“كاسبرسكي لاب” تُحقق في تسريب بيانات “وكالة الأمن القومي الأمريكية”

أجرت كاسبرسكي لاب الشركة العالمية المتخصصة في مكافحة التجسس والجرائم الإلكترونية، تحقيق داخلي شامل لجمع الحقائق حول استخدام برنامج مكافحة فيروسات من كاسبرسكي لاب من أجل تحميل بيانات سرية من كمبيوتر أحد موظفي وكالة الأمن القومي الأمريكية.

وأظهر التقرير أن البرنامج الذي تم تحميله على جهاز كمبيوتر مستخدم في الولايات المتحدة، عن إصابة الجهاز بما يبدو أنه نوع جديد ومختلف من البرمجيات الخبيثة، التي تستخدمها مجموعة Equation APT، الناشطة في مجال الهجمات الإلكترونية المتطورة، والتي تخضع أنشطتها وممارساتها للتحقيق منذ شهر مارس من العام 2014.

وأكد أن المستخدم قام بتحميل وتثبيت أحد البرامج المقرصنة على الجهاز، وتحديداً ملف Microsoft Office ISO، وأداة تفعيل حزمة برامج Microsoft Office 2013 غير قانونية (تعرف باسم “keygen”).

ولتثبيت النسخة المقرصنة من حزمة برامج Office 2013، يبدو أن المستخدم قام بإيقاف عمل برنامج كاسبرسكي لاب على الكمبيوتر الخاص به، نظراً لعدم إمكانية تشغيل أداة التفعيل المقرصنة وغير القانونية أثناء عمل برنامج مكافحة الفيروسات.

وكانت أداة التفعيل غير القانونية المدرجة ضمن حزمة برامج Office 2013 تحتوي على برمجية خبيثة، وبذلك أصيب المستخدم بهذه البرمجية الخبيثة لفترة غير محددة من الزمن، وهي الفترة التي تم خلالها إيقاف عمل برنامج كاسبرسكي لاب. هذه البرمجية الخبيثة كانت تحتوي على ثغرات خفية ومفتوحة تسمح لأطراف ثالثة أخرى بالوصول إلى جهاز المستخدم.

وعند إعادة تشغيله، اكتشف برنامج كاسبرسكي لاب البرمجية الخبيثة الضارة التي تحمل اللاحقة Backdoor.Win32.Mokes.hvl، وقام بحظرها لمنع أي عملية اتصال بخادم الأوامر والتحكم، وكان أول رصد لبرنامج الإعداد الخبيث بتاريخ 4 أكتوبر 2014.

كما كشف برنامج مكافحة الفيروسات أيضاً عن أشكال جديدة وأخرى معروفة مسبقاً من البرمجية الخبيثة الشهيرة Equation APT.

واكتشفت عمليات التحليل احتواء ملف الأرشيف على عدة ملفات، بما فيها مجموعة من الأدوات المعروفة والمجهولة الخاصة بمجموعة Equation، وشيفرة المصدر، إلى جانب مستندات سرية. وعليه، أبلغ المحلل الرئيس التنفيذي بأمر هذه الحادثة. واستناداً إلى توجيهات الرئيس التنفيذي، تم حذف ملف الأرشيف، وشيفرة المصدر، وأية بيانات سرية في غضون أيام من كافة أنظمة الشركة. ومع ذلك، يتم الاحتفاظ بالملفات الثنائية للبرمجيات الخبيثة المشروعة لدى شركة كاسبرسكي لاب. ولم يتم مشاركة ملف الأرشيف مع أي طرف ثالث.

وتمثلت الأسباب التي ادت لقيام شركة كاسبرسكي لاب بحذف هذه الملفات، وحذفها لكافة الملفات المماثلة لها في المستقبل، فتستند إلى شقين، الأول أن الشركة تحتاج للبرمجيات الخبيثة الثنائية فقط للعمل على تحسين مستوى الحماية، والثاني وجود مخاوف ترتبط باحتمالية التعامل مع ملفات سرية.

وبسبب هذا الحادث، تم طرح سياسة جديدة لكافة محللي البرمجيات الخبيثة، وتتمثل في وجوب حذف أي ملفات يمكن أن تصنيف كلمات سرية يتم جمعها عن طريق الخطأ خلال الأبحاث الخاصة بمكافحة البرمجيات الخبيثة.