پرونده ویژه تکین: رادار سایبری و زلزله‌های امنیتی ( ژوئن ۲۰۲۶)

۱. آسیب‌پذیری مرگبار Palo Alto: نفوذ خاموش از طریق دروازه‌های GlobalProtect

در اواسط ژوئن ۲۰۲۶، شرکت نام‌آشنای Palo Alto Networks، که به عنوان یکی از ستون‌های اصلی امنیت سایبری سازمانی در جهان شناخته می‌شود، زنگ خطر بی‌سابقه‌ای را به صدا درآورد. این غول امنیتی با انتشار یک هشدار فوری، تایید کرد که مهاجمان ناشناسِ تحت حمایت دولت‌ها (State-Sponsored Actors) در حال سوءاستفاده فعال (Active Exploitation) از یک آسیب‌پذیری بحرانیِ تازه کشف شده در سیستم عامل فایروال‌های خود یعنی PAN-OS هستند. این ثغره امنیتی که در کاتالوگ آسیب‌پذیری‌ها با شناسه CVE-2026-0257 ثبت شده است، مستقیماً پورتال‌ها و درگاه‌های GlobalProtect را هدف قرار می‌دهد؛ همان درگاه‌هایی که قرار است امن‌ترین تونل ارتباطی کارمندان دورکار با شبکه‌ی حساس سازمانی باشند. این اتفاق به معنای شکسته شدن خط مقدم دفاعی بسیاری از سازمان‌های دولتی، بیمارستان‌ها و زیرساخت‌های انرژی در سطح بین‌المللی است.

مکانیسم این آسیب‌پذیری به حدی ساده و در عین حال ویرانگر است که مهندسان امنیت را در شوک فرو برده است. باگ مذکور از نوع Authentication Bypass (دور زدن احراز هویت) است و در تست‌های بنچمارک امنیتی CVSS امتیاز بالای ۷.۸ را به خود اختصاص داده است. در شرایط عادی، نفوذ به سرورهای GlobalProtect نیازمند کشف رمز عبور، دور زدن تایید دو مرحله‌ای (2FA) و ایجاد نشست‌های جعلی (Session Hijacking) است. اما باگ CVE-2026-0257 به مهاجم اجازه می‌دهد تا با ارسال یک پکت دستکاری شده (Crafted Payload) به سمت پورتال، بدون ارائه هیچ‌گونه نام کاربری یا رمز عبوری، خود را به عنوان یک کاربر مجاز یا حتی مدیر سیستم جا بزند.

به محض دور زدن احراز هویت، مهاجم وارد فاز "Lateral Movement" (حرکت جانبی) می‌شود. او می‌تواند در سراسر زیرشبکه‌های سازمان بخزد، سرورهای پایگاه داده را شناسایی کند، درب‌های پشتی (Backdoors) دائمی نصب کند و آماده‌ی سرقت اطلاعات یا اجرای باج‌افزار (Ransomware) در مقیاس شبکه شود. همه این اتفاقات بدون ایجاد هیچ هشدار (Alert) مشکوکی در سیستم‌های تشخیص نفوذ (IDS) سنتی رخ می‌دهد، زیرا درخواست از یک منبعِ ظاهراً احراز هویت شده صادر شده است.

تحلیل‌های کارشناسان واکنش سریع نشان می‌دهد که اعمال پچ‌های امنیتی روی سخت‌افزارهای فایروال سازمانی فرآیندی پیچیده است که معمولاً روزها به تعویق می‌افتد. مهاجمان با آگاهی دقیق از این تاخیر، صدها ربات اسکنرِ خودکار را در بستر اینترنت رها کرده‌اند تا سرورهای PAN-OS آسیب‌پذیر را پیدا کنند. این حمله ثابت کرد که در دنیای مدرن، حتی قدرتمندترین دروازه‌های ورودی هم نمی‌توانند امنیتِ بی‌نقص را تضمین کنند.

۲. سقوط Outsider Enterprise: عملیات مشترک اف‌بی‌آی علیه مافیای فیشینگ هوش مصنوعی

در اواخر خرداد، رسانه‌های فناوری شاهد خبری تکان‌دهنده از یک عملیات پلیسی بسیار پیچیده بودند. پلیس فدرال آمریکا (FBI) طی یک عملیات مشترک سایبری با همکاری بخش اطلاعات تهدید گوگل (Google Threat Intelligence) و مهندسان شرکت امنیتی Black Lotus Labs، یکی از مدرن‌ترین و مخرب‌ترین شبکه‌های جرایم سایبری تاریخ را در هم شکستند. این شبکه مافیایی که در وب‌تاریک با نام تجاری Outsider Enterprise فعالیت می‌کرد، مستقر در چین بود و خدماتی ترسناک تحت عنوان «فیشینگ به عنوان سرویس» (Phishing-as-a-Service) ارائه می‌داد.

در نسل گذشته‌ی حملات فیشینگ، یک هکر باید دامنه‌ای شبیه به نام یک بانک ثبت می‌کرد، سورس کد سایت هدف را کپی می‌نمود و ساعت‌ها وقت صرف تنظیم کدهای فرم ورود می‌کرد. اما معماری Outsider Enterprise این فرآیند را منسوخ کرد. موتور هوش مصنوعی اختصاصی این شبکه، قادر بود با دریافت یک کلمه کلیدی، بیش از ده‌ها هزار آدرس URL فیشینگ با ترکیبات روانشناختی متقاعدکننده تولید کند. همزمان، مدل‌های زبانی این شبکه ایمیل‌های فیشینگی با رعایت دقیق اصول نگارشی و لحن رسمی سازمان‌ها خلق می‌کردند که از سد فیلترهای قدرتمند اسپم نیز عبور می‌کرد.

پیروزی اف‌بی‌آی در این پرونده بدون ماشین‌های یادگیریِ گوگل ممکن نبود. متخصصین گوگل با استفاده از تحلیل الگوریتم‌های رفتارشناسی، توانستند امضای کدهای تولید شده توسط موتور هوش مصنوعیِ Outsider را شناسایی کنند. به محض کشف این امضای دیجیتال، گوگل تمام این یک میلیون دامنه را به لیست سیاه سرویس مرور ایمن (Google Safe Browsing) وارد کرد. این نبرد نشان داد که مقابله با ماشین‌های تهاجمی هوش مصنوعی، نیازمند ابزارهای دفاعی نسل جدید است.

۳. باند کلاهبرداری Sniper Dz: مهندسی اجتماعی مرگبار در خاورمیانه (MENA)

در حالی که نگاه دنیا به باگ‌های زیرساختی پیچیده دوخته شده است، تهدیدی به مراتب مستقیم‌تر و بومی‌تر، کاربران عادی اینترنت را در مناطق خاورمیانه و شمال آفریقا (MENA) هدف قرار داده است. کارشناسان اطلاعات تهدید در کمپانی امنیتی معتبر Group-IB، اخیراً پرده از فعالیت‌های مخرب شبکه‌ی منسجمی به نام Sniper Dz برداشتند. این کمپین، صدها هزار کاربر را با تکنیک‌هایی که مستقیماً نیازهای روزمره افراد را نشانه می‌رود، فریب داده است.

اعضای این شبکه، صدها حساب کاربری جعلی در پلتفرم فیسبوک (و اخیراً لینک‌های مخرب در تلگرام) ایجاد کرده‌اند. این اکانت‌ها با جعل هویت بی‌نقصِ وزرا و سازمان‌های دولتی، پست‌هایی به شدت فریبنده منتشر می‌کنند. متنِ این آفرهای تقلبی کاملاً بومی‌سازی شده است؛ پیام‌هایی با مضمون «دریافت اینترنت موبایل رایگان ویژه اعیاد» و «ثبت‌نام برای دریافت یارانه‌های معیشتی دولت».

کاربرانی که در دام این طعمه‌های روانی می‌افتند، پس از کلیک بر روی لینک‌ها، با یک فرم حرفه‌ای روبرو می‌شوند. در این صفحات، هکرها با استفاده از تکنیک Browser Hijacking نوتیفیکیشن‌های جعلیِ هشدار مرورگر به کاربر نمایش می‌دهند که سیستم او را مجبور به دانلود یک اپلیکیشن «ضروری» می‌کند. این فایل نصب، در واقع یک Spyware (بدافزار جاسوسی) حرفه‌ای اندرویدی است که پس از نصب، با سوءاستفاده از مجوزهای دسترسی‌پذیری (Accessibility Services) اندروید، کدهای تایید دو مرحله‌ای (OTP) پیامک شده توسط بانک را در پس‌زمینه رهگیری کرده و حساب قربانی را در چند ثانیه غارت می‌کند.

۴. زنگ خطر برای وب‌مسترها: بک‌دورهای پنهان در افزونه‌های وردپرس

امنیت سیستم مدیریت محتوای وردپرس (WordPress) که موتور محرک بیش از ۴۰ درصد از وب‌سایت‌های فعال جهان است، همواره یک دغدغه اساسی در دنیای سایبری بوده است. اما گزارش اخیر محققان امنیتی نشان از یک تکامل نرم‌افزاری بسیار ترسناک دارد: یک حمله موفق به زنجیره تامین (Supply Chain Attack) که پلاگین‌های معتبر را هدف قرار داده است. مهاجمان حرفه‌ای موفق شده‌اند با سرقت توکن‌های دسترسی توسعه‌دهندگان (Developer Tokens)، کدهای اسکریپت در سه افزونه بسیار محبوب مارکتینگ شامل OptinMonster، PushEngage و TrustPulse را در مخزن رسمی آلوده و آپدیت مخرب را بارگذاری کنند.

این بدافزار که در میان کدهای سالمِ جاوا اسکریپت مخفی شده بود، به طرز عجیبی نامحسوس عمل می‌کند. زمانی که یک کاربر عادی سایت را لود می‌کند، فایل‌های دستکاری شده بدون هیچ رفتار مشکوکی اجرا می‌شوند. اما بدافزار به طور پیوسته وضعیت توکن‌های ورود را بررسی می‌کند. به محض اینکه یک مدیر سیستم با سطح دسترسی ادمین وارد پنل وردپرس می‌شود، اسکریپتِ مخرب مانند یک مینِ هوشمند فعال شده و از نشستِ تایید شده‌ی ادمین سوءاستفاده می‌کند. در پس‌زمینه، یک حساب کاربری مدیرِ جدید با رمز عبور رندوم برای هکرها می‌سازد و سپس یک پلاگین مخفی را دانلود و نصب می‌کند تا درب پشتی (Backdoor) دائمی برای کنترل کامل سایت ایجاد شود.

این ظرافت در اجرای کد مخرب باعث می‌شود آنتی‌ویروس‌های سطح سرور به هیچ وجه متوجه این نقض امنیتی نشوند. این رخداد اهمیت مانیتورینگ دوره‌ای پایگاه داده و کاربران فعال را برای تمام صاحبان کسب‌وکارهای آنلاین حیاتی می‌سازد.

۵. ارتش خاموش کروم: افشای شبکه عظیم ۱۵۲ افزونه مخرب

عادت روزمره کاربران اینترنت برای زیباسازی مرورگرهای خود، در سکوت به پاشنه آشیل امنیت سایبری تبدیل شده است. محققین ارشد امنیت فضای ابری پرده از یک شبکه سازمان‌یافته بدافزاری برداشته‌اند که شامل بیش از ۱۵۲ افزونه مخربِ کروم می‌شود. این افزونه‌ها تحت عناوین جذابی همچون «تصویر زمینه زنده» در Chrome Web Store برای دانلود قرار گرفته بودند و توانسته بودند سیستم بازبینی گوگل را دور بزنند. این باندها موفق به جذب بیش از ۱۰۵ هزار کاربر فریب‌خورده شده‌اند که سیستم‌هایشان عملاً به زامبی‌های ارتش خاموشِ هکرها تبدیل شده بود.

پس از نصب افزونه، صفحه‌ی Home کاربر در دست گرفته می‌شد و افزونه با نصب یک بدافزار جانبیِ سبک، ترافیک مرورگر را کنترل می‌کرد. در پس‌زمینه، افزونه شروع به لود کردن صفحات تبلیغاتی سنگین، کلیک‌های تقلبی بر روی بنرها و ایجاد ترافیک فیک می‌کرد. این فرآیند که به آن Click Fraud گفته می‌شود، باعث تخلیه منابع سیستم شده و میلیون‌ها دلار درآمد نامشروع برای هکرها به همراه داشت.

گوگل اکثر این برنامه‌ها را از فروشگاه خود پاک کرده است، اما برای پاک‌سازی نهایی، خودِ کاربر باید این افزونه‌ها را به صورت دستی از مروگر خود Delete کند.

بازتاب این موج عظیم از حملات سایبری نه تنها در اتاق‌های سرور سازمان‌ها، بلکه در بازارهای مالی و بورس‌های بین‌المللی نیز به وضوح احساس می‌شود. سرمایه‌گذاران با دقت در حال بررسی میزان آسیب‌پذیری دارایی‌های خود هستند و همزمان موج جدیدی از نقدینگی روانه استارتاپ‌های پیشرو در عرصه هوش مصنوعیِ دفاعی شده است.

برای کمک به درک بهتر چالش‌های امنیتی مطرح شده، تیم تحریریه تکین‌گیم پرتکرارترین سوالاتی که کاربران و مدیران شبکه از ما پرسیده‌اند را گردآوری کرده است: