فى سبتمبر من عام 2015، رصدت منصة Anti-Targeted Attack Platform لكاسبرسكى لاب نشاطاً غير عادى فى إحدى شبكات العملاء. وأدى هذا الوضع المريب إلى تمكين الباحثين من اكتشاف (ProjectSauron)، وهى حملة خبيثة منتشرة على نطاق واسع تستهدف المؤسسات المحلية عن طريق استخدام مجموعة فريدة من الأدوات المصممة وفقاً لخصائص كل ضحية على حدة، الأمر الذى يجعل المؤشرات التقليدية الدالة على الاختراقات الأمنية عديمة النفعغالباً. ويبدو أن الهدف من هذه الهجمات يتمحور بشكل رئيسى على التجسس الإلكترونى. وتركز حملة (ProjectSauron) الخبيثة بشكل خاص على اختراق وتصيّد الاتصالات المشفرة باستخدام منصة تجسس إلكترونى نموذجية متطورة تشتمل على مجموعة من الأدوات والتقنيات غير المسبوقة. ومن ابرز الخصائص المميزة المستخدمة فى تكتيات حملة (ProjectSauron) الخبيثة هو التجنب المتعمد لاعتماد أنماط متكررة ومألوفة: حيث تقوم حملة (ProjectSauron) بإعداد نماذج خاصة من الطعوم الخبيثة (implants) والبنى التحتية بما يتماشى مع كل هدف فردي، ولا تلجأ إلى إعادة استخدام أى منها على الإطلاق. وهذا التكتيك المترافق مع مختلف الأساليب المتعددة لتحميل البيانات المسروقة، مثل قنوات البريد الإلكترونى النظامية و(DNS)، يساعد (ProjectSauron) فى شن حملات تجسس إلكترونى سرية طويلة الأمد على الشبكات المستهدفة. وتعطى (ProjectSauron) انطباعا بأنها عصابة إلكترونية متمرسة وتقليدية بذلت جهوداً كبيرة للتعلم من حملات القرصنة فائقة التطور، بما فى ذلك (Duqu) و(Flame) و(Equation) و(Regin) وتستخدم بعضاً من تقنياتها الأكثر ابتكارا وتحرص دائماً على تحسين أساليبها الهجومية لكى تبقى متخفية باستمرار. تشمل أدوات وتقنيات حملة (ProjectSauron) الخبيثة التى لها أهمية خاصة ما يلي: - أنماط فريدة:تتمثل الطعوم الخبيثة (implants) الأساسية فى شكل ملفات لها أسماء وأحجام مختلفة، ويتم إعدادها بشكل فردى وفقاً لطبيعة الضحية المستهدفة، مما يجعل من الصعب جدا اكتشافها نظراً لأن مثل هذه المؤشرات الأساسية لحالات الاختراق قد لا يكون لها قيمة تذكر فى أى هدف آخر. - التشغيل انطلاقاً من الذاكرة: تستغل الطعوم الخبيثة (implants) نصوص تحديثات البرامج النظامية وتتمثل فى شكل وسيلة قرصنة إلكترونية تتيح التسلل من الباب الخلفى (backdoor)، وتقوم من ثم بتحميل الوحدات النمطية الجديدة أو بتنفيذ أوامر المهاجمين فى الذاكرة. - التركيز على الوصول إلى الاتصالات المشفرة: تبحث حملة (ProjectSauron) الخبيثة بشكل نشط عن المعلومات المتعلقة ببرامج تشفير الشبكات المصممة المتاح على نطاق ضيق، نوعاً ما، والمصمم وفق أغراض محددة. وهذا النوع من برامج السيرفر الخاصة بالعملاء مستخدم على نطاق واسع من قبل العديد من المؤسسات لتأمين الاتصالات والمحادثات الصوتية والبريد الإلكترونى وتبادل المستندات. ويولى المهاجمون اهتماماً خاصاً فى مكونات برمجيات التشفير ومفاتيح التشفير وملفات التعريف وموقع السيرفرات التى ترسل رسائل مشفرة بين العقد الموجودة فى الشبكة. - المرونة القائمة على أساس اللغة البرمجية النصية: تستخدم حملة (ProjectSauron) الخبيثة مجموعة من الأدوات منخفضة المستوى تتم إدارتها عن طريق نصوص (LUA) البرمجية عالية المستوى. واستخدام مكونات نصوص (LUA) فى البرمجيات الخبيثة نادر جدا، حيث لم يتم رصده سابقاً إلا فى هجمات (Flame) و(Animal Farm). - تخطى السياج الأمنى للأجهزة المعزولة كلياً عن الاتصالات الخارجية: تستخدم حملة (ProjectSauron) الخبيثة محركات أقراص USB مجهزة خصيصاً لهذا الغرض بهدف تخطى الشبكات المعزولة كلياً عن الاتصالات الخارجية. وتكون محركات أقراص USB مزودة بحجرات خفية يتم تخزين البيانات المسروقة فيها. - استخدام آليات متعددة لجمع البيانات والمعلومات من الأجهزة الهدف:تقوم حملة (ProjectSauron) الخبيثة باتباع عدد من الطرق لجمع البيانات من الأجهزة المستهدفة، بما فى ذلك القنوات النظامية، مثل البريد الإلكترونى و(DNS)، ومن ثم يتم إخفاء نسخ المعلومات المسروقة من الضحية فى حركة المرور اليومية للبيانات.
