پرونده پیتر ویلیامز و محکومیت او به دلیل فروش ابزارهای هک به روسیه، پرده از دنیای پنهان دلالان اکسپلویت های روز صفر برمی دارد که با دزدیدن اسرار تجاری حساس، امنیت سایبری جهانی را به خطر می اندازند.
یه مدیر باسابقه امنیت سایبری که دادستان ها می گن به ایالات متحده «خیانت» کرده، بعد از اعتراف به دزدیدن و فروختن ابزارهای هک و جاسوسی به یه شرکت روسی، و به دلیل فروش ابزارهای هک به روسیه، حداقل هفت سال آینده رو پشت میله های زندان می گذرونه.
پیتر ویلیامز، مدیر سابق پیمانکار دفاعی آمریکا یعنی L3Harris، روز سه شنبه به دلیل لو دادن اسرار تجاری شرکت سابقش در ازای دریافت 1.3 میلیون دلار ارز دیجیتال بین سال های 1400 تا 1403 (2022 تا 2025 میلادی)، به 87 ماه زندان محکوم شد. ویلیامز این کدهای نفوذ (اکسپلویت ها) رو به شرکت Operation Zero فروخته؛ شرکتی که دولت آمریکا اون رو «یکی از خبیث ترین دلال های اکسپلویت در جهان» می دونه. این پرونده به عنوان یکی از جنجالی ترین موارد مربوط به فروش ابزارهای هک به روسیه شناخته می شود.
محکومیت موفقیت آمیز ویلیامز بعد از یکی از جنجالی ترین لو رفتن های ابزارهای هک حساس ساخت غرب در سال های اخیر اتفاق افتاد. حتی الان که پرونده بسته شده، هنوز سوالات بی پاسخی باقی مونده.
ویلیامز، شهروند 39 ساله استرالیایی که ساکن واشینگتن دی.سی بود، مدیر کل Trenchant بود؛ بخشی از شرکت L3Harris که ابزارهای هک و نظارتی رو برای دولت آمریکا و شرکای اطلاعاتی نزدیکش در سطح جهان توسعه می ده. دادستان ها می گن ویلیامز از داشتن «دسترسی کامل» به شبکه های امن شرکت سوءاستفاده کرده تا ابزارهای هک رو روی یه هارد اکسترنال و بعدا روی کامپیوتر خودش دانلود کنه. البته ویلیامز با اسم مستعار با Operation Zero تماس گرفته بود، برای همین مشخص نیست که آیا این شرکت اصلا هویت واقعی ویلیامز رو می دونسته یا نه.
شرکت Trenchant تیمی از هکرها و شکارچی های باگه که توی نرم افزارهای محبوب شرکت هایی مثل گوگل و اپل حسابی جستجو می کنن، نقص های موجود در اون میلیون ها خط کد رو پیدا می کنن و بعد تکنیک هایی ابداع می کنن تا اون نقص ها رو به اکسپلویت های کاربردی تبدیل کنن که بشه باهاشون با اطمینان به اون محصولات نفوذ کرد. به این ابزارها معمولا «اکسپلویت های روز صفر» (zero-day) می گن، چون از نقص های نرم افزاری استفاده می کنن که برای سازنده اش ناشناخته ست و می تونن میلیون ها دلار ارزش داشته باشن.
وزارت دادگستری آمریکا ادعا کرده که ابزارهای هکی که ویلیامز فروخته، می تونسته به هر کسی که ازشون استفاده می کنه اجازه بده «به طور بالقوه به میلیون ها کامپیوتر و دستگاه در سراسر جهان دسترسی پیدا کنه».
تو چند ماه گذشته، قبل از اینکه خبر دستگیری ویلیامز پخش بشه، داشتم با منابع مختلف صحبت می کردم و روی داستانش گزارش تهیه می کردم. اما چیزهایی که شنیده بودم پراکنده و گاهی متناقض بود. شنیده بودم کسی دستگیر شده، اما با توجه به ماهیت محرمانه کار توسعه اکسپلویت، ثابت کردنش کار سختی بود.
وقتی اولش اسم ویلیامز رو شنیدم، حتی مطمئن نبودم که اسمش رو درست متوجه شدم یا نه. اون موقع، داستانش فقط یه شایعه بود که بین محافل مخفی توسعه دهنده های اکسپلویت روز صفر، فروشنده ها و افراد مرتبط با جامعه اطلاعاتی دهن به دهن می چرخید.
شنیده بودم شاید اسمش جان باشه، یا شاید داگان (Duggan)؟ یا مدل های مختلفی که می شه این اسم ها رو به انگلیسی نوشت.
اولین شایعه هایی که شنیدم متناقض بودن. ظاهرا اون اکسپلویت های روز صفر رو از Trenchant دزدیده بود و شاید اون ها رو به روسیه فروخته بود، این شایعات اولیه حول محور فروش ابزارهای هک به روسیه می چرخید، یا شایدم به یه دشمن دیگه آمریکا و متحدانش، مثل کره شمالی یا چین؟
هفته ها طول کشید تا فقط تایید بشه که واقعا کسی با اون مشخصات وجود داره. (کاشف به عمل اومد که اسم وسط ویلیامز «جان» هست و «دوگی» لقبش توی محافل هکریه.)
بعدش، همون طور که هفته های گزارش گری می گذشت، قضایا خیلی روشن تر شد.
فروش ابزارهای هک به روسیه؛ ارتباط و پیامدها
همون طور که اولین بار در مهر ماه (اکتبر) فاش کردم، شرکت Trenchant بعد از اینکه ویلیامز (که اون زمان هنوز رئیس شرکت بود) یکی از کارمندها رو به دزدیدن و لو دادن اکسپلویت های روز صفر کروم متهم کرد، اون کارمند رو اخراج کرد. داستان وقتی جالب تر شد که اون کارمند به من گفت بعد از اخراجش، اپل بهش اطلاع داده که کسی آیفون شخصی ش رو هدف قرار داده.
چیزهایی که فهمیده بودم فقط مشت نمونه خروار بود. از منابعم چیزهای بیشتری شنیده بودم، اما هنوز داشتیم تیکه های مختلف داستان رو کنار هم می ذاشتیم.
کمی بعد، دادستان ها اولین اتهام رسمی رو علیه مردی به اسم پیتر ویلیامز بابت دزدیدن اسرار تجاری مطرح کردن که برای اولین بار توی سیستم دادگاه عمومی آمریکا ثبت شد. در اون اولین سند دادگاه، دادستان ها تایید کردن که خریدار این اسرار تجاری، یه خریدار در روسیه بوده. این سند روشن می کرد که پای فروش ابزارهای هک به روسیه در میان است.
با این حال، هیچ اشاره صریحی به L3Harris یا Trenchant نشده بود و همین طور به این حقیقت که اسرار تجاری دزدیده شده توسط ویلیامز همون اکسپلویت های روز صفر بودن. مسئله مهم این بود که هنوز نمی تونستیم با اطمینان تایید کنیم که این همون پیتر ویلیامزه (کسی که فکر می کردیم به عنوان رئیس Trenchant به اکسپلویت های بسیار حساس دسترسی داره) و نه یه اشتباه وحشتناک در شناسایی هویت.
هنوز به جواب قطعی نرسیده بودیم.
بر اساس یه حدس و گمان و چون چیزی برای از دست دادن نداشتیم، با وزارت دادگستری تماس گرفتیم تا بپرسیم که آیا تایید می کنن فرد توی سند واقعا همون پیتر ویلیامز، رئیس سابق L3Harris Trenchant هست یا نه. یه سخنگو این رو تایید کرد.
بالاخره داستان لو رفت. یه هفته بعد، ویلیامز به جرمش اعتراف کرد.
وقتی اولین بار داستانش رو شنیدم، با اینکه به منابعم اعتماد داشتم، اما همچنان تردید داشتم. چرا کسی مثل ویلیامز باید کاری رو انجام بده که شایعه ها می گفتن؟ اما دادستان ها ادعا می کنن که اون این کار رو انجام داده و انگیزه اش هم پول بوده؛ پولی که ویلیامز بعدا باهاش خونه، جواهرات و ساعت های لوکس خریده.
این یه سقوط آزاد تمام عیار برای ویلیامز بود؛ کسی که زمانی به عنوان یه هکر ماهر و نابغه شناخته می شد و سابقه کار در برترین آژانس جاسوسی خارجی استرالیا و خدمت در ارتش این کشور رو داشت.
در ادامه تصویری از یکی از ساختمان های اداری مرتبط با این پیمانکار بزرگ دفاعی را مشاهده می کنید که در قلب تحقیقات این پرونده قرار داشت.
ساختمان L3Harris در برلینگتون، کانادا
این ساختمان محل فعالیت های حساس شرکت L3Harris است که اکنون نامش با یکی از بزرگترین پرونده های امنیتی سال های اخیر گره خورده است.
پیامدهای فروش ابزارهای هک به روسیه؛ چه بلایی سر اکسپلویت های دزدیده شده اومد؟
ما هنوز دقیقا نمی دونیم ویلیامز کدوم اکسپلویت ها و ابزارهای هک رو دزدیده و فروخته. طبق اسناد دادگاه، Trenchant خسارت وارده رو 35 میلیون دلار برآورد کرده. اما وکلای ویلیامز گفتن که ابزارهای دزدیده شده جزو اسرار دولتی طبقه بندی نشده بودن.
بر اساس شرایط پرونده، می شه به نتایجی رسید.
با توجه به اینکه وزارت دادگستری گفته ابزارهای دزدیده شده می تونستن برای هک کردن «میلیون ها کامپیوتر و دستگاه» استفاده بشن، احتمالا این ابزارها مربوط به اکسپلویت های روز صفر در نرم افزارهای محبوب مصرف کننده ها مثل دستگاه های اندرویدی، آیفون ها و آیپدهای اپل و مرورگرهای وب هستن.
شواهدی هم وجود داره که به همین سمت اشاره می کنه. به گفته کیم زتر، خبرنگار مستقل امنیت سایبری که در جلسه دادگاه حضور داشت، در طول جلسه سال گذشته، دادستان ها پستی رو که توسط Operation Zero در شبکه اجتماعی X منتشر شده بود، با صدای بلند خوندن.
در اون پست اومده بود: «به دلیل تقاضای زیاد در بازار، ما مبالغ پرداختی برای اکسپلویت های موبایل سطح بالا رو افزایش می دیم.» در این پست به طور خاص به اندروید و iOS اشاره شده بود و گفته شده بود: «مثل همیشه، کاربر نهایی کشوری غیر از اعضای ناتو هست.»
شرکت Operation Zero میلیون ها دلار برای جزئیات آسیب پذیری های امنیتی در دستگاه های اندرویدی و آیفون، برنامه های پیام رسان مثل تلگرام و همچنین انواع دیگه ای از نرم افزارها مثل مایکروسافت ویندوز و سازنده های سخت افزاری مثل چندین برند سرور و روتر، پیشنهاد می ده.
شرکت Operation Zero ادعا می کنه که با دولت روسیه همکاری داره. زمانی که ویلیامز اکسپلویت ها رو به این دلال روسی فروخت، حمله تمام عیار پوتین به اوکراین شروع شده بود. این نشان دهنده ابعاد بین المللی فروش ابزارهای هک به روسیه در آن مقطع حساس بود.
در همون روزی که ویلیامز محکوم شد، وزارت خزانه داری آمریکا اعلام کرد که تحریم هایی رو علیه Operation Zero و بنیان گذارش، سرگئی زلنیوک، وضع کرده و این شرکت رو یه تهدید برای امنیت ملی خونده. این اولین تایید دولت بود مبنی بر اینکه ویلیامز اکسپلویت ها رو به Operation Zero فروخته. این تحریم ها تاییدی بر نقش Operation Zero در فروش ابزارهای هک به روسیه و خطرات آن برای امنیت جهانی بود.
خزانه داری در بیانیه اش گفته که این دلال «اون ابزارهای دزدیده شده رو به حداقل یه کاربر غیرمجاز فروخته». در حال حاضر نمی دونیم این کاربر کیه. با توجه به اینکه خزانه داری اولگ ویاچسلاوویچ کوچروف (یکی از اعضای ادعایی باند باج افزاری Trickbot که گفته می شه با Operation Zero هم همکاری داشته) رو هم تحریم کرده، این کاربر می تونه یه سرویس اطلاعاتی خارجی یا یه باند باج افزاری باشه.
در یکی از اسناد دادگاه، دادستان ها گفتن که L3Harris با «مقایسه داده های فروشنده مخصوص شرکت که روی یه قطعه دزدیده شده پیدا شد و مطابقت داشت»، تونست بفهمه که «یه فروشنده غیرمجاز در حال فروش قطعه ای» از یکی از اسرار تجاری دزدیده شده ست.
دادستان ها همچنین گفتن که ویلیامز «کدی رو که خودش نوشته و به Operation Zero فروخته بود، در حال استفاده توسط یه دلال کره جنوبی شناسایی کرده»؛ این موضوع بیشتر نشون می ده که هم L3Harris و هم دادستان ها می دونن کدوم ابزارها دزدیده و به Operation Zero فروخته شدن. این کشف پیچیدگی های مرتبط با فروش ابزارهای هک به روسیه و نحوه توزیع آن ها را برجسته می کند.
یه سوال بی پاسخ دیگه اینه: حالا که اکسپلویت ها لو رفتن، آیا کسی، چه دولت آمریکا و چه L3Harris، به اپل، گوگل یا هر شرکت تکنولوژی دیگه ای که محصولاتشون تحت تاثیر این نقص های روز صفر بودن، اطلاع داده؟
هر شرکت یا توسعه دهنده ای می خواد بدونه که ممکنه کسی از یه اکسپلویت روز صفر علیه کاربرها و مشتری هاش استفاده کرده باشه (یا هنوز بکنه) تا بتونه هرچه سریع تر اون نقص ها رو برطرف (پچ) کنه. در ضمن، در حال حاضر این اکسپلویت های روز صفر دیگه به درد L3Harris و مشتری های دولتی ش نمی خورن.
وقتی از اپل و گوگل پرسیدم، هیچ کدوم به سوالاتم جواب ندادن. L3Harris هم پاسخی نداد.
کی قربانی رو هک کرد و چرا؟
بعد هم ماجرای مرموز اون قربانی (بز طلیعه) هست که بعد از اتهام ویلیامز مبنی بر دزدیدن و لو دادن کدها، اخراج شد.
در زمان صدور حکم، دادستان های وزارت دادگستری تایید کردن که اون کارمند اخراج شده و گفتن ویلیامز «بی تفاوت ایستاد در حالی که کارمند دیگه ای از شرکت اساسا به خاطر رفتار خود [ویلیامز] سرزنش می شد». در پاسخ، وکیل ویلیامز حرف دادستان ها رو رد کرد و مدعی شد که کارمند سابق «به خاطر سوءرفتار اخراج شده» و به ادعاهایی مثل دوشغله بودن و مدیریت نامناسب مالکیت معنوی شرکت اشاره کرد.
طبق سند دادگاهی که توسط وکلای ویلیامز ارائه شده، به عنوان بخشی از تحقیقات داخلی L3Harris، شرکت این کارمند رو به مرخصی اجباری فرستاد، دستگاه هاش رو ضبط کرد، اون ها رو به آمریکا منتقل کرد و «به اف بی آی تحویل داد».
وقتی برای نظرخواهی تماس گرفتیم، یکی از سخنگوهای بی نام اف بی آی گفت که این اداره چیزی بیشتر از بیانیه مطبوعاتی وزارت دادگستری برای گفتن نداره.
اون کارمند که ما با اسم مستعار «جی گیبسون» شناسایی ش کردیم، بعد از اخراج، پیامی از طرف اپل دریافت کرد که می گفت آیفون شخصی اش «با یک حمله جاسوس افزار مزدور» هدف قرار گرفته. این اتفاقات در حالی رخ می دهد که اخیرا ایرلند لایحه جدیدی برای تصویب قانون جاسوس افزار پلیس ارائه کرد که نشان دهنده حساسیت روزافزون جوامع بین المللی به سوءاستفاده از ابزارهای نظارتی است.
اپل این اعلان ها رو برای کاربرهایی می فرسته که فکر می کنه هدف حملاتی با استفاده از ابزارهایی مثل محصولات NSO Group یا Intellexa قرار گرفتن.
کی سعی کرد گیبسون رو هک کنه؟ اون این اعلان رو در تاریخ 15 اسفند 1403 (5 مارس 2025) دریافت کرد، یعنی بیش از شش ماه بعد از شروع تحقیقات اف بی آی. طبق یه سند دادگاه، اف بی آی «در اواخر سال 1403 تا تابستان 1404 (اواخر 2024 تا تابستان 2025) به طور منظم با [ویلیامز] در تعامل بوده».
با توجه به ماهیت ابزارهای لو رفته، محتمله که اف بی آی یا شاید حتی یه آژانس اطلاعاتی آمریکا، گیبسون رو به عنوان بخشی از تحقیقات مربوط به لو رفتن اطلاعات توسط ویلیامز هدف قرار داده باشن. اما ما فقط این رو نمی دونیم و این احتمال وجود داره که نه مردم و نه خود گیبسون هیچ وقت حقیقت رو نفهمن.
به روزرسانی: پاراگراف بیست و دوم برای شفاف سازی در مورد اینکه عدم طبقه بندی ابزارها از قول وکلای ویلیامز بوده، اصلاح شد.
فرجام پرونده پیتر ویلیامز هشداری جدی به تمامی فعالان حوزه امنیت سایبری است. این ماجرا نشان داد که طمع مالی و نادیده گرفتن پروتکل های امنیتی در سطوح مدیریتی می تواند به بهای سنگین حبس طولانی مدت و رسوایی بین المللی تمام شود و در عین حال، اعتماد به زیرساخت های دفاعی را برای همیشه مخدوش سازد.
Inside the story of the US defense contractor who leaked hacking tools to Russia
