האם ישראל היא זו שתקפה את מערכת הרכבות האיראנית? לא בטוח

האם ישראל עומדת מאחורי מתקפת הסייבר על מערכת הרכבות האיראנית, שבוצעה מוקדם יותר החודש? התשובה לכך עדיין לא ידועה – וספק גדול אם היא אי פעם תיוודע לציבור. אולם, חוקרי חברת האבטחה סנטינל וואן חושפים היום (ה') פרטים חדשים בנוגע למתקפה, ומעריכים שישראל איננה התוקפת.

המתקפה הביכה מאוד את השלטון האיראני, משום שהיא הביאה לכך שעל שלטי הרכבות בתחנות בטהרן הופיעו הכתובות: "עיכובים בשל מתקפת סייבר" ו-"לפרטים נא להתקשר לטלפון שמספרו 64411" – המספר של המנהיג העליון של איראן, עלי חמינאי.

מובן שהחשודה המיידית במתקפה הייתה ישראל, שבינה לבין איראן מתחוללת מזה שמה שנים מלחמת סייבר גלויה למחצה. ישראל, מן הסתם, לא הודתה בביצוע המתקפה. התקשורת האיראנית דיווחה על התקיפה בלאקוניות, באופן שהקטין את עוצמת הפגיעה, והאשימה, כמובן, את אויביה של המדינה, ובראשן ישראל. אלא שהם לא פרסמו מידע על זהות התוקפים ומידע כזה לא נמסר גם ממקורות אחרים – פרט לפוסט באתר של חברת אבטחת מידע איראנית בשם פאדביש סקיוריטי.

העננה מתפזרת – במקצת

היום, סנטינל וואן מפזרת משהו מהעננה הזאת. על בסיס הפוסט ופרסומים מוקדמים יותר של אותה חברה איראנית הצליחו חוקרי סנטינל וואן לחקור את הפוגען שבו עשו התוקפים שימוש. מהחברה נמסר שהם קראו לו בשם Meteor express, משום שבקוד שלו הופיעו המילים Meteor has started (בתרגום חופשי – מטאור התחיל).

הפוגען הזה הוא מוחקן (Wiper) – תוכנה זדונית שמשיגה שליטה במערכת ההפעלה ומסוגלת למחוק קבצים חיוניים. אותו מוחקן השיג שליטה בתחנה המקומית, שינה סיסמאות גישה והתקין שומר מסך עם הטקסט המתגרה.

בסנטינל וואן אומרים שניתוח מעמיק של הקוד מגלה כלי שנכתב בחובבנות מסוימת, לפני זמן רב – לפחות חצי שנה לפני התקיפה. יש בו קטעי קוד כפולים, קטעי קוד מיותרים ועוד כהנה וכהנה שגיאות. בחברה מעריכים שישראל, או כל תוקף מתקדם אחר, לא הייתה פועלת תוך הסתמכות על כלי חובבני כל כך.

מי התוקף? אין בקוד עדויות נוספות לזהות התוקפים. אפשר לשער את זהותם על פי הנסיבות. ייתכן בהחלט שאלה מדינות שסבלו ממתקפות סייבר איראניות ורוצות להביך אותה בחזרה. בסנטינל וואן אומרים שהדבר רלוונטי במיוחד למדינות המפרץ ולערב הסעודית, שסבלו כמה פעמים מתקיפות מוחקה איראניות.