وزارت دادگستری ایالات متحده (DoJ) اعلام کرد که چندین سازمان دفاعی و امنیتی این کشور، نرم‌افزارهای تحلیل دیجیتال (Digital Forensics) را از شرکتی خریداری کرده‌اند که در واقع توسط یک عملیات روسی اداره می‌شده و همزمان ابزارهای مشابهی را به سرویس‌های امنیتی روسیه، از جمله FSB، cungy می‌کرده است.
جزئیات پرونده و اتهامات
بر اساس گزارش دادگاه، Lee Reiber، مدیرعامل شرکت Oxygen Forensics و Oleg Sergeyevich Davydov، یک تبعه روسیه، به اتهام توطئه برای کلاهبرداری بانکی (Wire Fraud) بازداشت شده‌اند. آن‌ها متهم هستند که تلاش کرده‌اند مالکیت روسی این شرکت و محل واقعی توسعه نرم‌افزارهای آن را پنهان کنند.
شرکت Oxygen Forensics که در ویرجینیا مستقر است، ابزارهای فارنزیک خود را به وزارت دفاع آمریکا و بخش‌های مختلف وزارت امنیت داخلی (DHS)، از جمله Secret Service و مؤسسه ملی فارنزیک کامپیوتری (NCFI) فروخته است. دادستان‌ها مدعی‌اند این شرکت خود را به عنوان یک سازمان مستقل آمریکایی معرفی کرده بود، در حالی که در واقع توسط پنج تبعه روسیه از طریق یک شرکت هلدینگ در قبرس کنترل می‌شد.
ارتباط با سرویس‌های امنیتی روسیه
تحقیقات نشان می‌دهد که این پنج نفر، مالک یک مجموعه روسی به نام MKO Systems LLC (سابقاً Oxygen Software) نیز بوده‌اند. توسعه‌دهندگانی که نرم‌افزارهای مورد استفاده در آمریکا را نوشته‌اند، در روسیه فعالیت می‌کردند و محصولات مشابهی را تحت نام‌های تجاری متفاوت به سازمان‌های زیر ارائه می‌دادند:
- سرویس امنیت فدرال روسیه (FSB)
- کمیته تحقیقات روسیه
- وزارت امور داخلی روسیه
تلاش برای پنهان‌کاری و دور زدن تحریم‌ها
پس از تهاجم روسیه به اوکراین در سال ۲۰۲۲ و تشدید تحریم‌های واشنگتن، این شرکت تلاش کرد پیوندهای روسی خود را بیشتر پنهان کند. ادعا شده است که Reiber به عنوان مدیرعامل منصوب شد تا چهره‌ای آمریکایی برای شرکت ایجاد کند، در حالی که مالکان روسی همچنان تصمیمات کلیدی، پرداخت‌ها و دسترسی به حساب‌های بانکی را مدیریت می‌کردند.
در مارس ۲۰۲۶، Reiber به کارکنان DHS اطمینان داده بود که هیچ فرد روسی در توسعه نرم‌افزار دخیل نیست و هیچ‌کس در روسیه به محیط Build دسترسی ندارد؛ اما وزارت دادگستری تأکید می‌کند که نرم‌افزار در واقع توسط تیمی در روسیه و تحت مدیریت Davydov نوشته و مدیریت شده است.
ارزیابی امنیتی
نکته حائز اهمیت برای متخصصان امنیت این است که وزارت دادگستری تاکنون ادعایی مبنی بر وجود Malicious Code (کد مخرب) یا استفاده از این نرم‌افزارها برای دسترسی غیرمجاز به داده‌های مشتریان مطرح نکرده است. با این حال، این پرونده یک نمونه کلاسیک از ریسک‌های Supply Chain (زنجیره تأمین) و نفوذ عوامل خارجی در ابزارهای حساس امنیتی است.
