جنگ در لایه‌های پنهان؛ تحلیل فنی توقیف دامنه‌های عملیاتی گروه Flax Typhoon توسط وزارت دادگستری آمریکا

در تحولی که بار دیگر مرزهای باریک میان دیپلماسی سایبری و عملیات‌های اطلاعاتی را برجسته می‌کند، وزارت دادگستری ایالات متحده در اقدامی قاطع، کنترل هفت دامنه اینترنتی متعلق به شرکت «اینتگریتی تکنولوژی» (Integrity Technology Group) را به دست گرفت. این عملیات که در پاییز ۱۴۰۳ با هدف خنثی‌سازی فعالیت‌های گروه هکری Flax Typhoon انجام شد، نشان‌دهنده تغییر استراتژی نهادهای امنیتی در گذار از «واکنش پس از وقوع» به «پیشگیری فعال» در سطح DNS و زیرساخت‌های مسیریابی است.

مهندسی نفوذ؛ بررسی ساختار فنی حملات Flax Typhoon

گروه موسوم به Flax Typhoon با بهره‌گیری از دامنه‌های توقیف شده، لایه‌ای از زیرساخت فرماندهی و کنترل (C2) را ایجاد کرده بود که وظیفه پویش فعال (Active Scanning) و شناسایی آسیب‌پذیری‌های روز-صفر (Zero-Day) را در سامانه‌های زیرساختی بر عهده داشت. این ساختار از طریق پلتفرم‌های میزبانی توزیع‌شده، ترافیک را به سمت دامنه‌های واسط هدایت می‌کرد تا ردپای مهاجمان در میان ترافیک عادی شبکه پنهان بماند. بر اساس شواهد فنی، این دامنه‌ها نه تنها به عنوان سرورهای کنترل‌کننده برای بات‌نت‌ها، بلکه به عنوان «نقاط بازرسی» برای نفوذ عمیق‌تر به شبکه‌های OT (فناوری عملیاتی) استفاده می‌شدند.

توقیف دامنه‌ها به مثابه ابزار دفاعی رگولاتوری

استفاده از سیستم قضایی برای تصاحب دامنه‌های سطح بالا (TLD) یک ابزار حقوقی-فنی بسیار کارآمد است. با انتقال مالکیت دامنه‌ها به دولت، نهادهای امنیتی می‌توانند ترافیک خروجی از دستگاه‌های آلوده را به‌جای هدایت به سرورهای مهاجم، به «سینک‌هول» (Sinkhole)‌های کنترل‌شده هدایت کنند. این اقدام به محققان امنیتی اجازه می‌دهد تا گستره جغرافیایی نفوذ و نوع دستگاه‌های آلوده شده را بدون آسیب رساندن به زیرساخت‌های عمومی شناسایی کنند.

اثرات بر چشم‌انداز امنیت سایبری و کسب‌وکارهای دیجیتال

تکرار این اقدامات از سوی ایالات متحده نشان می‌دهد که «اقتصادِ پنهان سایبری» که در آن شرکت‌های پوششی خدمات هک‌به‌عنوان-سرویس (HaaS) ارائه می‌دهند، تحت فشار جدی قرار گرفته است. برای کسب‌وکارهای دیجیتال در سطح بین‌المللی، این رخداد پیامی روشن دارد: زیرساخت‌های شبکه اکنون به عنوان میدان نبرد تلقی می‌شوند. شرکت‌ها باید بیش از پیش بر راهکارهای پایش مستمر (Continuous Monitoring) و استفاده از پروتکل‌های امنیتی مبتنی بر Zero Trust تمرکز کنند تا وابستگی آن‌ها به امنیت دامنه‌های واسط کاهش یابد.