«كاسبرسكي» تطور طريقة جديدة لرصد برمجية التجسس «بيجاسوس»

طور فريق البحث والتحليل العالمي لدى كاسبرسكي (GReAT) طريقة  سهلة لرصد مؤشرات الإصابة ببرمجيات التجسس المتطورة التي تستهدف نظام iOS مثل Pegasus وReign وPredator من خلال تحليل سجل Shutdown.log الذي يعد بقيّة جنائية غير مستكشفة سابقاً.

اكتشف خبراء الشركة أن الإصابة ببرمجية Pegasus تترك آثاراً في سجل الإيقاف غير المتوقع للنظام، Shutdown.log، المخزن في الأرشيف الذي تجمعه أداة sysdiagnose في أي جهاز محمول يعمل بنظام iOS.

يحتفظ هذا الأرشيف بالمعلومات من كل جلسة إيقاف وإعادة تشغيل النظام، مما يعني أن الحالات الشاذة المرتبطة ببرمجية Pegasus الخبيثة تظهر في السجل إذا قام مستخدم مصاب بإيقاف وإعادة تشغيل جهازه.

كانت من بين تلك الآثار المكتشفة عمليات «عنيدة» تعوق عمليات إعادة تشغيل النظام، لا سيما تلك المرتبطة ببرمجية Pegasus، هذا إلى جانب آثار للإصابة تم اكتشافها عبر ملاحظات مجتمع الأمن السيبراني.

وفي السياق، قال ماهر ياموت، رئيس الباحثين الأمنيين في فريق البحث والتحليل العالمي لدى كاسبرسكي (GReAT): «أثبت تحليل ملفات التفريغ في أرشيف أداة sysdiag أنه طريقة بسيطة للغاية ولا تستهلك الكثير من الموارد، فهذا التحليل يعتمد على بقايا معتمدة على النظام لتحديد الإصابات المحتملة في هواتف iPhone.»

وأوضح أنه «بعد رصد مؤشر للإصابة في هذا السجل وتأكيد الإصابة باستخدام أدوات تحقق من الأجهزة المحمولة (MVT) لمعالجة بقايا أخرى في نظام iOS، أصبح هذا السجل الآن جزءاً من نهج شامل للتحقيق في إصابة نظام iOS بالبرمجيات الخبيثة. وبما أننا تأكدنا من توافق هذا السلوك مع حالات الإصابة ببرمجية Pegasus الأخرى التي قمنا بتحليلها، فإننا نعتقد أنه سيكون موثوقاً بمثابة بقية جنائية لدعم تحليل الإصابة.»

عند تحليل سجل Shutdown.log في حالات الإصابة ببرمجية Pegasus، لاحظ خبراء كاسبرسكي مساراً شائعاً للإصابة هو «/private/var/db/»، مما يشبه مسارات تمت ملاحظتها في حالات الإصابة ببرمجيات خبيثة أخرى تستهدف نظام iOS مثل Reign وPredator.

يشير باحثو الشركة إلى أن هذا السجل قد يساعد في رصد الإصابات المتعلقة بمجموعات البرمجيات الخبيثة هذه.

لتسهيل رصد مؤشرات الإصابة ببرمجيات التجسس، طور خبراء كاسبرسكي أداة فحص ذاتي للمستخدمين. تعمل النصوص المكتوبة بلغة Python3 في هذه الأداة على تسهيل استخراج تسجيلات Shutdown.log وتحليلها وتوزيعها. كما قام الخبراء بمشاركة الأداة مع العامة على موقع GitHub وهي متاحة لأنظمة تشغيل macOS، وويندوز، وLinux.

تعتبر برمجيات التجسس التي تستهدف الأجهزة العاملة بنظام iOS، مثل برمجية Pegasus، معقدة للغاية. وبينما لا ينجح مجتمع الأمن السيبراني في وقف الاستغلال الناجح للثغرات دائماً، يمكن للمستخدمين اتخاذ خطوات وقائية لتصعيب العملية على المهاجمين. وللحماية من برمجيات التجسس المتقدمة التي تستهدف نظام تشغيل iOS.

خبراء كاسبرسكي يوصون ب6 خطوات لحماية من برمجيات التجسس المتقدمة التي تستهدف نظام تشغيل iOS:

• أوقف تشغيل جهازك وأعِد تشغيله يومياً: وفقاً لبحث أجرته منظمة العفو الدولية ومختبر Citizen Lab، غالباً ما تعتمد برمجية Pegasus على ثغرات اليوم صفر والتي لا تحتاج للنقر حتى دون أي استمرارية. يمكن أن يساعد إيقاف التشغيل وإعادته بانتظام يومياً في تنظيف الجهاز، مما يجبر المهاجمين على إعادة الإصابة بشكل متكرر، وبالتالي تزيد فرص رصد هذه الإصابة مع مرور الوقت.
• استخدم وضع القفل : أشارت العديد من التقارير العامة إلى نجاح وضع القفل -الذي أضافته شركة Apple حديثاً على أجهزتها- في حظر الإصابة بالبرمجيات الخبيثة التي تستهدف نظام iOS.
• قم بإيقاف تطبيقي iMessage وFacetime: يعد تطبيق المراسلة iMessage الافتراضي اتجاهاً جذاباً لعمليات استغلال الثغرات. لذا يقلل تعطيله من خطر الوقوع ضحية لسلاسل الهجمات التي لا تحتاج للنقر. وهذه النصيحة تنطبق أيضاً على تطبيق Facetime، وهو اتجاه محتمل آخر لاستغلال الثغرات.
• حافظ على تحديث جهازك: قم بتثبيت أحدث تصحيحات نظام iOS على الفور، إذ تعد الثغرات الأمنية التي تم تصحيحها في السابق هدفاً للعديد من أدوات استغلال الثغرات في نظام iOS. لذلك من الضروري تثبيت التحديثات بسرعة لتبقى متقدماً على بعض المهاجمين الذين ترعاهم الدول والذين قد يستغلوا التحديثات المتأخرة.
• احذر عند التعامل مع الروابط: تجنب النقر على الروابط التي تصلك عبر رسائل نصية، فقد يلجأ عملاء برمجية Pegasus إلى إجراء عمليات استغلال تحتاج لنقرة واحدة عبر إرسال الرسائل القصيرة، أو الرسائل على برامج المراسلة الأخرى، أو الرسائل إلى البريد الإلكتروني.
• تحقق من نسخك الاحتياطية وأرشيفات أداة Sysdiag بانتظام: قد تساعد معالجة النسخ الاحتياطية المشفرة وأرشيفات أداة Sysdiagnosis باستخدام أدوات التحقق من الأجهزة المحمولة وأدوات كاسبرسكي في اكتشاف البرمجيات الخبيثة التي تستهدف نظام iOS.