العصابة الرقمية DeathStalker تضرب الأمريكيتين وأوروبا ببرمجية PowerPepper

تُعدّ العصابة الرقمية المرتزقة DeathStalkerإحدى الجهات سيئة السمعة المختصة بالتهديدات المتقدمة المستمرة، والتي يُعتقد أنهاتقدّم خدماتها في القرصنة الرقمية لسرقة المعلومات التجارية الحساسة من الشركات لا سيما في القطاعين المالي والقانوني. وكان باحثو كاسبرسكي أول من أبلغ في أغسطس الماضي عن عودة هذه العصابة إلى النشاط،ولكن هذه المرة باستخدام تكتيكات جديدة لزرع البرمجيات الخبيثة وتوصيلها إلى الضحايا عبرمنفذ خلفي أطلقت عليه كاسبرسكي الاسمPowerPepper، يستغلّ نظام أسماء النطاق (DNS)العامل على بروتوكول HTTPS كقناة اتصال لإخفاء الاتصالات التي تجري مع خادم القيادة الذي يحمل مظهرًا رسميًا سليمًا. كذلك تستخدم البرمجية الخبيثةPowerPepper العديد من أساليب التسلل، مثل إخفاء المعلومات ضمن الملفات، أو ما يُعرف بـ steganography.

وبدأت عصابة DeathStalkerنشاطها منذ العام 2012 على الأقلّ، وهي تنفذ حملات تجسس ضد المنشآت الصغيرة والمتوسطة، لا سيما شركات المحاماة والمؤسسات المالية. وبخلاف مجموعات التهديدات المتقدمة المستمرة الأخرى، لا يبدو أن لديها دوافع سياسية أو مساعي لتحقيق مكاسب مالية من الجهات التي تستهدفها، بل إنهاتعمل جهة مرتزقة تقدّم خدمات القرصنة مقابل ثمن تقبضه من الجهات التي توظفها.

وكشف باحثو كاسبرسكي حديثًا عن حملات تخريبية جديدة شنتها العصابة التي وظفت هذه المرة منفذًا خلفيًا يُعرف باسم PowerPepper. والمنافذ الخلفية برمجيات خبيثة تسمح للمهاجمين بالتحكّم في جهاز الضحية عن بُعد.

ويجري نشر PowerPepper عادةً في عمليات تصيد موجّه تُستخدم فيها رسائل البريد الإلكتروني تحتوي على ملفات خبيثة في متن الرسالة أو عبر رابط خبيث، وذلك مثلما هو الحال في سلالات البرمجيات الخبيثة الأخرى المرتبطة بالعصابة. واستغلت العصابة الأحداث والفعاليات العالمية المهمة، واللوائح التنظيمية المحددة لانبعاثات الكربون، وحتى الجائحة العالمية الراهنة لخداع ضحاياهاودفعهم لفتح الملفات الخبيثة.

ويجري إخفاء الحمولة الخبيثة الرئيسة باستخدام الأسلوب المعروف بالاسم steganographyأو “إخفاء المعلومات”، والمتمثل بعملية تسمح للمهاجمين بإخفاء البيانات التخريبية وسط محتوى سليم. وجرى تضمين الشيفرة الخبيثة في حالة PowerPepperفي صور عادية لنباتات السرخس أو الفلفل (ومن هنا جاء الاسم الذي يعني الفلفل اللاذع)،قبل أن تُستخرج بأداة تحميل خاصة،لتبدأ PowerPepperعندها في تنفيذ الأوامر التي ترسلها العصابة عن بُعد والتي تهدف إلى سرقة المعلومات التجارية الحساسة.

ويمكن للبرمجية الخبيثة تنفيذ أي أمر على النظام المستهدف، حتى أوامر جمع معلومات المستخدم ومعلومات الملفاتالموجودة على الحاسوب، فضلًا عن تصفح الملفات المشتركة عبر الشبكة، وتنزيل ثنائيات إضافية، ونسخ المحتوى إلى مواقع بعيدة. ويجري الحصول على الأوامر من خادم القيادة عبر نظام DNSمن خلال اتصالات HTTPS، وهي طريقة فعالة لإخفاء الاتصالات الخبيثة وراء الاستعلامات التي تقدم بأسماء خوادم رسمية.

وليست طريقة إخفاء المعلومات سوى واحدة من العديد من أساليب التعتيم والتهرّب التي تلجأ إليها البرمجيات الخبيثة. ويجري إخفاء أداة التحميل باعتبارها إحدى أدوات التحقق الخاصة بـ GlobalSignلتقديم خدمات الهوية، كما تستخدم تشويشًا معدلًا، في حين تُخفي أجزاء من نصوص البرمجيات الخبيثة للتسليم في العناصر البرمجية المضمنة في تطبيقWord. كذلك يجري تشفير الاتصالات بين الغرسة المزروعة والخوادم، بحيث يعجز حلّ مكافحة الفيروسات عن تمييز الغرسة عند بدء تشغيل النظام بفضل استخدام البرمجية النصية الموثوق بها والموقعة.

ملخص لأساليب التشفير التي توظفها البرمجية الخبيثة PowerPepper

هذا وقد شوهدتPowerPepper في هجمات تمّت عبر أوروبا وفي الأمريكيتين وآسيا، استهدفت بها العصابةفي الأساس شركات الاستشارات القانونية والمحاماة ومؤسسات الخدمات المالية وخدمات العملات الرقمية.

وقال بيير ديلشر الخبير الأمنيلدى كاسبرسكي، إن PowerPepperتثبت مرة أخرى أن العصابة DeathStalkerجهة تهديدات تخريبية إبداعية، مشيرًا إلى قدرتها على تطوير عمليات زرع وسلاسل أدوات جديدة باستمرار وفي فترة زمنية قصيرة، وأضاف: “PowerPepper هيالرابعة في سلاسل البرمجيات الخبيثة التي تطورها العصابة، وقد اكتشفنا سلالة خامسة محتملة، وبالرغم من أنها ليست شديدة التعقيد، فقد أثبتت فاعليتها، ربما لأن أهدافها الأساسية تتمثل في المنشآت الصغيرة والمتوسطة،والجهات التي تميل إلى امتلاك تطبيقات أمنية أقلّ قوة،ونتوقع أن تظل هذه العصابة نشطة ولكننا سنواصل مراقبة حملاتها”.

ومثلت اكتشاف البرمجية الخبيثة PowerPepperوتسميتها جزءًا من أحدث إنجازات فريق البحث والتحليل العالمي التابع لكاسبرسكي: Powered by Croissant. Baguette Edition. ويمكن مشاهدة التسجيل والعروض التقديمية الأخرى حول أحدث تطورات في مجال التهديدات والتي يعرضها خبراء كاسبرسكي المرموقين هنا.كما يمكن الاطلاع على المزيد عن PowerPepper وأساليب التهرّب في Securelist.

يوصي خبراء كاسبرسكي باتباع التدابير التالية لحماية المنشآت من هجمات مثل PowerPepper:

• منح فريق مركز العمليات الأمنية إمكانية الوصول إلى أحدث معلومات التهديدات.وتُعدّ بوابة Kaspersky Threat Intelligence Portalمنصة واحدة يمكن للمؤسسات عبرها الوصول إلى أحدث المعلومات الخاصة بالتهديدات، حيث تتاح البيانات المتعلقة بالهجمات الإلكترونية والرؤى التي جمعتها كاسبرسكي بشأنها على مدار أكثر من 20 عامًا.
• تزويد الموظفينبالتدريب على أساسيات الأمن الرقمي، نظرًا لأن العديد من الهجمات الموجّهة تبدأ بالتصيّد وتعتمد على تقنيات الهندسة الاجتماعية الأخرى. ويمكن تنفيذ عملية محاكاة لهجوم تصيد للتأكّد من قدرة الموظفين على تمييز رسائل البريد الإلكتروني المخادعة.
• الحرص على حماية النقاط الطرفية في النظم الصناعية، بحلول تتضمّن وظائف الكشف عن التهديدات عند النقاط الطرفية والاستجابة لها، مثل Integrated Endpoint Security، لحماية المنشآت المتوسطة من الهجمات الخطرة.