هکرهای «شهید کاوه» و «شهید شوشتری»؛ متهمان حملات سایبری سپاه به فرانسه

دوشنبه ۱۸آبان۱۴۰۵ «لور بکو» دادستان پاریس از آغاز تحقیقات قضایی خبر داد که در آن گروه «شهید کاوه» وابسته به سپاه پاسداران به‌عنوان متهم حمله سایبری به یخچال‌های فرانسه شناخته می‌شوند. اندکی پس از انتشار بیانیه دادستان پاریس، «ژان‌نوئل بارو» وزیر امور خارجه فرانسه تایید کرد که از نظر پاریس، سپاه پاسداران «مسوول» این حمله سایبری است. او ضمن اعلام احضار سفیر ایران در پاریس، وعده داد که تحریم‌هایی در سطح اتحادیه اروپا اعمال خواهد شد. بارو این حمله را از نظر گستردگی و شدت تهاجم «بی‌سابقه» توصیف کرد. بیستم مهرماه صدها سوپرمارکت در فرانسه هدف حمله سایبری «بی‌سابقه‌» به تاسیسات و سامانه‌های سرمایشی قرار گرفتند. در هفته‌های بعد، چندین سوپرمارکت در دیگر کشورهای اروپای هم هدف قرار گرفته شدند. تحقیقات انجام‌شده از سوی دفتر مبارزه با جرایم سایبری فرانسه و اداره کل امنیت داخلی آن، این حمله را از نظر شیوه عملیات به گروه «شهید کاوه» وابسته به سپاه پاسداران می‌داند. در بیانیه وزارت‌خارجه فرانسه و تازه‌ترین گزارش مرکز بحران‌های سایبری این کشور اما به سابقه حملات سایبری سپاه پاسداران علیه منافع فرانسه هم اشاره شده؛ جایی‌که نام گروه «شهید شوشتری» هم به میان می‌آید.  این گروه‌ها و فرماندهان‌شان کیستند؟ حملات سایبری علیه فرانسه چگونه اتفاق افتاده است؟ 

حمله سایبری به سیستم‌ سرمایشی فروشگاه‌های مواد غذایی در فرانسه، شامگاه ۲۰مهرماه اتفاق افتاد و خسارتی هنگفت به‌بار آورد. حالا سپاه پاسداران متهم این پرونده تحقیقات قضایی اعلام شده است. هفت روز بعد، 

لور بکو، دادستان پاریس اعلام کرده که در پرونده حمله سایبری به یخچال‌های فروشگاه‌های فرانسه، این تحقیقات قضایی به‌ويژه «رییس گروه ایرانی "شهید کاوه"، یک واحد سایبری وابسته به مرکز سایبری سپاه پاسداران» و «دو معاون آن» را هدف قرار داده است. اسامی این افراد توسط دادستان منتشر نشده اما اتهام مطرح شده «نفوذ و مداخله سازمان‌یافته در سامانه‌های پردازش خودکار داده‌ها» و «تخریب سازمان‌یافته با استفاده از ابزار یا روشی خطرناک برای افراد» عنوان شده است. 

به گفته دادستان پاریس، از آن‌جایی‌که این جرایم با هدف خدمت به «یک قدرت خارجی» صورت گرفته، مشمول شرایط «تشدید مجازات» نیز می‌شوند. دادستان پاریس خواستار صدور حکم بازداشت بین‌المللی شده است. 

از جمله شواهد قابل‌توجه در این تحقیقات، استفاده از زبان فارسی و شناسایی آدرس‌های آی‌پی است که به دستگاه‌های مستقر در ایران مرتبط بوده‌اند. 

همزمان با اعلام دادستان پاریس و بیانیه وزارت‌خارجه فرانسه، گزارش دیگری هم دوشنبه ۱۸آبان‌ماه منتشر شده است که دو گروه «شهید کاوه» و «شهید شوشتری» را مسوول حملات سایبری به منافع فرانسه معرفی کرده‌اند. در این گزارش نام سه نفر از فرماندهان ارتش سایبری سپاه که دو نفر از آن‌ها به «شهید کاوه» مربوط‌اند، عنوان شده است. 

یک هفته پیش از این حملات، کانال‌های تلگرامی سپاه پاسداران، همزمان با شدت‌گرفتن اعتراضات دانش‌آموزان در فرانسه خبری جعلی منتشر کردند و مدعی شدند که قطعی اینترنت باعث اختلال در سیستم دیجیتال بانکی فرانسه شده است.

گزارش مرکز هماهنگی بحران‌های سایبری فرانسهشامگاه دوشنبه ۱۸آبان‌، مرکز هماهنگی بحران‌های سایبری فرانسه گزارشی با عنوان «حملات سایبری علیه فرانسه از سوی عوامل ایرانی مرتبط با سپاه پاسداران» منتشر کرده است که دو گروه «شهید کاوه» و «شهید شوشتری» را به مرکز سایبری سپاه پاسداران نسبت می‌دهد. 

مرکز هماهنگی بحران‌های سایبری فرانسه از پنج نهاد امنیتی دفاعی تشکیل شده‌ است؛ آژانس ملی امنیت سامانه‌های اطلاعاتی، اطلاعات داخلی، اطلاعات خارجی، اداره کل تسلیحات و فرماندهی دفاع سایبری. 

در این گزارش سه پرونده حمله سایبری سپاه به فرانسه مطرح است؛ حملات سایبری علیه نشریه «شارلی ابدو» در سال ۲۰۲۳، حملات سایبری به یک شرکت فرانسوی نمایش محتوای ویدیویی در ارتباط با المپیک ۲۰۲۴ و حملات به کنترل‌کننده‌های سرمایشی فروشگاه‌های فرانسه در ۲۰۲۶. در سال ۲۰۲۳ هکرها با نفوذ به پایگاه نشریه شارلی‌ابدو، اطلاعات شخصی مشترکان آن را سرقت و برای فروش عرضه کردند. این حمله پس از انتشار کاریکاتورهایی از «علی خامنه‌ای» رخ داد. در جریان المپیک ۲۰۲۴ پاریس نیز هکرها به سامانه یک شرکت فرانسوی مدیریت نمایشگرهای دیجیتال نفوذ کردند تا تصاویری علیه حضور ورزشکاران اسراییلی نمایش دهند. نهادهای فرانسوی اعلام کردند که نفوذ شناسایی و خنثی شد. هر دوی این عملیات به «شهید شوشتری» نسبت داده شد. 

حالا در گزارش رسمی مرکز بحران‌های سایبری فرانسه  که حمله سایبری به فروشگاه‌‌های فرانسه را به «شهید کاوه» نسبت داده‌اند، از سه نفر هم نام برده شده است؛ «حمیدرضا لشگریان» از مسوولان فرماندهی سایبری سپاه، «مهدی لشگریان»، فرمانده گروه «شهید کاوه» و «رضا سالاروند» نیز به‌عنوان فرمانده گروه «شهید کاوه» اسم‌اش درج شده است. 

همچنین نام گروه‌هایی که هویت‌های مجازی مورد استفاده «شهید کاوه» هستند، آمده است: CyberAveng3rs، Soldiers of Solomon، Mr. Soul، Cyber Isnaad Front، CyberbanNews. گزارش رسمی فرانسه، «شهید کاوه» را مسوول کارزارهایی علیه تجهیزات کنترل صنعتی شرکت اسراییلی Unitronics در نوامبر ۲۰۲۳ و تجهیزات صنعتی و سرمایشی اسراییل و آمریکا در مارس و آوریل ۲۰۲۶ معرفی می‌کند. در این گزارش همچنین تاکید شده که در حملات شامگاه ۲۰مهرماه علاوه بر حدود ۷۰۰ مرکز توزیع مواد غذایی، چندین واحد تولید مواد غذایی، قصابی، یک کشتارگاه و تاسیسات کوچک برق‌آبی نیز هدف قرار گرفته شده‌اند که در دست‌کم ۱۵ مورد، آتش‌سوزی شده است. نکته قابل‌توجه دیگر، چهار نشانه است که در گزارش رسمی فرانسه آمده: استفاده از زیرساخت مشترک برای حمله به یخچال‌ها و شناسایی تجهیزات صنعتی، سابقه استفاده از پروتکل Modbus و پورت ۵۰۲ در فعالیت‌های منتسب به «شهید کاوه»، استفاده از موتور جست‌وجوی تجهیزات متصل به اینترنت FOFA و انتشار خبر حمله در CyberbanNews دو روز پس از وقوع حملات و مشاهده ردپای زبان فارسی در زیرساخت حمله. 

گروه «شهید کاوه»؛ متهم اصلی حمله به زیرساخت‌های غیرنظامی فرانسه 

اگرچه در بیانیه دادستان فرانسه و همین‌طور وزارت‌خارجه این کشور نامی از فرماندهان و معاونانی که متهم شده‌اند، نیامده است، اما در گزارش رسمی مرکز هماهنگی بحران‌های سایبری نام‌های مشخص وجود دارند. حمیدرضا لشگریان، مهدی لشگریان و رضا سالاروند.  

وزارت خزانه‌داری آمریکا در ۲فوریه۲۰۲۴ نام «حمیدرضا لشگریان» را به‌عنوان فرمانده ارتش سایبری سپاه و از فرماندهان «نیروهای قدس»، و همین‌طور نام «مهدی لشگریان» را به‌عنوان یکی از مقام‌های ارشد فرماندهی سایبری سپاه، در لیست تحریم‌های خود قرار داده بود. 

نام رضا سالاروند در گزارش اختصاصی ایران‌اینترنشنال از افشای هویت «رییس یک تیم سایبری سپاه پاسداران» در اول شهریور ۱۴۰۰ مطرح شد. این رسانه به نقل از اسناد ارایه‌شده از سوی گروه هکری «لب‌دوختگان»، هویت رضا سالاروند را به‌عنوان رییس «تیم اطلاعاتی ۱۳» زیرمجموعه واحد سایبری «شهید کاوه» وابسته به سپاه پاسداران معرفی کرده بود.

نام گروه سایبری «شهید کاوه» البته پیش‌تر هم در گزارش‌های مربوط به حملات سایبری سپاه مطرح شده بود. در ژوئيه ۲۰۲۱، شبکه «اسکای‌نیوز» بریتانیا از دستیابی به مجموعه‌ای ۵۷ صفحه‌ای شامل پنج گزارش محرمانه خبر داده بود که به گفته یک منبع امنیتی، توسط واحدی موسوم به «تیم اطلاعاتی ۱۳»، زیرمجموعه «شهید کاوه» تهیه شده بودند. این اسناد که برخی از آن‌ها به سال ۲۰۲۰ برمی‌گشتند، به بررسی سامانه‌های کنترل صنعتی و آسیب‌پذیری احتمالی زیرساخت‌های غیرنظامی اختصاص داشتند. 

موضوع این تحقیقات از سامانه‌های تنظیم آب توازن کشتی‌های باری و تجهیزات ارتباطات ماهواره‌ای دریایی تا سامانه‌های مدیریت مخازن سوخت، کنترل هوشمند ساختمان‌ها و کنترل‌کننده‌های منطقی برنامه‌پذیر ساخت شرکت آلمانی WAGO را در برمی‌گرفت. در بخشی از این بررسی‌ها از موتورهای جست‌وجوی تخصصی مانند FOFA و ‌BinaryEdge برای شناسایی تجهیزات متصل به اینترنت استفاده شده بود. شرکت امنیت سایبری Mandiant که اسناد را بررسی کرده، محتوای آن را با الگوهای شناخته‌شده حملات سایبری ایران سازگار دانسته بود. 

در سال‌های بعد، نام «شهید کاوه» با گروه هکری «CyberAv3ngers» نیز پیوند خورد و کنار هم قرار گرفت. نهادهای امنیتی آمریکا در دسامبر ۲۰۲۳ اعلام کردند که عوامل سایبری وابسته به سپاه با استفاده از همین نام، کنترل‌کننده‌های صنعتی ساخت شرکت اسراییلی Unitronics را در بخش‌های مختلف، از جمله تاسیسات آب و فاضلاب آمریکا، هدف قرار داده‌اند. مهاجمان با سواستفاده از اتصال مستقیم تجهیزات به اینترنت و استفاده از رمزهای عبور پیش‌فرض، به سامانه‌ها نفوذ کرده بودند. 

«شهید شوشتری»؛ ساختار، افراد مرتبط و تحریم‌های بین‌المللی 

نام «شهید شوشتری» یکی دیگر از واحدهای ارتش سایبری سپاه پاسداران، در اسناد رسمی وزارت خارجه آمریکا نیز آمده و با مجموعه‌ای از شرکت‌ها از جمله «ایمن‌نت پاسارگاد» و «آریا سپهر آینده‌سازان» مرتبط دانسته شده است. 

بنابر اعلام وزارت خارجه آمریکا، «محمدباقر شیرین‌کار» بر فعالیت این مجموعه نظارت دارد و «فاطمه صدیقیان‌کاشی» از کارکنان این مجموعه هم در برنامه‌ریزی و اجرای عملیات سایبری با شیرین‌کار همکاری می‌کند. وزارت خارجه آمریکا در چارچوب برنامه «پاداش برای عدالت» برای دریافت اطلاعات درباره فعالیت‌های سایبری گروه «شهید شوشتری»، شرکت ایمن‌نت پاسارگاد و افراد مرتبط با آن، پاداش‌هایی تا سقف ۱۰میلیون دلار تعیین کرده است. 

همچنین، وزارت خزانه‌داری آمریکا در نوامبر ۲۰۲۱ ایمن‌پاسارگاد و شش فرد مرتبط با آن را به‌دلیل تلاش برای تاثیرگذاری بر انتخابات ریاست‌جمهوری سال ۲۰۲۰ تحریم کرد. این شرکت پیش‌تر نیز در سال ۲۰۱۹ با نام «نت‌پیگرد سماوات» به‌دلیل حمایت از سازمان جنگ الکترونیک و دفاع سایبری سپاه، تحریم شده بود. 

اتحادیه اروپا نیز در مارس ۲۰۲۶ ایمن‌‌نت پاسارگاد را به‌دلیل مشارکت در حملات سایبری علیه اهدافی در اروپا و آمریکا به فهرست تحریم‌های خود افزود. شورای اتحادیه اروپا این شرکت را مسوول دسترسی غیرمجاز به پایگاه داده مشترکان شارلی ابدو و عرضه آن در پروژه «دارکوب»، نفوذ به یک سرویس پیامک سوئدی، دستکاری تابلوهای تبلیغاتی در جریان المپیک پاریس و تلاش برای مداخله در انتخابات ریاست‌جمهوری آمریکا در سال ۲۰۲۰ معرفی کرد.

بر اساس هشدار مشترک از سوی اف‌بی‌آی، وزارت خزانه‌داری آمریکا و اداره ملی سایبری اسراییل، این مجموعه که در گزارش‌های تخصصی با نام‌هایی مثل Cotton Sandstorm و Haywire Kitten شناخته می‌شود، از هویت‌های پوششی برای عملیات نفوذ، سرقت اطلاعات و کارزارهای انتشار اطلاعات‌ جعلی استفاده کرده است. 

چارت تشکیلات سایبری و یک نام دیگر از فرماندهان سایبری سپاه «نریمان غریب» پژوهش‌گر تهدیدات سایبری، در ژانویه ۲۰۲۵ نموداری از ساختار تشکیلات سایبری جمهوری‌اسلامی منتشر کرد که در آن، واحدهای «شهید کاوه» و «شهید شوشتری» در مجموعه فرماندهی عملیات سایبری «شهید رجایی» قرار گرفته‌‌اند. 

در این نمودار گروه «شهید کاوه» با کد سازمانی ۳۶۰/۱ و عنوان «تیم اطلاعاتی ۱۳» معرفی شده‌ و گروه «شهید شوشتری» با کد ۳۷۰/۱/۱ و نام دیگر «ایمن‌نت پاسارگاد» آمده است. 

بررسی اسناد وزارت خارجه آمریکا یک نام دیگر را هم به‌ میان می‌آورد؛ «امیر یاریاب» که در پرونده «پاداش برای عدالت» از مقام‌های ارشد فرماندهی سایبری سپاه معرفی و ادعا شده که فرماندهی عملیات سایبری این مجموعه را برعهده دارد و بر گروه‌هایی از جمله «شهید شوشتری»، «شهید همت» و CyberAv3ngers نظارت می‌کند. 

موج حملات سایبری در سراسر اروپا 

در فرانسه چه گذشت که حالا تحقیقات قضایی علیه سپاه پاسداران آغاز شده و نام واحدهای سایبری که در این گزارش به آن‌ها پرداختیم، به میان آمده است؟ زیان اقتصادی حملات سایبری اخیر، صرفا در خصوص مواد غذایی «چند ده میلیون یورو» برآورد شده است. 

شامگاه ۲۰مهر (۱۲ اکتبر)، صدها سوپرمارکت در فرانسه هدف حمله‌ای سایبری قرار گرفتند که مقامات آن را «بی‌سابقه» توصیف کرده‌اند. مرکز هماهنگی بحران‌های سایبری فرانسه تعداد اهداف را حدود ۷۰۰ مورد اعلام کرده است. 

رسانه‌های فرانسه می‌گویند دست‌کم ۳۰۰ فروشگاه از مجموعه Intermarché/ Netto، حدود صد فروشگاه از شبکه تعاونی Coopérative U، چندین فروشگاه از مجموعه E.Leclerc، حدود ۸۰ سوپرمارکت Carrefour و تقریبا ۳۰ فروشگاه Monoprix هدف این حملات بودند. دمای یخچال‌ها در برخی فروشگاه‌ها طی یک شب به ۵۰ درجه سانتی‌گراد رسیده بود. 

این حملات سایبری، نرم‌افزار ارایه‌شده از سوی شرکت دانمارکی Danfoss را هدف گرفته بود. نرم‌افزاری که امکان مدیریت و کنترل سامانه‌های سرمایشی از راه دور را به فروشگاه‌ها می‌دهد. در پی این حملات، چند هفته بعد، چندین سوپرمارکت در دیگر کشورهای اروپایی هم هدف قرار گرفته شدند. از جمله بلژیک، لوکزامبورگ، سوئد، ایرلند، هلند، استونی و فنلاند. اگرچه هنوز ارتباطی میان این حملات عنوان و ثابت نشده است. دو گروه هکری حامی روسیه به‌نام‌های «NoName057 16» و «Z-Pentest» مسوولیت حملات را برعهده گرفتند. دو گروهی که از پیش به‌دلیل انجام عملیات سایبری در اروپا، شناخته‌ شده هستند. روسیه البته هرگونه دخالت در این حملات را رد کرد و اتهام‌ها را «پوچ و بی‌اساس» خواند. 

در مورد فرانسه، حالا پای سپاه پاسداران به میان آمده است. حمله به سامانه‌های سرمایشی فروشگاه‌های فرانسه را می‌توان در راستای سابقه تهدیدهای جمهوری‌اسلامی علیه زیرساخت‌های غیرنظامی کشورهای منطقه مورد توجه قرار داد. حتی در نقشه اهداف احتمالی جمهوری‌اسلامی در اروپا که در نشریه «همشهری» منتشر شد، فرانسه هم از جمله اهداف البته نظامی نمایش داده شده بود. اما جدای از مساله تهدیدها، سوابق و جنگ دیجیتال، حمله به زیرساخت‌های غیرنظامی، خسارتی برجای می‌گذارد که فقط بر دوش دولت نیست، بلکه بر زندگی و معیشت شهروندان تحمیل می‌شود که هیچ نقشی در منازعات سیاسی و نظامی ندارند.