار کرده است. پژوهشگران امنیت سایبری با بررسی ترافیک شبکه و نمونههای بدافزاری، ردپای عملیات جاسوسی مستمر از فوریه ۲۰۲۴ تا آوریل ۲۰۲۶ را شناسایی کردهاند. این کمپین که توسط بازیگران همسو با چین و هند هدایت میشود، تمرکز خود را بر سرورها، دستگاههای شبکه و برنامههای وب مرتبط با پلیس بلوچستان و سایر نهادهای امنیتی متمرکز کرده است. جاسوسی سایبری در این سطح، نشان میدهد چگونه اهداف رسمی میتوانند به کانون اصلی جمعآوری دادههای حساس تبدیل شوند.
هدف قرار گرفتن پورتالهای حیاتی و دادههای شهروندی
در مرکز این عملیات سیستم مدیریت شکایات پلیس بلوچستان قرار دارد. مهاجمان با نفوذ به این سامانه که مستقیماً با سوابق جنایی، ثبتهای هویتی و دادههای بیومتریک سروکار دارد، موفق شدند ایمپلنتهای سفارشی را با پوشش «بهروزرسانی پورتال» مستقر کنند. این اقدام علاوه بر دسترسی به پایگاههای داده پلیس، هر دو گروه شهروندان و پرسنل انتظامی را در معرض رصد مخفیانه قرار داد. جزئیات فنی نشان میدهد داراییهای بهچشمخورد بین خرداد ۱۴۰۳ تا فروردین ۱۴۰۵ شامل دو دستگاه شبکه، سرورهای چندین برنامه وب دیجیتال و یک اپلیکیشن امنیتی FortiMail به عنوان دروازه اصلی ایمیل ورودی بوده است.
رقابت استراتژیک چین و هند در فضای سایبر
یافتههای جدید حاکی از آن است که این کمپین جاسوسی فراتر از بلوچستان گسترش یافته و زیرساختهای پلیس خیبر پختونخوا، پلیس اسلامآباد و اداره شهرهای امن پنجاب را نیز در زون حمله قرار داده است. پژوهشگران چهار خوشه تهدید مجزا را شناسایی کردهاند که از خانوادههای PlugX، ShadowPad، Cobalt Strike و Remcos RAT بهره میبرند. ابزارهای PlugX و ShadowPad که بهطور سنتی با گروههای هکری همسو با چین شناخته میشوند، نهادهای دیپلماتیک، وزارتخانههای دفاع و مراکز تحقیقاتی در شرق و جنوب آسیا، خاورمیانه و شرق اروپا را هدف گرفتهاند. در مقابل، خوشههای مرتبط با Remcos RAT و ابزارهای مشترک با گروه Mysterious Elephant، ردپای بازیگران همسو با هند را از خود به جای گذاشتهاند. این دو طیف هرچند از ابزارهای متفاوتی استفاده میکنند، اما در اهداف جمعآوری اطلاعات همپوشانی تاکتیکی قابلتوجهی دارند.
مهندسی اجتماعی و مراحل اجرای بدافزار
زنجیرههای نفوذ در این عملیات، از مهندسی اجتماعی دقیقی پیروی میکنند. مهاجمان با استفاده از طعمههای مرتبط با مسائل مرزی، اسناد فریبندهای را منتشر کردند که ادعا میکردند حاوی طرحهای عملیاتی بازگرداندن اتباع خارجی غیرقانونی و دارندگان کارت شناسایی افغان هستند. کلیک کاربر بر روی این فایلها، دروازه اصلی استقرار بدافزار بود. تحلیل فنی دو نسخه متمایز از فایل cms_plugin.exe در سرورها، دقت بالای مهاجمان را آشکار میکند. نسخه اول یک استیجر با زبان Rust است که وظیفه دانلود محمولههای بیشتر را از آیپی مشخصی دارد و با نمایش پیام «بهروزرسانی کامل شد!»، فرآیند طبیعی سامانههای دولتی را شبیهسازی میکند. نسخه دوم یک باینری .NET است که پوشش یک نرمافزار آنتیویروس معتبر را انتخاب کرده تا در میان فرآیندهای عادی سیستم از چشم نظارتهای داخلی پنهان بماند.
ترافیک فرماندهی و اهداف فراملیتی
بررسی ترافیک ارتباطی با سرورهای فرماندهی و کنترل (C2) در خوشه Cobalt Strike، الگوهای جاسوسی گستردهتری را فاش میکند. این سرور که با آیپی 142.171.183[.]8 در ارتباط است، فقط مختص پاکستان نمانده و اهدافی از جمله دانشگاهها، نهادهای مخابراتی، سازمانهای بودایی تبت در تایوان و حتی نهادها در آمریکای جنوبی را پوشش میدهد. این گستره جغرافیایی، کاملاً همخوان با الگوهای شناختهشده عملیات گروههای پیشرفته همیشگی (APT) به رهبری چین است.
راهکارهای مقابله و درسهای امنیتی
افشای این کمپین جاسوسی، هشدار جدی درباره آسیبپذیری برنامههای تحت وب دولتی و پلیسی است. تکیه بر سیستمهای داخلی بدون لایههای جدی احراز هویت، پایش رفتار شبکه و نظارت مداوم، میتواند دروازهای ایدهآل برای گروههای هکری ایجاد کند. استراتژی مهاجمان در این حملات بر پایه صبر، استفاده از ابزارهای تجاری و پوشش کامل ردپای دیجیتال اجرا شده است. گزارشهای نهادهای معتبر امنیت سایبری تأکید میکنند که نهادهای حساس باید از مدلهای تشخیص تهدید مبتنی بر رفتار (EDR) و پایش لحظهای ترافیک خروجی بهره ببرند. بازرسی دورهای فایلهای اجرایی، ایزولاسیون سریع سرورهای آسیبپذیر و محدودسازی دسترسیهای مدیریتی به حداقل ممکن، از اقدامات پیشدستانه حیاتی محسوب میشوند. رقابت دادهای و جاسوسی در فضای دیجیتال، به زودی کمرنگ نخواهد شد و تقویت زیرساختهای سایبری صرفاً یک انتخاب فنی نیست، بلکه پایه اصلی امنیت ملی در دهه جاری است.
