هکرها با استفاده از گواهی جعلی گوگل، ۳۰۰۰۰۰ ایرانی را مخفیانه رصد کردند!

بر اساس گفته های اداره ی جرائم، که دزدی صدها گواهی دیجیتالی را از یک شرکت هلندی بررسی می کند، اکانت (اشتراک) حدود ۳۰۰۰۰۰ ایرانی به خطر افتاده و هکرها نامه های آن ها را خواندند.

با وجود این که گزارش، هکر یا هکرها را که احتمالا کاربران ایرانی را رصد کرده اند، را شناسایی نکرده، ولی محققین امنیت به دولت ایران اشاره دارند که با تلاش برای قطع کردن ارتباطات فعالان و تظاهر کنندگان، مرتبط است.

گزارش Fox-IT در روز دوشنبه اعلام داشت که یک شرکت تحقیقاتی دیجیتال وابسته به دولت هلند بعد از هک شدن سرورهای دیجی نورتار و توسط عاملین نفوذی بیش از ۵۰۰ لایه ی سوکِت امنِ (SSL) گواهی، ساخته شد. در میان گواهی ها، چندین موردشان است که می توان از آن ها برای جا زدن خود به جای دیگران و استفاده از خدمات گوگل، از جمله جی میل، استفاده کرد.

گواهی های SSL توسط وب سایت ها و مرور کننده ها جهت شناسایی مجاز بودن یک سایت استفاده می شوند و می توان با استفاده از حملات «مردی در وسط» از آن ها برای دامنه های با دسترسی بی اجازه تغییر قیافه داده، سوء استفاده کرد.

به گفته ی Fox-IT حدود ۳۰۰۰۰۰ آدرس IP که هر کدام نشان دهنده ی یک کامپیوتر و حداقل یک کاربر است، به سایت هایی که گواهی جعلی google.com را در تاریخ ۲۷ جولای تا ۲۹ آگوست، نشان می داده اند، دسترسی داشته اند. تقریبا همه ی آن آدرس های IP (و به گفته ی Fox-IT 99% آن ها) از ایران بوده اند.

محققین فرض کردند که گواهی google.com پیشتر نیز برای جاسوسی اشتراک جی میل کاربران ایرانی، استفاده شده است.

Fox-IT گفت: «با استفاده از این کوکی دسترسی به جی میل، هکر می تواند به طور مستقیم به صندوق رایانامه ی قربانی وارد شده و نامه های موجود را بخواند». همچنین هکر می تواند به سایر ابزارهای گوگل مثل Google Docs، Google Latitude وارد شود (که می تواند مکان دقیق فرد را هم بیابد) و اکانت Facebook و Twitter شان را نیز بدزدد.

گزارش، گفته ی هفته ی پیش گوگل را تایید کرد که گفته بود کاربران جی میل مورد حمله واقع شده اند و «افراد متاثر شده، عمدتا در ایران واقع هستند».

Fox-IT یک شبیه سازی ترافیک عبور کرده از دامنه ی google.com جعلی در YouTube قرار داد تا سلطه ی ایران را نشان دهد.

در حالی که Fox-IT مستقیما دولت ایران را عامل این حمله قلمداد نکرد، ولی انگیزه ی پشت جریان را که «عملیات لاله ی سیاه» نامیده می شود، مشخص کرد.

این شرکت در گزارش اش گفت: «فهرست دامنه ها و این حقیقت که ۹۹% کاربران ایرانی هستند، نشان می دهد که هدف هکر به دست آوردن اطلاعات شخصی در ایران بوده است».

از یک هفته قبل، از زمانی که این خبر منتشر شد، برخی محققین امنیت مظنون به دولت ایران هستند که پشت این قضیه ی دزدی گواهی و حمله ی متعاقب آن است. گزارش Fox-IT، فقط نظر آن ها را تقویت کرد.

یک محقق امنیت از سوفوس که در انگلستان است، روز دوشنبه در یک نوشته ی وبلاگ گفت: « قوی ترین شاهد این امر آن است که این گواهی ها می توانند توسط دولت ایران یا ISP ها استفاده شده و ارتباطات کاربران را زیر نظر بگیرند».

وزیر امنیت داخلی و دادگستری در نامه ای به مجلس هلند که روز دوشنبه علنی شد، گفته است که دولت در حال بررسی سهل انگاری دیجی نوتار در این مورد است.

گزارش Fox-IT تصویر غمناکی رسم کرده و گفته است که دیجی نوتار به مدت هفته ها ناآگاه از این بوده است که هکرها سرورهایش را کنترل می کنند، و این که نرم افزار سرور به روز و کامل نبوده، و این که توسط نرم افزار آنتی ویروس محافظت نمی شده، که می توانست وقتی که هکرها قصد نفوذ به سیستم و خرابکاری داشتند، صدای آژیر را به صدا در آورد.

و بنا به گفته ی گزارش، حملات علیه دیجی نوتار ادامه دارد.

Fox-IT گفت: «مطالعات فعلی نشان می دهد که تلاش های هک کردن بر روی وب سرور، از ایران نشأت گرفته است».

منبع: computerworld