مجتبی قلعهکوهی متولد ۷ تیر ۱۳۶۷ در نقده، یکی از ۵ چهره هکری تحت تعقیب آمریکا، دستکم از یک جهت از هر چهار نفر دیگر مهمتر است. دستگاه قضایی و امنیتی آمریکا نتوانسته است رد فعالیتهای هکری بسیار مخرب او را پیش از حضور رسمیاش در سال ۱۳۹۵ در شرکت هکری «ایلیانت گستر ایرانیان» به دست بدهد.
یافتههای اختصاصی ایراناینترنشنال نشان میدهد سابقه هکری مجتبی قلعهکوهی چند سال پیش از ظهور رسمی نام او در شرکتهای پیمانکار سپاه آغاز شده بود، زمانی که با هویت مجتبی برهانی و نامهای هکری mb_1986 و mb_1986m و Mosi PC شناخته میشد.
پژوهشهای سایبری تایید میکند او هم مانند تقریبا همه همکاران بعدی خود در شبکه سایبری جمهوری اسلامی، چند سال پیش از شروع همکاری سایبری با دستگاه امنیتی ایران، در جامعه دیفیس ایران فعال بود. او در این دوره در چارچوب گروه هکری ایران سکیوریتی تیم فعالیت میکرد که بهار ۱۳۹۲ از بزرگترین گروههای دیفیس جهان بود.
در همان دوره، رد یکی از نامهای هکری او در شبکهای دیده میشود که پژوهشگران بعدتر آن را بچهگربه پرنده (Flying Kitten) نامیدند؛ مجموعهای از هکرهای ایرانی که در فاصله سالهای ۱۳۹۱ تا ۱۳۹۳ از تغییر چهره وبسایتها و فعالیت در انجمنهای زیرزمینی به فیشینگ هدفمند، سرقت اعتبارنامه و جاسوسی سایبری رسیدند. قلعهکوهی با هویت برهانی یکی از افرادی بود که در لایه فنی این گروه حضور داشت.
در تحقیقات منتشرشده در بهمن ۱۳۹۵، آذر ۱۳۹۶ و بهمن ۱۳۹۶ مجتبی برهانی (قلعهکوهی) با شبکههای بچهگربه پرنده و بچهگربههای ملوس (Charming Kitte) مرتبط دانسته شده است.
یکی از نخستین ردهای مستقیم این شبکه به ۷ فروردین ۱۳۹۲ بازمیگردد، زمانی که یک دامنه برای جعل فرایند ثبتنام یک سرویس ویپیان ثبت شد. همین دامنه در تابستان ۱۳۹۲، برای فریب یک مجری پیشین صدای آمریکا و چند هدف دیگر از کاربران ایرانی داخل و خارج کشور مورد استفاده قرار گرفت.
یک منبع مطلع از جامعه هکری ایران به ایراناینترنشنال گفت قلعهکوهی در این دوره احتمالا با شرکت ایمن وال پرداز کار پیمانکاری کرده است: «بچههای هک اگر کارشان خوب بود خیلی زود جذب شرکتهای پیمانکاری دستگاههای امنیتی میشدند و من فکر میکنم مجتبی در همان دورهای که با اسم برهانی فعالیت میکرد با این شرکت کار میکرد. در آن مقطع بیشتر فعالیت آنها به اسم گروه بچهگربه پرنده انجام میشد و خود اینها هم به شکل پیمانکاری و قراردادی با ایمن وال کار میکردند.»
تا مهر و آبان ۱۳۹۲ عملیات فلایینگ کیت وارد مرحله تازهای شده بود. اعضای گروه از جمله قلعهکوهی با بدافزار ستیلر فعالان داخل و خارج ایران، اعضای جامعه سیاسی ایران و اهداف خارجی در حوزه امنیت و صنعت هدف قرار گرفتند.
یکی از مهمترین ردهای قلعهکوهی در نمونههای قدیمی بدافزاری به نام صیاد دیده میشود. مسیرهای ذخیرهشده در فایل نشان میداد نرمافزار در محیط ویندوزی با نام کاربری mb_1986 ساخته شده است.
همین شناسه از آذر تا اسفند ۱۳۹۲ در لاگهای رایانهای ایرانی با نام برهان دیده شد، دستگاهی که با هدف آزمایش و توسعه این بدافزار، طی این چند ماه بارها برای مدتهای کوتاه به استیلر آلوده شده بود.
این رد نشان میدهد فعالیت قلعهکوهی در سال ۱۳۹۲ تنها به اجاره سرور یا اداره زیرساخت محدود نبوده است. او از بهار ۱۳۹۲ درگیر توسعه ابزارهایی برای جاسوسی و سرقت سایبری بوده و با این سابقه بهعنوان مشارکتکننده در ساخت ابزارهای بومی جمعآوری اطلاعات به سپاه پیوسته است.
پژوهشگران همچنین نشانی ایمیلی همین نام کاربری را که متعلق به قلعهکوهی است در ثبت دامنههای فیشینگ در سالهای ۱۳۹۱ تا ۱۳۹۳ پیدا کردند و بعدتر از روی گفتوگوهای داخلی گروه، استفاده او از همان حساب را تایید کردند.
بخش کمسابقهای از زندگی روزمره این شبکه در فاصله اواخر سال ۱۳۹۲ تا تابستان ۱۳۹۳ بر اثر یک اشتباه امنیتی خود قلعهکوهی آشکار شد، زمانی که او مجموعهای از گفتوگوهای شخصی خود با منوچهر هاشملو با نام هکری ArYaIeIrAN را ناخواسته در پلتفرم آنلاین تحلیل امنیت سایبری ویروستوتال بارگذاری کرد. فایلها شامل حدود شش ماه مکالمه قلعهکوهی با نام هکری mb_1986m با هاشملو بود و تصویری از یک تیم کوچک هکری-پیمانکاری ارائه میداد که هم عملیات نفوذ انجام میداد و هم بهدنبال گرفتن قراردادهای تجاری امنیت سایبری بود.
در یکی از همین گفتوگوهای ثبتشده در سال ۱۳۹۳ که نشانه ترکیب نفوذ سایبری با فعالیت پیمانکاری و گرفتن قرارداد امنیتی است، قلعهکوهی درباره وبسایتی که صاحبان آن بهدنبال «تست نفوذ» بودند با هاشملو صحبت کرد و از او خواست بدون واردکردن خسارت جدی، دسترسی محدودی به سایت پیدا کند تا بتواند قرارداد امنیتی آن مجموعه را بگیرد.
گفتوگوهای ۹ و ۲۵ خرداد ۱۳۹۳ نشان میدهد این تیم برای توسعه عملیات خود در حال جذب نیرو بوده و از جمله برنامهنویس متخصص سیستمعامل مک در تهران بود و هاشملو شکایت میکرد افراد تمایلی ندارند برای دو میلیون حقوق به دفتر کوچک آنها در تهران بپیوندند. در آن مقطع همه اعضای شبکه هکری ایران از جذب سریع نیروهای فنی مستعد از سوی وزارت اطلاعات گلایه میکردند.
در همین گفتوگوهای سال ۱۳۹۳، از فردی با عنوان «حاجی» (عنوانی رایج در ساختار امنیتی ایران) با احترام یاد میشد. گفتوگوها نشان میدهد قلعهکوهی این توانایی را داشته که برای جذب نیرو با سپاه هماهنگ شده و برای آنها امریه بگیرد.
همان تیم در بهار و تابستان ۱۳۹۳ سرورهایی تهیه میکرد که بعدها، در مرداد و شهریور ۱۳۹۳، در تلاشهای جاسوسی علیه جامعه حقوق بشری ایران مورد استفاده قرار گرفتند.
یک مکالمه بهطور مشخص قلعهکوهی را به کیوان فیاض وصل میکند. در ۱۲ تیر ۱۳۹۳، چند هفته پس از انتشار گزارش فایرآی درباره «عملیات رز زعفرانی»، قلعهکوهی در پاسخ به هاشملو که خواسته بود «هوای کیوان» را داشته باشند، گفته است: «داریم، نگران نباش.» پژوهشگران تایید کردهاند اشاره این گفتوگو به فیاض، عضو تیم امنیتی آژاکس و بعدتر عامل بخش ۲۰۰۰ سازمان اطلاعات سپاه است.
پاییز ۱۳۹۵ هم در بدافزاری به نام مکدانلودر (MacDownloader) که برای جمعآوری اطلاعات سیستم و سرقت رمزهای ذخیرهشده در رایانههای مک اپل ساخته شده بود رد یکی از نامهای کاربری قلعهکوهی دیده شد.
کنار هم گذاشتن این دادهها نشان میدهد برخلاف اطلاعات منتشرشده، مسیر قلعهکوهی از شرکت ایلیانت در سال ۱۳۹۵ آغاز نمیشود. رد او دستکم از بهار ۱۳۹۲ در توسعه بدافزار، زیرساخت فیشینگ و شبکه فلایینگ کیت دیده میشود و شواهد بعدی نیز ارتباط او با هاشملو، کیوان فیاض و تیمی هکری-پیمانکاری فعال برای بخشهایی از سپاه را نشان میدهد.
ایلیانت در این روایت نه نقطه آغاز، بلکه مرحله بعدی همان مسیر بود: انتقال مهارت و شبکهای که در فضای زیرزمینی شکل گرفته بود به ساختار رسمیتر پیمانکاری جمهوری اسلامی؛ مسیری که بعدتر او را به موسسه مبنا، وزارت اطلاعات و پروژه سنبل رساند. قلعهکوهی در بخشی ابتدایی این دوره با هویت «مجتبی برهانی» در شبکه پیمانکاران سایبری جمهوری اسلامی فعالیت کرده است.
به گفته منابع ایراناینترنشنال، در دوره حضور قلعهکوهی در ایلیانت گستر ایرانیان در سال ۱۳۹۵، محمدباقر شیرینکار که در آن دوره با نام مجتبی تهرانی شناخته میشد بر کار قلعهکوهی نظارت داشت. بهزاد مصری و منوچهر هاشملو نیز همکاران نزدیک او بودند. این تیم برای نیروی قدس و فرماندهی الکترونیک سایبری سپاه عملیات شبکه و مهندسی اجتماعی انجام میداد.
یکی از پروژههای مهم قلعهکوهی در این تیم، مشارکت در ساخت یک ابزار بومی برای جمعآوری اطلاعات درباره هدفها بود. دادههای این ابزار برای طراحی مهندسی اجتماعی استفاده میشد؛ یعنی شناخت روابط، علایق، محل کار و عادتهای فرد و ساختن پیام یا هویتی که احتمال فریب او را افزایش دهد. به گفته منابع ایراناینترنشنال، بخشی از اطلاعات جمعآوریشده در این پروژه برای هدفگیریهای خارجی مرگبار نیروی قدس به کار میرفت.
قلعهکوهی سال ۱۳۹۵ به مبنا رفت و آنجا علاوه بر هاشملو و فیاض که از قبل با آنها کار کرده بود، با مصری، کُهزادیان و شهبازی رابطه کاری نزدیکتری ساخت. او سپس همراه بقیه به پروژه سنبل پیوست که از مهرماه ۱۳۹۷ شروع شد و به یکی از افراد محوری این پروژه تبدیل شد.
نقش قلعهکوهی در سنبل، اداره زیرساخت و هدایت عملیات بود. او همراه فیاض، شهبازی و محمدرضا کدخدایی از اسپری رمز عبور و دیگر روشهای بروتفورس برای سرقت حجم بزرگی از اعتبارنامه هدفهای آمریکایی و خارجی استفاده میکرد.
به گفته منابع ایراناینترنشنال، تلاشهای هکری قلعهکوهی و همراهانش برای نفوذ به شبکههای رایانهای تنها به خارج از کشور محدود نشده، بلکه نهادهای متعدد ایرانی هم هدف گرفته شدند و اعتبارنامههای دسترسی نهادها و شرکتهای ایرانی هکشده همچون نمونههای خارجی در بازارها و انجمنهای آنلاین غیرقانونی شناختهشده، از جمله بازارهایی مثل findemail.io که خود قلعهکوهی کنترل میکرد و با وزارت اطلاعات مرتبط بود، فروخته میشد.
به گفته همین منابع، قلعهکوهی و مصری در دوره همکاری در پروژه سنبل، در عملیات استخراج رمزارز و شکستن رمز کیف پولها هم شریک بودند: «این عملیات به تعداد زیادی واحد پردازش گرافیکی و برق فراوان نیاز داشت. مصرف غیرعادی انرژی، مقامهای محلی کرج را به بررسی فعالیت او کشاند، اما وزارت اطلاعات مداخله کرد و پیگیری قضایی و کیفری آنان متوقف شد و آنها به کار خود ادامه دادند.»
