در این گزارش فنی آمده که هکرها از برنامههای اجرایی استفاده کردهاند که هدفش پخش پیام اعتراضی بوده و همچنین از یک بدافزار از نوع Wiper استفاده شده که نشان میدهد مهاجمان دنبال مختل کردن پخش شبکههای دولتی بودهاند.
در جریان هک صدا و سیما، برخی شبکهها از جمله شبکه یک تلویزیون برای لحظاتی قطع شد و تصاویر و صدای رهبران سازمان مجاهدین خلق ایران پخش شد.
نکته قابل توجه در گزارش چکپوینت این است که آنها بر اساس تحلیل فنی خود به این نتیجه رسیدهاند در زنجیره حملههای سایبری اخیر به زیرساختها در ایران که از حمله به راهآهن در ۱۹ تیرماه آغاز شد و یک روز بعد از آن وبسایت راه و شهرسازی را هم هدف گرفت از تاکتیکها و تکنیکهای مشابهی استفاده شده که قبلا در عملیات علیه شرکتهای خصوصی در سوریه استفاده شده است.
در این گزارش به مواردی از جمله هک تابلوهای الکترونیکی ورود و خروج پروازها در فرودگاههای مشهد و تبریز در سال ۱۳۹۷ و هک دوربینهای امنیتی زندان اوین و حمله به سامانههای پمپ بنزین اشاره شده است.
مقامهای جمهوری اسلامی عمدتا سازمانهای خارجی از جمله آمریکا و اسرائیل را پشت حملات سایبری به زیرساختهای ایران معرفی میکنند با این حال در اغلب موارد گروههایی ناشناخته این حملات را به عهده میگیرند.
مسئولیت هک راهآهن را گروهی به نام «گنجشک درنده» به عهده گرفت، حمله به فرودگاه تبریز و مشهد را گروهی به نام «تپندگان» پذیرفت، گروهی به نام «هوشیاران وطن» حمله به شرکت هواپیمایی ماهان را اعلام کرد و حمله به دوربینهای زندان اوین و قزلحصار را گروه «عدالت علی» پذیرفته است.
سازمان مجاهدین خلق از گروههای مخالف جمهوری اسلامی نیز حمله به صدا و سیما و همچنین هک بلندگوهای بازار رضا مشهد و بازار تجریش تهران را پذیرفته است.
چکپوینت در تحلیل فنی هک صدا و سیما نوشته که مهاجمان از طریق ایجاد درهای پشتی و پرسیست (فرآیندی که منجر به دسترسی درازمدت هکرها در سیستم میشود) و راهاندازی فایل صوتی یا ویدیویی مخرب و نصب بدافزار wiper برای اختلال در عملیات در شبکههای هک شده، برنامه خود را پیش بردهاند.
این گزارش با ارائه مجموعهای از اطلاعات فنی درباره ابزارهایی که هکرها برای حمله به صدا و سیما استفاده کردهاند نتیجه گرفته که مهاجمان پشت هک صدا و سیما ممکن است از حملات قبلی در ایران الهام گرفته باشند.
در این گزارش همچنین آمده که هکرها موفق شدهاند عملیات پیچیده ای را برای دور زدن سیستمهای امنیتی و شبکه، نفوذ به شبکههای پخش کننده و تولید و اجرای ابزارهای مخرب انجام دهند.
چکپوینت با اشاره به گزارش سازمان مجاهدین خلق دو هفته پس از حمله سایبری به صدا و سیما درباره این که وضعیت شبکههای این سازمان به حالت عادی برنگشته، نتیجهگیری کرده که اگر این اظهارنظر درست باشد میزان تخریب ناشی از Wiper و سایر ابزارهای بهکار رفته در این حمله فراتر از حد انتظار بوده است.
سازمان مجاهدین خلق در گزارش خود آورده بودند که بر اثر حمله سایبری، بیش از ۶۰۰ سرور تولید دیجیتال پیشرفته، آرشیو و پخش تجهیزات رادیویی و تلویزیونی از بین رفته و نرم افزار آنها آسیب دیده است.
در جمعبندی چکپوینت با اشاره به این که ابزارهای مهاجمان از «کیفیت و پیچیدگی نسبتا پایینی برخوردار است» آمده که این موضوع نشان میدهد «مهاجمان ممکن است از داخل صدا و سیما کمک گرفته باشند یا نشان دهنده همکاری ناشناخته بین گروههای مختلف با مهارتهای متفاوت باشد.»
